Сбербанк — Банкоматы с бесконтактным обслуживанием

Что такое бесконтактная карта

Для оплаты в одно касание были придуманы специальные чипы – NFC, что расшифровывается как «коммуникация ближнего поля». Если посмотреть на новые банковские карты, то можно заметить, что в них встроена небольшая микросхема, чего в старых платежных средствах не было. Это и есть тот самый НФС.

Благодаря чипу, карту не нужно проводить магнитной полосой через считыватель терминала. Вместо этого они оба излучают магнитное поле и при попадании в зону действия друг друга (около 10 см) платежное средство передает необходимые для оплаты данные.

Дополнительная информация. Технология применяется не только в банковском секторе. Электронные пропуска, ключи и проездные также работают на основе NFC.

Почему не работает карта?

Убедитесь в наличии значка бесконтактных платежей на карте. Если его нет, то пластик контактный. Если функция предусмотрена, но не срабатывает, причины могут быть следующие:

• сбой в терминале – можно расплатиться контактным способом, позже попробовать в другом магазине или банкомате;
• повреждена карточка (механически, размагничена) – обратитесь в банк для замены; если остальные функции не нарушены, можете продолжать ими пользоваться.

Встречаются ситуации, когда пластик работает с перебоями. Такое возможно при нарушении целостности антенны внутри, она начинает «отходить». Для полноценной работы опции требуется замена карты.

Что будет, если украдут карту?

Незаблокированная карточка позволяет расплачиваться ей в торговых точках на суммы в пределах лимита – обычно до 1000 рублей. Для любых других операций, включая снятие, необходим ПИН-код. Получить его можно только будучи клиентом. Банк идентифицирует такового по кодовому слову или по паспорту.

Что такое бесконтактная банковская карта?

Пластик оборудован специальным чипом, который позволяет терминалам в банках и торговых точках распознавать его на расстоянии в несколько миллиметров или сантиметров. Возможность расплатиться привычным способом, вставив карточку в приемник, сохраняется.

Mir pay

В отличие от международных платежных систем МИР не рекламирует отдельно технологию, используемую на российском пластике. Продвигается продукт «Бесконтактная карта МИР».

Mir Pay – сервис, используемый российской платежной системой для бесконтактной оплаты. Пользователи устанавливают приложение, аналогичное Samsung Pay/Apple Pay/Google Pay.

Nfc-технологии

Аббревиатура обозначает «Near field communication», что переводится как «беспроводная связь ближнего радиуса действия». На практике это небольшой модуль, который позволяет распознать носитель информации на близком расстоянии.

Paypass

Бесконтактная оплата, используемая системой MasterCard. Принцип работы идентичен PayWave. Разница между двумя продуктами мало заметна на практике.

Paywave

Технология, запатентованная платежной системой Visa для своих карт. Ее характерной особенностью является доступ к повышенному лимиту на оплату без ПИН-кода.

Безопасность

Специалисты считают, что бесконтактные платежи безопаснее контактных.

Основные аргументы:

• отсутствие необходимости ввода PIN при мелких платежах сокращают риск компрометации;
• активация модулей NFC происходит на несколько секунд на расстоянии менее 10 см, у большинства карт требуется приближение на 5 см и меньше, такой способ работы снижает вероятность списания случайно или злоумышленниками;
• каждый платеж имеет одноразовые коды в системе, что делает невозможным двойное списание по одной и той же оплате;
• терминалы для списывания денег выдают банки организациям и ИП, история операций предельно прозрачна, незаконные списания можно опротестовать;
• если в поле действия сигнала от терминала окажется 2 карты, списание не произойдет, на дисплее появится сообщение с просьбой выбрать один носитель.

Безопасность проведения бесконтактных операций в банкоматах

Как и в случае проведения транзакций посредством банковской карты с чипом, бесконтактные операции защищены международным стандартом защиты EMV (Contactless EMV). Данный стандарт разработан совместными усилиями компаний Europay, MasterCard и Visa (отсюда и аббревиатура EMV).

Где можно оплачивать?

Бесконтактная банковская карта имеет схожий функционал с обычной. Она позволяет расплачиваться:

• в торговых точках на кассе;
• в интернет-магазинах;
• через личный кабинет интернет-банка.

