«Карта-зомби»: просроченная Visa в ящике на кухне всё ещё может оплатить продукты
Исследователи показали, что дату истечения срока на некоторых бесконтактных картах Visa можно подделать — и терминал примет карту, которую банк давно считает мёртвой. Та карта, что вы разрезали пополам, — в порядке. А вот с целой, которую просто выбросили, всё сложнее.
Когда у карты заканчивается срок, кажется естественным, что она умирает вместе с ним. Дата на лицевой стороне проходит, банк присылает новую карту, а старый кусок пластика превращается в мусор — вещь, которая может годами лежать в ящике стола или улететь в мусорку без единой мысли.
Malwarebytes Labs описала научное исследование атаки, которую называют Zombie Card: на некоторых бесконтактных картах Visa дату, участвующую в транзакции, можно подменить, и платёж всё равно проходит. Иными словами, дата — не тот замок, каким её все считают. Из опубликованного материала не ясно, сколько типов карт затронуто, какие банки-эмитенты, и выпустила ли Visa исправление. Этот пробел важен, и мы предпочитаем сказать о нём прямо, а не додумывать.
Главное здесь не сам трюк, а то, что стоит за картой. Когда у карты заканчивается срок, счёт не закрывается. Банк меняет пластик — деньги остаются на месте. Значит карта, которую всё ещё можно использовать, — не музейный экспонат с пустым балансом внутри. Это рабочий ключ к живому счёту.
Бесконтактная оплата делает это хуже самым обычным образом. Мелкие покупки проходят без пин-кода, за секунду, на любой кассе. Никто у кассы не проверяет дату. Решение принимает терминал — а исследование говорит, что терминалу можно подсунуть неверные данные.
Просроченная карта — это ключ, который перестали охранять, решив, что замок уже сменили.
Именно поэтому находка интересна не только в лаборатории. Большинство советов по защите от карточного мошенничества исходят из того, что угроза живёт в интернете: скиммеры, фишинговые смс, утечки данных. Здесь всё наоборот. Риск физический, он у вас дома, а модель безопасности, на которую все полагаются — «она просрочена, значит безопасна» — это привычка, а не гарантия.
Это касается почти каждого, кто хоть раз выбросил старую банковскую карту в мусор, не разрезав её, — а так делает большинство. Особенно это касается людей 20-40 лет, которые меняют карты постоянно: новый банк, потому что там приложение удобнее, карта, которая шла бонусом к доставке еды, карта для одной поездки, замена после того, как прошлая треснула. Если за пять лет у вас было пять карт, значит где-то лежат четыре куска пластика, и вы вряд ли вспомните где именно. Это касается и тех, кто снимает квартиру с соседями, часто переезжает или оставляет коробки у бывшего партнёра, арендодателя или бывшего соседа по квартире — старая карта путешествует вместе со старыми вещами. И это касается родителей, которые дают мёртвую карту малышу поиграть — а это на самом деле обычное дело.
Стоит следить за двумя вещами. Во-первых, подтвердит ли Visa или какой-то из банков-эмитентов уязвимость публично и назовёт ли, какие карты затронуты — платёжные системы обычно молчат, пока исследование не представлено полностью, так что подробности стоит искать в самой научной публикации с конференции. Во-вторых, изменят ли банки инструкцию по утилизации карт, которую печатают в письме вместе с новой картой. Сейчас у большинства это мелким шрифтом: «уничтожьте старую карту». Если эта строка переместится на видное место на конверте — значит, отнеслись серьёзно.
Последние 20 лет безопасность карт двигалась от пластика к чипу, а потом к телефону. Это исследование указывает обратно на пластик — на ту часть, о которой все перестали думать. Пойдите и найдите свои старые карты. Вы удивитесь, сколько их накопилось — и как мало вы помните о том, где они лежали.
Источники: Malwarebytes Labs, «Zombie Card: An expired Visa credit card can be used for purchases», август 2026 — по материалам опубликованного научного исследования.
Материал написала ИИ-редакция THE TELL. как мы работаем · исправления