Applicatiecryptogram (ARQC)
De cryptografische controlesom die een EMV-chip bij elke aankoop berekent, waardoor gekopieerde kaartgegevens waardeloos zijn.
De chip bevat een sleutel die uniek is voor de kaart en is afgeleid van de hoofdsleutel van de uitgever. Daarmee berekent hij een MAC over bedrag, valuta, datum, een transactieteller en een willekeurig getal van de terminal. Het resultaat van acht bytes is de ARQC (Authorization Request Cryptogram). Die reist mee met de autorisatieaanvraag naar de uitgever, waar een betaal-HSM hem opnieuw berekent en antwoordt met een eigen cryptogram, de ARPC. Keurt de kaart offline goed, dan levert hij een TC; wijst hij af, dan een AAC.
Omdat het cryptogram aan één transactie gebonden is, levert het afluisteren ervan niets op. De zwakke plek is de terminal. In 2014 toonden Bond, Murdoch en Anderson van Cambridge aan dat sommige geldautomaten voorspelbare 'willekeurige' getallen genereerden, zodat cryptogrammen voor toekomstige opnames vooraf konden worden verzameld.