Для чего оно нужно?

Еще в Android версии 4.0 появилась технология Beam, с помощью которой устройства могут обмениваться файлами и папками: сам обмен происходит при помощи Bluetooth или Wi-Fi Direct, однако для идентификации смартфонов используется именно NFC. Это позволяет сократить время, затрачиваемое на подключение устройств.

Кейсов применения NFC великое множество. Среди пользователей метро большой популярностью пользуется возможность считывания информации с билета при помощи смартфона. Установив специальные приложения, можно не только узнавать количество оставшихся поездок и срок годности билета, но и даже пополнять карту «Тройка» без использования терминалов в метрополитене.

Примечательно, что для этих целей можно использовать практически любой смартфон с NFC — от Xiaomi Mi5s Plus до Lenovo X3 Lite.

Достоинства бесконтактных карт

Благодаря использованию бесконтактной технологии платежные карты:

1. Скорость соединения меньше секунды. Это в разы быстрее, чем проводить платежное средство через традиционный считыватель;
2. Долговечные. В старых картах был ограниченный срок действия из-за стирания магнитной ленты;
3. Можно использовать для оплаты проезда в муниципальном автобусе и такси, оборудованных считывающим устройством;
4. Не нужно передавать платежное средство в руки кассиру.

Недостаток в том, что при потере карты, кто-то может использовать ее для оплаты покупок на суммы до 1000 рублей. Хотя, если вовремя обнаружить потерю, ее можно быстро заблокировать через мобильный банкинг.

Есть ли отличия у бесконтактных карт разных банков

Тут важно отметить, что технология, как таковая в разных картах друг от друга не отличается. Разница лишь в протоколе, по которому происходит транзакция.

Сейчас многие банки являются партнерами систем МастерКард или Виза. Именно этим они и будут отличаться. Первые работают через протокол, который называется PayPass, вторые используют PayWawe. В остальном все зависит от условий банка – наличие кэшбека, комиссии, скидки, бонусы и пр.

Значок

Узнать банковский пластик с бесконтактной оплатой можно по небольшому значку, схематично изображающему радиоволну. Он однотипен, независимо от того, как называется бесконтактная оплата у карты, каким банком она выпущена. Цвет может быть любым, присутствуют малозаметные особенности в графике. На изображении обычно 4, реже 3, параллельные дуги.

Инструкция для тех, кто пользуется бесконтактными банкоматами

Как правильно пользоваться бесконтактной картой? Те, кто решил воспользоваться современной технологией, должны запомнить несложный алгоритм действий:

1. находим банкомат, оснащенный модулем НФС, поддерживающим бесконтактные перечисления денежных средств;
2. подносим пластиковую карточку к считывающему сканеру, удерживаем ее на небольшом удалении до появления звукового сигнала;
3. следующим этапом система запросит введение защитного пароля вашей карты;
4. на дисплее появляется главное меню;
5. чтобы снять наличные средства или перечислить деньги за товары и услуги, выбираем соответствующий намерениям пункт и выполняем появляющиеся рекомендации;
6. нажимаем на вид услуги, за которую желаем осуществить оплату. Для примера пополним баланс сотового телефона;
7. вводим необходимую к зачислению сумму;
8. на новой странице появляется итоговый платеж с запросом подтверждения своих намерений. Если все данные указаны верно, нажимаем клавишу «далее»;
9. подносим банковскую карточку к сканеру;
10. денежные средств в автоматическом режиме перечисляются на счет телефона;
11. оформляем чек на выполненную транзакцию.

Теперь каждому понятно, как пользоваться банкоматом с функцией НФС. Как видите, времени для одной операции требуется немного.

Обращаем внимание на один момент. Если банкомат с чипом NFC «не видит» сотовый телефон, перезагрузите смартфон и проверьте, правильно ли внесены в нем сведения о пластиковой карте. Кроме того, проверьте уровень заряда аккумуляторной батареи – порой причина кроется именно в этом.

Сбербанк отслеживает развитие технологии, внедряет ее в обслуживание потребителей.

