){kind=link}
Pesquisadores da Universidade de Massachusetts Amherst (UMass Amherst), nos Estados Unidos, identificaram uma brecha de segurança que permite a realização de pagamentos por aproximação com cartões de crédito da bandeira Visa que já estão vencidos. O método, batizado pela equipe como “Zombie Card”, consegue validar compras em lojas físicas ao alterar a data de vencimento transmitida à maquininha de pagamento no momento da aproximação. A técnica funciona sem a necessidade de romper os mecanismos de criptografia do chip.
O estudo foi apresentado na conferência USENIX Security 2026, realizada entre os dias 14 e 16 de agosto em Baltimore, nos EUA. A pesquisa detalha que o processo exige a posse física do cartão vencido ou uma proximidade sustentada do sinal sem fio, além do uso de dois celulares comuns para interceptar a comunicação.
smart_display
Nossos vídeos em destaque
“A data de validade impressa e gravada no cartão é a única forma de a máquina saber se ele está ativo ou vencido. No entanto, ela não é protegida criptograficamente. Portanto, podemos alterá-la facilmente para enganar o terminal de pagamento”, afirmou o autor principal, Raja Hasnain Anwar.
Operação da falha no sistema
A vulnerabilidade existe porque as informações de validade do cartão aparecem em dois pontos distintos do processo. A máquina de cartão faz uma checagem local baseada na data gravada no chip. O banco emissor recebe, paralelamente, outra informação técnica para autorizar a compra.
Na configuração padrão adotada nos pagamentos por aproximação da Visa, o sistema da máquina não exige a amarração obrigatória dessas duas informações nem inclui a data do chip na assinatura de segurança principal. Assim, os pesquisadores utilizaram um celular junto ao cartão e outro encostado na maquininha. O sistema intermediário altera a data lida pelo terminal para qualquer dia futuro, enquanto mantém os dados de autorização do banco intactos.
“O ataque explora um equívoco documentado de que cartões vencidos são considerados inativos por padrão, fazendo com que os usuários os descartem de forma descuidada”, explicou Taqi Raza, professor assistente na Faculdade de Engenharia Riccio da UMass Amherst e coautor da pesquisa.
Os bancos costumam emitir chaves de segurança digital nos chips com prazos mais longos que o vencimento impresso no plástico, segundo Raza. Esse movimento permite que o cartão continue respondendo aos comandos da maquininha.
Comportamento dos bancos e recomendações
Os testes preliminares avaliaram cartões físicos substituídos e vencidos em cinco grandes bancos dos Estados Unidos. Em cenários em que o número principal da conta permaneceu o mesmo após a renovação, as transações avançaram com sucesso quando a instituição financeira confiou na pré-validação da maquininha e não executou uma checagem independente da validade. Os pesquisadores da universidade realizaram compras reais em estabelecimentos comerciais e mercados de campus com valores variados.
Em redes concorrentes, como Mastercard e American Express, a mesma manipulação não funcionou. Nesses casos, o sistema identifica a divergência de dados ou inclui a data na validação de segurança, o que recusa a compra de imediato.
A equipe notificou a Visa e os bancos envolvidos sobre os resultados em maio de 2025 e reforçou o contato em dezembro do mesmo ano. Até a publicação desta matéria, nenhum caso de uso criminoso foi registrado publicamente.
Para os consumidores, a orientação dos especialistas é destruir fisicamente a tarja magnética e o chip dos cartões assim que perderem a validade. O descarte seguro envolve passar um ímã na tarja, cortar o plástico com tesoura através dos números e do chip, e distribuir os pedaços em lixeiras diferentes, além de manter o monitoramento das faturas.
Por falar em universo digital, a Microsoft revelou como um vírus camuflado para Mac engana segurança e rouba dados em segundos. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.