你想過沒，如果你的銀行卡晶元掉了有啥危害？

編者按：本文是ABC7 I-Team成員Jason Knowles和Ann Pistone進行的一項研究，原文發布在ABC7的公司官網中。

一個疑問引發的一場試驗

最近，ABC 7公司的Jason Knowles問我：「如果你信用卡上的晶元掉了，會對安全性造成什麼影響？惡意攻擊者可以對此做什麼？」當時我的第一反應是，「晶元怎麼會從信用卡上掉出來呢？」我立即檢查了我所有的銀行卡，並快速地得出了一個結論：如果不是惡意為之，這種情況基本不可能發生。畢竟生產商把它密封地很嚴實，對吧？

但是令我驚訝的是，經過了一番研究後我發現，確實有一些文章和新聞報道過有晶元從卡中掉落的事件，新聞的主人翁表示將其粘貼複位後繼續使用。顯然，或多或少都有原因可能導致晶元脫落，包括日常磨損、製造問題、過熱、潮濕或上述問題組合出現（如又熱又潮等）都可能會損害固定晶元的膠水的完整性。

這時候我才明白，原來除了惡意破壞，還有其他正常理由可以導致晶元脫落。但是脫落的晶元能發揮什麼作用呢？一個人可以撿起掉落的晶元進行欺詐性目的嗎？或者能不能將它粘在其他東西上使用？理論上來說，如果晶元和金屬接觸面沒有出現損壞就應該會起作用。但是，作為一名「事件響應和取證分析」領域的顧問，理論上的結論並不能滿足我，我需要足夠說服自己的理由。沒有其他的辦法了，我必須親自試試來找尋最終的答案。

測試一

在這第一個測試中，我可能有點太過急於開始實驗得出結論。不過很幸運的是，我剛好最近收到了一張新的信用卡，我還沒來得及啟用，所以用它作為測試晶元再合適不過了。

但是很快地，我發現自己沒有合適的工具，在不破壞金屬接觸面的情況下來熔化膠水，最後我只能選擇一把剪刀和一把Xacto刀來完成工作。自然地，工作完成略顯粗糙，你可以看到表面有很多彎曲和切割痕迹，但是很幸運沒有破壞背面晶元的輪廓。

當我把背面掀起來，晶元就顯露出來了。下圖顯示的就是連接到卡頂部的金屬接觸墊，這東西在任何支持晶元的卡上都能夠看到。

這時候，我不太確定如何在不破壞它的情況下順利拆下晶元，所以最後我選擇圍著晶元周圍一點點進行切割，成品如下所示：

是的，我知道很糟糕，但是沒辦法，有了晶元才能繼續研究。接下來就進入到最精彩有趣的實驗過程。

我的第一想法是將其粘貼在另一張卡上，然後跑去便利店或ATM機上試試。如果你現在在發笑，你可能是已經預料到這將是一次史詩級的失敗。晶元和插槽根本不匹配，所以我只能實施B計劃。

B計劃

我從失敗中得出了教訓——只需要測量卡上的位置，而不用將其重置在另一張信用卡上。所以最後我把晶元放在了一張名片上（如下所示），完美！

這一次可能會有效了，但是我在這個方法中犯了一個錯誤——我用雙面膠帶把晶元粘在了我的舊名片上。但是由於當時沒有意識到這個錯誤，我就拿著「人造卡」去了五金店，隨便買了一些商品就去結賬。當然了，我選擇的是自助結賬，因為拿著這種「人造卡」看起來很白痴。在看到提示後，我把我的「人造卡」插入了讀卡器中，結果晶元從讀卡器中掉了出來。是的，我的第一次嘗試宣告失敗。

測試二

這一次，我想把晶元切割地更完美些，之前的晶元宣布淘汰。我選了另一張信用卡上，我非常仔細地用Xacto刀沿著卡頂部的金屬接觸墊進行切割。揭開塑料表面後，我非常仔細地從卡上挑出接觸墊和附著的晶元。這次我使用了一些超級膠水將晶元「嵌入」卡上。

當然成果並不是很漂亮，但是較之上次有很大進步。接下來，我選擇去商店購物，希望這次實驗可以取得成功。

上圖是我這張銀行卡的最後4位數字，下面是我使用這張交換了晶元的「人造卡」進行交易的畫面。

成功了！交易生效了，我的購買任務也順利完成。

這時候，你也許會質疑小票上的最後4位卡號為什麼與上圖卡上的最後4位數不符？實際上，小票上顯示的4位數就是我粘貼在卡上的晶元的最後4位數。

結論

那麼，我做這一切的意義是什麼？如果你想知道從信用卡上掉落的晶元，能不能被其他人用來將其放在另一張卡或其他媒介（如上文所述的名片）上進行消費，答案是肯定的，只要保持晶元完整無損即可。所以，如果有人發現了你的晶元並將其用作惡意攻擊，其對安全性勢必造成嚴重的威脅。

也許你會覺得，我需要非常仔細才能保證在不損害晶元的基礎上將其取出並進行使用。話雖如此，但是現實中，無論是製造問題、日常磨損還是過熱、過潮等原因都可能導致膠水脫落，你應該意識到，即使不是惡意破壞，你的晶元也有可能會脫落。

所以，建議大家留意自己信用卡的完整性，如果發現晶元遺失，一定要將其當作信用卡遺失一樣處理。記得打電話給開戶銀行，讓他們立即給你補辦新的銀行卡。此外，並不建議你將晶元粘合後繼續使用，因為牢固性依然是一個大問題。

點擊展開全文

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！