Транзакции бесконтактным способом набирают популярность. Ничего удивительного в этом нет, ведь для проведения оплаты достаточно носить при себе мобильный телефон или пластиковую карту, оснащенную специальным чипом. Отпадает необходимость блокировки карты, если она изымается банкоматом, снижается риск оставить ее в аппарате.

Любая операция надежно защищена от посторонних людей. Напоминаем про одну особенность – не каждый банкомат оснащен современной технологией. Кроме того, не всегда наличие соответствующих знаков означает, что функция бесконтактных платежей активирована.

Использование в банкомате или терминале

Если устройство оборудовано модулем NFC, вы можете им пользоваться, не вставляя пластик в отверстие:

• поднесите карточку к считывателю сигнала карточки;
• характерный звук (пик) оповестит об установке связи;
• введите ПИН;
• выбирайте пункты меню банкомата привычным способом для снятия наличных, пополнения, переводов, оплаты и прочих запросов.

Сохраняется возможность традиционного использования для оплаты и доступа к личному кабинету в банкомате через картоприемник.

Как защитить?

Основные способы:

• храните карточку отдельно от ПИН-кода;
• в случае обнаружения утраты пластика немедленная заблокируйте его, закажите перевыпуск;
• подключите СМС-оповещения об операциях;
• используйте специальные чехлы, не пропускающие NFC-сигналы (многие специалисты считают меру излишней и бессмысленной);
• страхуйте риски получения ущерба – все банки предлагают защищать средства на счетах.

Как отличить банкомат с возможностью бесконтактного обслуживания

На банкомате имеются:

• чёрная коробочка с логотипом NFC (как отмечалось ранее, он напоминает значок Wi-Fi);
• надпись «Приложите карту» и лого NFC непосредственно на экране банкомата.

Как получить

Оформление и выдача происходит одинаково, независимо от наличия функции бесконтактной оплаты. В некоторых случаях возможна замена действующей карточки на новую. Перед подачей заявки важно выбрать тариф, по которому предусмотрена опция.

Стоимость обслуживания может остаться прежней или увеличиться. Отдельные эмитенты, чтобы сохранить комиссию на прежнем уровне, увеличивают срок действия пластика, а перевыпуск по вине держателя делают платным.

Как пользовать такой картой

Используйте носитель для оплаты в торговых точках или для выполнения операций в банкоматах. Принципиальным условием является поддержка бесконтактной работы выбранным устройством, о чем вы узнаете по значку на его корпусе – схематичная радиоволна, как на карте.

Опция позволяет выполнять мелкие операции быстрее, не вставляя пластик в терминал и не вводя PIN.

Как понять бесконтактная карта или нет?

На пластик обязательно нанесен схематичный рисунок радиоволны. Он бывает не ярким и не сразу заметным. Могут быть дополнительные обозначения, которые указывают на подключенную функцию:

• PayWave;
• PayPass;
• Contactless.

Как прикладывать банковскую карту к терминалу для бесконтактной оплаты

Со стороны кажется, что все просто – при оплате приложить карту к терминалу и все. На самом деле так и есть. Хотя стоит отметить несколько нюансов, вроде, когда нужно прикладывать платежное средство, какой стороной, как долго держать и т.д.

Как работает

На карточках технология бесконтактной оплаты реализована через специальную метку RFID («Radio Frequency IDentification» – радиочастотная идентификация). Внутри пластика проходит тонкий проводок-антенна. При поднесении его к терминалу включается радиосигнал за счет магнитного поля, происходит обмен данными между картой и устройством.

Какие банки выпускают их?

Бесконтактный пластик стремительно вытесняет с рынка контактный. С апреля 2021 года все Visa в обязательном порядке оформляются с технологией PayWave, MasterCard планирует полностью перейти на Contactless к апрелю 2021.

МИР подобных требований банкам не выставляет, но значительная часть карточек выпускается со встроенной функцией. Получить бесконтактный пластик можно в любом российском банке, занимающемся выпуском.

Какие карты обслуживаются?

Обращаем внимание, что указанная технология поддерживается не каждым банковским продуктом. Впервые кредитки, выполняющие бесконтактные перечисления, выдавались в 2006 году, а через десятилетие начали использоваться повсеместно.

