ATM CVV1 + 服务代码，POS 安全漏洞？

Question

我是这个话题的新手，我发现所有支付系统当前的工作方式非常有趣。 老实说，他们在阻止信用卡欺诈活动方面做得还不够。

据我了解，每张卡都有一个使用加密数据的智能芯片，这是为了克服磁条明文。

每张卡仍然有磁条以防 EMV 不起作用的问题（商家不想失去客户）。

当 POS 无法读取芯片时，它会回退到磁条。犯罪分子正在做的是用空白/不可读芯片克隆磁卡上的磁道 1//2，这将导致 POS 回退到磁条交易……在这种情况下，整个 EMV 是无关紧要的。

我认为这是非常危险的，并在我自己的卡片（201 / Chip and Pin）上进行了检查，结果如下：

我在空白磁条卡上克隆了我自己的 CC（201 / 芯片）并去 ATM。输入 PIN 后，我进入提款屏幕，按下最低金额，然后 ATM 显示“此卡无法提供服务”。

然后我做了一些研究，发现了这个： https://github.com/samyk/magspoof/pull/3

我知道在更改服务代码时，CVV1 也会更改（PAN、Exp Date 和服务代码的 DES 加密 = CVV1）。但我改变了它，看看会发生什么。

太奇怪了，我自己 CC 的克隆卡只在 1 台 ATM 上工作。 我什至试图将 CVV1 更改为随机数，但它仍在那个特定的 ATM 上工作（我的银行甚至没有检查 CVV1 ??????）

有人知道怎么回事吗？ 为什么在更改服务代码时它适用于 1 款自动柜员机？ 为什么我的银行不验证 CVV1 值？

谁能解释一下为什么我自己的克隆卡在使用 201 作为服务代码时不起作用？ POS 应该做回退交易，因为他无法读取芯片。

这真的很令人困惑和害怕，这个简单的技巧（将201改为101）如何让POS继续交易，然后银行甚至没有验证CVV1（我什至输入了000然后是随机数和仍然有效）。

我应该向我的银行/POS 公司报告此情况吗？

Answer 1

磁条仍然放置在卡上，因为 EMV 迁移不是 100%，预计会消失。然而，有一个责任转移的概念——使用最低技术的一方必须在欺诈的情况下受到打击。如果发行方完全符合 EMV 标准，而收单方不符合要求，则在退款收单方失败的情况下，其他方式相同。

但是 CVV 未验证的情况看起来有点奇怪，因为每个银行都会进行 CVV 验证。POS 公司在这里无能为力，因为他们无法在没有 CVK 的情况下说 CVV 正确或不正确，只有发行人。您当然可以向银行报告。

但请确保您在实时系统中进行这些模拟时要谨慎，因为您可能会被视为盗刷卡的欺诈者，即使它是您的卡。