Кредитные карты имеют срок действия не просто так. Однако группа учёных из Массачусетского университета в Амхерсте обнаружила способ заставить просроченные карты снова работать — и не в пользу владельца. Уязвимость затрагивает не все карты, но сидит достаточно глубоко в механизме бесконтактных платежей, чтобы её можно было реально эксплуатировать.
Исследователи под руководством доцента Таки Разы (Taqi Raza) представили работу на конференции USENIX Security 2026. Они показали: даже после истечения срока действия карта может провести мошенническую транзакцию через уязвимый терминал.
Когда карта истекает, сам счёт остаётся активным — даже если владелец уже получил новую. Учёные проверили, можно ли заставить старую карту одобрить платёж. Оказалось, можно. Для этого достаточно двух обычных смартфонов и простого ПО для эмуляции.
Первый телефон через NFC «будит» просроченную карту и заставляет её передать данные, включая дату окончания действия. Второй телефон работает как посредник (man-in-the-middle): он принимает эти данные по Wi-Fi, подменяет дату на актуальную и отправляет уже изменённую информацию на POS-терминал. Уязвимые терминалы принимают подделанную дату и пропускают операцию.
Почему это возможно
Дата окончания действия карты фактически существует в двух местах. Одна — Application Expiration Date, которую терминал читает локально. Вторая — отдельное поле, которое позже проверяет банк-эмитент при онлайн-авторизации.
В реализации бесконтактных платежей Visa эти два поля не связаны криптографически. Поэтому изменение локальной даты не вызывает срабатывания проверок на стороне эмитента. В тестах Mastercard, American Express и Discover атаке сопротивлялись, а Visa — нет.
По словам Разы, в платёжной системе участвует несколько независимых сторон: чип карты, терминал, платёжная сеть и банк. Уязвимости возникают именно в разрывах между тем, как каждая из них проверяет безопасность.
«Атака использует распространённое заблуждение: просроченные карты считают полностью мёртвыми, поэтому владельцы выбрасывают их без осторожности», — отметил исследователь.
Что делать владельцам карт
Специалисты рекомендуют правильно уничтожать истёкшие карты. Нужно размагнитить магнитную полосу, разрезать встроенный чип ножницами, измельчить карту и выбросить кусочки в разные контейнеры для мусора.
Пока уязвимость остаётся актуальной, особенно важно не оставлять старые карты целыми и не выбрасывать их целиком в обычный мусор.