С самого начала банкоматы функционировали по системе Pay Pass, распознавая пластик Мастеркард. Несколько позже доступ получили кредитки Виза с иной платежной системой – Pay Wave. Отсюда следует вывод, что обновленные банкоматы обеспечивают платежи бесконтактным способом только для Visa и MasterCard, остальные карты от Сбербанка проводят оплату по стандартному алгоритму.

Для полной уверенности внимательно рассмотрите внешний вид своей пластиковой карты. Увидев изображение волн, смело платите ей в любом магазине и обналичивайте деньги бесконтактным методом.

Такие банковские карты оснащены чипом RFID и антенной, имитирующими сигналы и пересылающими информацию на считывающий сканер.

Отметим, что, если привязать карту Сбербанка к мобильному телефону, оснащенному необходимым чипом, то гаджетом можно осуществлять платежи через банкомат. Чтобы удостовериться в таких возможностях устройства, войдите в стандартные настройки смартфона, перейдите в раздел «беспроводные сети» и найдите нужный вам пункт.

Инновационная технология экономит свободное время и облегчает выполнение транзакции. Нет необходимости иметь при себе кошелек с наличными средствами или пластиковыми картами – все, что необходимо для оплаты, сосредоточено в мобильном девайсе. Сегодня снять наличные или перевести деньги возможно через специальные приложения различных разработчиков – Google Pay, Андроид Пэй, Самсунг Пэй. Добавив в утилиту данные пластиковой карточки, поднесите смартфон к сканеру и подтвердите свое действие.

Какие карты поддерживаются

Любые карты платёжных систем VISA и MasterCard (дебетовые и кредитные), выпущенные Сбербанком и имеющие на лицевой стороне характерное обозначение технологии бесконтактной оплаты NFC (похоже на значок Wi-Fi). Если ваша карта не поддерживает бесконтактные платежи, то можно заказать перевыпуск карты через Сбербанк Онлайн (вы получите новую карту с поддержкой этой технологии).

Какой стороной прикладывать карту

Как уже отмечалось, в платежном средстве есть NFC. Задача владельца обеспечить контакт магнитного поля чипа и считывателя терминала. Каким образом это будет сделано – неважно. Без разницы, какой стороной прикладывать карту при бесконтактной оплате, но стоит отметить, что лучшим расстоянием будет 2-3 см. Это увеличит скорость и безопасность транзакции.

Обратите внимание! В зависимости от модели, чип в терминале или ПИН-паде может находится в разных местах. Для обеспечения оптимального расстояния производитель наносит на корпус метку – значок в виде перевернутого Wi-Fi или зеленый светодиод – именно к нему лучше прикладывать карту.

Лимиты и ограничения

Максимальная сумма, на которую можно расплатиться без ввода ПИН-кода, ограничена платежной системой и банком, обслуживающим платежи торговой точки (эсквайером). Виза допускает платежи до 3000 рублей, МастеКард, МИР – до 1000. Большинство торговых точек требуют ПИН от 1000 рублей по всему пластику.

Метки nfc

Это еще один распространенный способ применения NFC в смартфоне. Метки NFC получили большую популярность в торговых и рекламных зонах: их встраивают в афиши, рекламные щиты, помещают на товары в магазинах. Обычно это небольшие стикеры, стоимость которых не превышает 50 рублей.

Вы можете создавать собственные NFC-метки, модернизировать их и затем использовать в повседневной жизни. Как правило, для этого используется сторонний софт вроде NFC TagWriter. Приложение довольно простое и позволяет записать на метку множество типов данных — от контакта и телефонного номера до закладки веб-браузера.

На самом деле NFC-метки — настоящий подарок, когда речь заходит об автоматизации. Например, можно наклеить метку на ноутбук и при помощи приложения Trigger настроить включение точки доступа, выбрав в качестве действия «Беспроводные и локальные сети».

Решение попроще — записать пароль от Wi-Fi на метку, наклеить ее на роутер, и потом всякий раз, когда гости спросят пароль, отправлять их к NFC-метке. Или еще: установить метку около кровати и сделать так, чтобы при прикосновении на смартфоне включался авиарежим (опять же с помощью Trigger).

Полезно будет и автомобилистам — записали на метку алгоритм запуска навигатора, наклеили ее на держатель для смартфона, и всякий раз, когда вы будете устанавливать устройство на это место, навигатор будет запускаться автоматически.

