Kryptogram aplikacyjny (ARQC)
Suma kontrolna, którą chip EMV oblicza przy każdym zakupie i która sprawia, że skopiowane dane karty są bezwartościowe.
Chip przechowuje klucz unikalny dla karty, wyprowadzony z klucza głównego wydawcy. Za jego pomocą liczy MAC z kwoty, waluty, daty, licznika transakcji i liczby losowej dostarczonej przez terminal. Ośmiobajtowy wynik to ARQC (Authorization Request Cryptogram); trafia wraz z żądaniem autoryzacji do wydawcy, gdzie płatniczy moduł HSM liczy go ponownie i odpowiada własnym kryptogramem, ARPC. Jeśli karta zatwierdza transakcję offline, generuje TC, a jeśli odmawia — AAC.
Ponieważ kryptogram jest związany z jedną transakcją, jego przechwycenie (skimming) niczego nie daje. Słabym punktem jest terminal: w 2014 roku Bond, Murdoch i Anderson z Cambridge wykazali, że część bankomatów generowała przewidywalne „losowe” liczby, co pozwalało zawczasu zebrać kryptogramy do przyszłych wypłat.