Шахраї знайшли спосіб списувати гроші зі старих карток: у чому небезпека

Звичка просто викидати у смітник стару банківську картку, термін дії якої вже закінчився, може обійтися дуже дорого. Дослідники з кібербезпеки Массачусетського університету (UMass Amherst) знайшли серйозну діру в платіжних системах: виявляється, прострочений «пластик» усе ще дає зловмисникам прямий доступ до ваших грошей. Свої тривожні висновки фахівці вже представили на профільній конференції USENIX Security 2026.

Як два смартфони «оживляють» прострочений пластик

Щоб обдурити касовий термінал, хакерам не потрібне якесь надскладне обладнання – кібердослідникам Раджі Хаснайну Анвару та Такі Разі для цього вистачило двох звичайних смартфонів і спеціальної програми. Працює ця схема доволі просто: один телефон фізично підносять до викинутої картки, щоб її активувати та зчитати дані. Водночас інший смартфон прикладають безпосередньо до термінала на касі.

Поки інформація летить між цими двома гаджетами, програма на льоту підміняє стару дату закінчення терміну дії на будь-яку майбутню. Щоб довести реальність загрози, автори дослідження успішно розплатилися таким чином не лише в тепличних умовах лабораторії, а й у звичайних місцевих ресторанах і крамницях.

Чому система пропускає відверто фейкові платежі

Такий фокус проходить одразу через кілька технічних прогалин у банківських системах. Річ у тім, що сама дата закінчення терміну дії під час передачі даних майже не має криптографічного захисту, тому її так легко переписати.

До того ж, цифрові сертифікати, заховані в металевому чипі, часто залишаються дійсними значно довше, ніж цифри, вибиті на самому пластику. І головне – банківський рахунок клієнта продовжує працювати навіть після того, як йому видали нову картку (це потрібно, наприклад, для зарахування можливих повернень із магазинів). У підсумку термінал отримує змінену дату, бачить активний чип, успішно стукає до дійсного рахунку і спокійно схвалює транзакцію.

Кого хакерам не дістати і як правильно позбуватися карток

Є й хороші новини: ця вразливість стосується далеко не всіх. За даними експертів, користувачі цифрових гаманців на кшталт Apple Pay чи Google Pay можуть не хвилюватися. Їх рятують додаткові рівні токенізації, які роблять такий метод перехоплення просто неможливим.

Дослідники вже передали всю інформацію великим платіжним системам, щоб ті залатали діру. Але поки цього не сталося, експерти радять дотримуватися двох залізних правил. По-перше, ніколи не викидайте старі картки цілими. Навіть якщо її час давно сплив, обов'язково поріжте пластик ножицями, причому так, щоб гарантовано знищити і металевий чип, і магнітну стрічку. По-друге, не лінуйтеся час від часу перевіряти банківські виписки – навіть за тими рахунками, старі картки від яких ви вже давно заблокували або викинули.