И таких примеров применения NFC-меток еще очень и очень много. Зачастую появление новых кейсов ограничивается вовсе не технологией, а фантазией пользователя.

Могут ли украсть с неё деньги?

Списания против воли держателя возможны, если:

1. пластик украден/утерян и не заблокирован – доступны списания без ПИН-кода суммами до 1000/3000 рублей;
2. одновременно выполнены условия: злоумышленник завладел терминалом набрал сумму в пределах лимита поднес устройство к карте на расстояние менее 5-10 см в течение нескольких секунд после ввода суммы.

Вторая ситуация маловероятна даже в автобусе или метро, она лишена здравого смысла. Лицу, получившему законно терминал, это не выгодно, так как сумма не большая, операция может быть опротестована, деньги возвращены, а за злоупотребление грозит уголовная ответственность.

Красть терминал бессмысленно, так как он привязан к счету клиента банка. Деньги в руки укравшего не попадут.

Можно ли отключить функцию

Порядок отказа от бесконтактной оплаты зависит от банка. В большинстве случаев потребуется выбор альтернативного продукта.

Работа модуля прекращается при механическом повреждении антенны – тонкой проволоки, которая проходит внутри. Можно осторожными сгибаниями-разгибаниями карты добиться разлома металла. При этом важно сохранить целостность пластика. Иначе любая оплата станет невозможной.

Особенности работы

Технология бесконтактных денежных переводов осваивается и распространяется активно, и найти ближайший банкомат Сбербанка с чипом NFC легко.

Микрочип поддерживает беспроводную отправку информации на расстояние, не превышающее десяти сантиметров. Для передачи сведений банковскую карту подносят к сканирующему устройству. Данный способ отличается большим потенциалом не только в сфере финансирования и активно используется в разработке мобильных телефонов.

Немаловажное условие для выполнения транзакции – наличие аналогичного чипа на принимающем устройстве, чем и воспользовались сотрудники Сбербанка.

Чтобы снять наличные деньги либо перечислить определенную сумму за товары и услуги, банковская карта с чипом NFC прикладывается к сканеру банкомата Сбербанка.

Как понять, что перед вами находится банкомат, поддерживающий технологию бесконтактных денежных переводов? Если аппарат имеет встроенный модуль, на его передней панели выведен считывающий сканер, отмеченный изображением в виде волн и надписью Pay Pass либо Pay Wave.

Помните, что не каждая карточка поддерживает платежи бесконтактным способом – на ней тоже должна быть соответствующая символика.

Использовать новую технологию смогут:

• пользователи совместимыми пластиковыми карточками;
• владельцы телефонов, оснащенных чипом НФС;
• потребители, имеющие банковские аксессуары – кольца, смарт-браслеты или брелоки, оснащенные соответствующим передатчиком.

Для обмена сведениями необходимо несколько секунд.

Осторожно с nfc банкоматами

Открываем все двери

Кто-то реализовывает подобное и в домашних условиях, но в основном использование NFC для идентификации и контроля пользователя характерно для предприятий и организаций. Турникеты и замки настраиваются таким образом, что при помощи метки, которая является пропуском, решают, стоит давать ее обладателю разрешение на вход или нет.

С NFC в смартфоне действительно открываются все двери — если не в буквальном смысле, то в переносном точно. Фактически пользователь получает универсальный инструмент, который, несмотря на скоростные ограничения, находит себе применение в самых разных ситуациях.

Плюсы и минусы

Преимущества:

• сокращение времени на операции оплаты;
• комфорт;
• исключение возможности двойного списания;
• при бережном использовании повышенная защита данных карты;
• снижение износ пластика из-за отсутствия постоянного трения о терминалы.

Недостатки:

• беспрепятственная оплата до 1000 при попадании карточки в чужие руки;
• противоречивое отношение к технологии NFC в части доступа к информации о месте нахождения человека.

Подключение карты к смартфону

Бесконтактная оплата возможна с помощью телефона без использования пластикового носителя. Для этого:

• убедитесь в наличии NFC-модуля в смартфоне;
• установите подходящее мобильное приложение (Apple Pay для Apple, Google Pay, Mir Pay, Samsung Pay для Android);
• привяжите карточку в приложение;
• используйте смартфон для оплаты вместо пластика.

