Seu cartão expirado não está morto, ele é um zumbi
Pesquisadores da University of Massachusetts descobriram recentemente uma vulnerabilidade crítica, revelando que cartões Visa expirados ainda podem facilitar novos contactless payments. Este exploit, apropriadamente chamado de ataque 'Zombie Card', permite que as transações prossigam muito tempo após a data de validade oficial do cartão, desafiando fundamentalmente a segurança de pagamentos. A falha central reside na configuração do protocolo contactless da Visa, onde o campo da data de validade permanece desprotegido, fora da assinatura criptográfica do cartão, tornando-o suscetível à manipulação.
Esta não é uma preocupação teórica confinada a artigos acadêmicos. Os pesquisadores demonstraram rigorosamente a eficácia do ataque Zombie Card, processando pagamentos com sucesso em terminais de pagamento comerciais reais. Suas transações no mundo real confirmam essa vulnerabilidade como uma ameaça tangível, provando que um cartão Visa expirado, se fisicamente possuído, pode de fato iniciar novas compras se explorado.
Crucialmente, essa fraqueza específica de protocolo é exclusiva da Visa. A equipe de pesquisa conduziu testes abrangentes contra outras grandes redes de pagamento usando a mesma metodologia de exploit. Os sistemas da Mastercard, American Express e Discover rejeitaram com sucesso as tentativas de processar pagamentos com dados de validade manipulados, demonstrando sua resiliência. Isso destaca uma lacuna de segurança distinta na arquitetura da Visa, isolando o problema aos seus portadores de cartão.
Anatomia de um roubo contactless
O sistema de pagamento contactless da Visa abriga uma falha de design crítica, descoberta por pesquisadores da University of Massachusetts. Normalmente, a assinatura criptográfica de um cartão bloqueia todo o payload da transação, impedindo adulterações. No entanto, na configuração contactless específica da Visa, o campo da data de validade do cartão fica visivelmente fora desses dados protegidos por assinatura. Isso deixa a data de validade exclusivamente exposta à manipulação, mesmo que todas as outras verificações de segurança sejam aprovadas.
Para explorar essa vulnerabilidade, os pesquisadores orquestraram um sofisticado man-in-the-middle relay attack. Sua configuração envolvia dois telefones Android: um telefone agia como um cartão falso, interagindo com um terminal de pagamento real, enquanto o segundo telefone estabelecia uma conexão com o cartão Visa expirado real. Essa arquitetura de dois telefones criou um canal transparente, permitindo que os atacantes interceptassem e modificassem os dados da transação em trânsito.
Durante o retransmissão, o sistema executou uma troca de dados simples, porém devastadora. Os pesquisadores interceptaram a data real e expirada do cartão e a substituíram perfeitamente por uma data futura válida, fabricando legitimidade. Criticamente, o cryptogram autêntico do cartão — a prova criptográfica central da validade da transação — permaneceu totalmente intocado. O terminal então processou a solicitação, recebendo o cryptogram genuíno junto com a data de validade falsificada, resultando na aprovação inicial da autorização. Essa manobra enganosa efetivamente ressuscitou o "Zombie Card".
A corrente de confiança quebrada
Uma vez que o terminal aceita a data de validade adulterada, a solicitação de autorização segue para o banco emissor do cartão. Aqui, o sucesso do ataque Zombie Card depende dos sistemas internos do banco. Se o sistema de um emissor falhar ao realizar uma verificação secundária e específica para o status de expiração do cartão, ele pode aprovar a transação, tratando-a como legítima. Os pesquisadores demonstraram isso em cinco grandes bancos dos EUA, com alguns sistemas detectando a fraude enquanto outros não.
Crucialmente, um mecanismo de defesa existente, o Relay Resistance Protocol (RRP), poderia detectar e bloquear tais ataques de relay. No entanto, o RRP permanece um recurso opcional, e nenhum dos cartões ou terminais testados o tinha ativado. Essa falta de implementação obrigatória deixa uma lacuna significativa. Outras redes de pagamento, como Mastercard, American Express e Discover, rejeitaram com sucesso transações com dados de validade alterados durante os testes, destacando a vulnerabilidade específica da Visa.
Os pesquisadores divulgaram responsavelmente a vulnerabilidade à Visa e aos bancos afetados em maio e novamente em dezembro de 2025. A equipe de segurança da Visa reproduziu o problema internamente com sucesso, confirmando sua validade. Apesar disso, a Visa ainda não emitiu um patch ou atribuiu um identificador Common Vulnerabilities and Exposures (CVE). Essa inação ecoa um incidente anterior em que a Visa minimizou de forma semelhante outra falha de segurança relacionada ao modo Apple Transit. Para um mergulho mais profundo nos detalhes técnicos, leia Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments.
Gostando do artigo? Receba um assim na sua caixa de entrada toda manhã.
um e-mail por dia · cancele em dois cliques · sem rastreadores de terceiros
Como eliminar um Zombie Card de vez
A Visa ainda não implementou uma correção em todo o sistema para essa vulnerabilidade crítica, apesar de pesquisadores da Universidade de Massachusetts a terem identificado e relatado há meses. O crucial Relay Resistance Protocol, um mecanismo de defesa opcional capaz de detectar a natureza baseada em relay deste ataque, permanece amplamente desativado tanto em cartões quanto em terminais de pagamento. Consequentemente, a vulnerabilidade Zombie Card persiste como uma ameaça ativa; qualquer cartão Visa expirado, desde que seu chip EMV e tarja magnética estejam fisicamente intactos, possui o potencial para transações por aproximação ilícitas.
Simplesmente deixar um cartão expirado esquecido em uma gaveta ou descartá-lo na lixeira de reciclagem é insuficiente. O hardware subjacente mantém sua funcionalidade, pronto para ser explorado por um ataque de relay sofisticado. Somente através da destruição física completa os consumidores podem neutralizar verdadeiramente essa ameaça financeira latente, protegendo-se contra o uso não autorizado de seus cartões aparentemente inativos.
Para eliminar definitivamente um Zombie Card, foque em seus componentes principais de comunicação e armazenamento de dados. Você deve fazer um corte preciso diretamente através do EMV chip – o quadrado metálico na frente do cartão – e garantir que um corte correspondente seccione a tarja magnética no verso do cartão. Esta ação incapacita fisicamente o cartão, impedindo qualquer futura transmissão de dados ou autorização de transação.
Perguntas Frequentes
O que é o ataque 'Zombie Card'?
É uma exploração de segurança descoberta por pesquisadores que permite que cartões de crédito Visa expirados sejam usados para novas transações por aproximação, manipulando a data de validade durante o processo de pagamento.
Essa vulnerabilidade afeta todos os cartões de crédito?
Não. Os pesquisadores descobriram que este é um problema específico da Visa. Testes em cartões Mastercard, American Express e Discover mostraram que eles rejeitaram com sucesso os dados de transação adulterados.
Como o ataque funciona tecnicamente?
Os atacantes usam um sistema de 'relay' (por exemplo, dois telefones) para interceptar os dados entre o cartão expirado e o terminal de pagamento. Como o protocolo da Visa não protege criptograficamente a data de validade, os atacantes podem alterá-la para uma data futura enquanto transmitem a assinatura de segurança do cartão, que é válida, enganando o terminal.
Como posso me proteger dessa exploração?
Como a vulnerabilidade permanece sem correção, a única maneira garantida de proteger seus cartões antigos é destruí-los fisicamente. Certifique-se de cortar tanto o chip EMV quanto a tarja magnética.