Applikationskryptogram (ARQC)
Den kryptografiska kontrollsumma som ett EMV-chip räknar fram för varje köp och som gör kopierade kortdata värdelösa.
Chipet har en nyckel som är unik för kortet, härledd ur utgivarens huvudnyckel. Med den beräknar det en MAC över belopp, valuta, datum, en transaktionsräknare och ett slumptal från terminalen. Resultatet, åtta byte, heter ARQC (Authorization Request Cryptogram) och följer med auktoriseringen till utgivaren. Där räknar en betal-HSM om samma värde och svarar med ett eget, ARPC. Godkänner kortet offline blir det i stället ett TC, och vägrar det ett AAC.
Eftersom kryptogrammet är bundet till just den transaktionen hjälper det inte att skimma det. Svagheten ligger hos terminalen: 2014 visade Bond, Murdoch och Anderson i Cambridge att vissa automater genererade förutsägbara "slumptal", vilket gjorde det möjligt att räkna fram kryptogram i förväg för framtida uttag.