Покупки в интернете

Наличие опции не влияет на возможности пластика для онлайн-оплаты. В интернет магазинахтребуются реквизиты: номер, срок действия, имя держателя, секретный код.

Для оплаты счета через личный кабинет требуются реквизиты квитанции, а также одноразовый пароль из СМС. Мобильное приложение может иметь функцию оплаты по QR-коду. В таком случае требуется сам счет.

Преимущества для клиентов

Современный способ бесконтактных перечислений денежных средств либо их снятия через банкомат обладает определенными достоинствами:

• информация обрабатывается значительно быстрее. Бесконтактный способ экономит время, отсутствует необходимость устанавливать пластиковую карточку в приемник и ждать обработки информации. Банковский продукт прикладывается к сканирующему устройству, вводится защитный код, и перед потребителем появляется главное меню;
• данным способом удобно оплачивать различные товары и услуги, обналичивать денежные средства даже в том случае, если кошелек с банковскими картами оставлен дома. Выручает мобильный телефон, к которому в платежном приложении привязаны пластиковые карты;
• обеспечивается дополнительная безопасность выполняемых операций. Нет необходимости волноваться о защищенности персональной информации, данные пересылаются на небольшие расстояния в течение нескольких секунд, исключая возможность быть перехваченными злоумышленниками для использования их в корыстных целях. Еще одно достоинство в том, что зависание банкомата не повлияет на вашу карту – она остается в руках постоянно. Кроме того, магнитная полоса кредитки и встроенный в нее микрочип не подвергаются повреждениям механического характера, что увеличивает эксплуатационный период в корректном рабочем режиме.

Как только обслуживание закончено, связь считывающего сканера и RFID чипом прерывается, что гарантирует отсутствие повторного снятия денежных средств.

Расчеты в повседневной жизни

Расплачиваться карточкой можно у всех продавцов, принимающих безналичную оплату. Если вы видите значок бесконтактной оплаты, можете выполнить операцию ускоренно:

• дождитесь момента, когда сумма высветится на терминале оплаты; обычно кассир при этом подает вербальный знак (например, «Пожалуйста», «Прикладывайте» и т.п.);
• поднесите пластик к терминалу на расстояние в несколько миллиметров;
• вы услышите звуковой сигнал в подтверждение считывания;
• при запросе ПИН-кода введите его;
• получите на руки чек с информацией об удачном/неудачном списании.

Считыватели банковских карт и мобильных устройств с nfc: как выбрать и купить

Уязвимости nfc позволяют взломать банкомат, просто взмахнув смартфоном

Исследователь безопасности обнаружил ряд ошибок, позволяющих взламывать банкоматы и широкий спектр терминалов продаж по-новому — взмахом телефона над устройством для чтения бесконтактных банковских карт. К старту курса Этичный хакер делимся переводом статьи о возможностях, которые открываются при эксплуатации обнаруженных уязвимостей, о том, что делал автор, чтобы обнаружить их и о том, как отреагировали производители банкоматов.

---

Иосип Родригес, Исследователь и консультант по безопасности охранной фирмы IOActive провёл последний год в поисках уязвимости в так называемых чипах коммуникации ближнего поля (NFC), работающих в миллионах банкоматов и терминалов продаж по всему миру. С NFC для проведения платежа или вывода денег из банкомата не нужно вставлять карту — достаточно провести её над считывателем. Технология работает в бесчисленных розничных магазинах и ресторанах, торговых автоматах, паркоматах и такси по всему миру.

Родригес написал приложение для Android, позволяющее смартфону имитировать радиосвязь банковских карт и эксплуатировать недостатки прошивки систем NFC. Одним взмахом смартфона он может вывести из строя терминалы продаж, взломать их для сбора и передачи данных банковских карт, незаметно изменить стоимость транзакций и даже заблокировать устройство, отобразив сообщение программы-вымогателя.

Родригес утверждает, что он даже может заставить банкоматы, по крайней мере одной марки, выдавать наличные, хотя такой «джекпоттинг» работает только в сочетании с другими ошибками, которые, по его словам, он нашёл в программном обеспечении банкоматов. Из-за соглашений о неразглашении с поставщиками банкоматов Родригес отказался уточнять или раскрывать эти ошибки.

«Можно модифицировать прошивку и изменить цену, например на один доллар, пока на экране отображается другая цена, вывести устройство из строя или установить своего рода программу-вымогатель — вариантов много», — рассказывает Родригес об обнаруженных им уязвимостях.

«Выстроив цепочку атак, а также отправив специальную полезную нагрузку на компьютер банкомата, вы сможете снять деньги с банкомата, как джекпот, просто проведя телефоном над NFC-считывателем».

Исследователь рассказывает, что с июня по декабрь 2020 года он предупреждал о своих находках пострадавших поставщиков, включая ID Tech, Ingenico, Verifone, Crane Payment Innovations, BBPOS, Nexgo, а также неназванного поставщика банкоматов.

Тем не менее исследователь также предупреждает о том, что затронуто огромное количество систем, а также о факте, что многие терминалы и банкоматы обновляют ПО нерегулярно, во многих случаях требуя физического доступа для обновления. Это означает, что многие устройства, вероятно, останутся уязвимыми. «Физическое исправление стольких сотен тысяч банкоматов потребует много времени», — говорит Родригес.

В качестве демонстрации таких уязвимостей Родригес поделился с WIRED видео, где он проводит смартфон над NFC-считывателем банкомата на улице его дома, заставляя банкомат вывести сообщение об ошибке. Считывающие устройство выходит из строя и больше не читает его карту, когда исследователь прикладывает её к банкомату.

Он также не предоставил видеодемонстрацию атаки джекпоттинга, поскольку, по его словам, мог легально протестировать только устройства, полученные в рамках консультаций IOActive по вопросам безопасности для пострадавшего поставщика банкоматов, с которым IOActive подписала соглашение о неразглашении.

«Полученные результаты — отличное исследование уязвимости работающего на встраиваемых устройствах программного обеспечения», — говорит Карстен Нол, основатель фирмы по безопасности SRLabs и известный взломщик прошивок, который проанализировал работу Родригеса.

Однако Нол указывает на несколько недостатков, которые делают метод непрактичным в реальных кражах. Взломанный считыватель NFC может украсть только данные карты с магнитной полосой, но не PIN-код жертвы или данные с чипов EMV. И тот факт, что трюк с обналичиванием денег из банкомата потребует дополнительной уязвимости в коде конкретного банкомата, — немаловажная оговорка, утверждает Нол.

Вместе с тем исследователи в области безопасности, такие как покойный хакер IOActive Барнаби Джек и команда Red Balloon Security, уже много лет вскрывают уязвимости банкоматов и даже показали, что хакеры могут удалённо запускать джекпоттинг ATM. Генеральный директор и главный научный сотрудник Red Balloon Анг Куи рассказывает, что впечатлён выводами Родригеса и, несмотря на то что IOActive утаила некоторые детали своей атаки, не сомневается, что взлом считывателя NFC может привести к выдаче наличных во многих современных банкоматах.

«Я думаю, очень правдоподобно, что как только вы получите возможность выполнения кода на любом из этих устройств, то сможете добраться до главного контроллера: он полон уязвимостей, которые остаются в системе более десяти лет», — говорит Куи. «Оттуда, — добавляет он, — абсолютно точно возможно контролировать кассетный диспенсер, который хранит и выдаёт наличные деньги пользователям».

Родригес, который провёл годы, тестируя безопасность банкоматов в качестве консультанта, рассказывает, что год назад начал изучать вопрос о том, могут ли бесконтактные считыватели карт банкоматов, чаще всего продаваемые компанией ID Tech, специализирующейся на платёжных технологиях, — служить средством их взлома. Он начал покупать считыватели NFC и терминалы продаж на eBay и вскоре обнаружил, что многие из них страдают от одного и того же недостатка безопасности: они не проверяют размер пакета данных, отправляемого через NFC с банковской карты на считыватель, этот пакет называют пакетом данных протокола приложения или APDU.

Чтобы отправить APDU в сотни раз больше обычного и вызвать переполнение буфера, Родригес написал приложения для Android с NFC. Уязвимость переполнения буфера существует уже десятилетиями, она позволяет хакеру повредить память целевого устройства и запустить свой код.

Когда WIRED связались с пострадавшими компаниями, ID Tech, BBPOS и Nexgo не ответили на просьбы о комментариях, также отказалась от комментариев Ассоциация индустрии банкоматов. Компания Ingenico в своём заявлении сообщила, что благодаря принятым мерам безопасности способ переполнения буфера Родригеса мог только вывести из строя её устройства, но не позволял выполнить код на них. Однако, «учитывая неудобства и последствия для наших клиентов», компания всё равно выпустила исправление.

Родригес сомневается, что меры Ingenico действительно предотвратят выполнение кода, но он не написал доказательство концепции для демонстрации.

Компания Verifone, в свою очередь, заявила, что нашла и устранила уязвимости терминалов, на которые Родригес обратил внимание в 2021 году, задолго до того, как он сообщил о них. Но Родригес утверждает, что это лишь демонстрирует непоследовательность исправления в устройствах компании; он говорит, что протестировал свои методы взлома с помощью NFC на устройстве Verifone в ресторане в прошлом году и обнаружил, что оно по-прежнему уязвимо.

Многие находки исследователя оставались в тайне целый год, в ближайшие недели Родригес планирует поделиться техническими деталями уязвимостей на вебинаре, отчасти, чтобы подтолкнуть клиентов пострадавших производителей внедрить выпущенные исправления.

Кроме того, Родригес хочет привлечь внимание к плачевному состоянию безопасности встраиваемых устройств в целом. Он был потрясён, обнаружив, что такие простые уязвимости, как переполнение буфера, сохранились во многих широко используемых устройствах — тех, которые работают с наличными и конфиденциальной финансовой информацией.

«Многие годы эти уязвимости присутствуют в прошивке устройств, с которыми мы каждый день сталкиваемся при работе с банковским картами, с нашими деньгами, — говорит он. — Они должны быть защищены».

Из этого материала становится ясно, что даже системы, которые непосвящённому человеку кажутся самыми надёжными, могут подводить из-за недостатков, известных уже десятки лет. Если вам хочется самому находить такие уязвимости, то научиться всему можно на нашем курс для пентестеров со специальной скидкой по промокоду HABR.

Узнайте, как прокачаться и в других специальностях или освоить их с нуля:

Другие профессии и курсы

Анализ отзывов

Рейтинг пластика с функцией бесконтактной оплаты довольно высокий. Анализируя отзывы за 2 года, мы заметили повышение лояльности пользователей. Все отмечают комфорт и скорость. Регулярно встречаются опасения, что опция небезопасна.

В интернете много статей с теорией, можно ли украсть деньги, как это сделать. Нами не обнаружено ни одной реальной истории о краже денег с пластика в кармане или сумке через радиосигнал.

Заключение

Банкоматы с бесконтактным обслуживанием — это удобно. Необходимо лишь приложить карту, не вставляя её в банкомат. Кроме того, вам не потребуется блокировать карту и заказывать её перевыпуск, если та (в силу тех или иных технических сбоев) вдруг будет изъята банкоматом.

К сожалению, на сегодняшний день далеко не все банкоматы сбербанка поддерживают бесконтактные операции. Даже несмотря на наличие NFC-считывателей, на практике оказывается, что они не подключены. Поэтому, если даже перед вами банкомат Сбербанка с «чёрной коробочкой», то нет гарантии, что бесконтактное обслуживание будет работать.

Вместо заключения

Пожалуй, самое приятное в NFC — то, что эта технология доступна широкому кругу пользователей. Все больше производителей не оставляют свои смартфоны без NFC, поэтому она есть как в устройствах типа

(за $321.99 по коду Mi5SGBS до 31.12) и

, так и во флагманах вроде

. Радует также разнообразие

Что с Apple и ее iPhone 7, спросите вы? Увы, но компания-производитель ограничивает работу чипа NFC в своем смартфоне, и его можно использовать только для платежной системы Apple Pay. Осенью, впрочем, она запустилась в России, так что хоть какой-то плюс.

А как вы используете NFC в повседневной жизни? Поделитесь с нами своим опытом в комментариях.