'Cartão zumbi': brecha no pagamento por aproximação permite usar plástico vencido em compras

Pesquisadores da Universidade de Massachusetts Amherst (UMass Amherst), nos Estados Unidos, identificaram uma brecha de segurança que permite a realização de pagamentos por aproximação com cartões de crédito da bandeira Visa que já estão vencidos.

O método, batizado pela equipe como “Zombie Card”, consegue validar compras em lojas físicas ao alterar a data de vencimento transmitida à maquininha de pagamento no momento da aproximação.

A técnica funciona sem a necessidade de romper os mecanismos de criptografia do chip.

O estudo foi apresentado na conferência USENIX Security 2026, realizada entre os dias 14 e 16 de agosto em Baltimore, nos EUA.

A pesquisa detalha que o processo exige a posse física do cartão vencido ou uma proximidade sustentada do sinal sem fio, além do uso de dois celulares comuns para interceptar a comunicação.

“A data de validade impressa e gravada no cartão é a única forma de a máquina saber se ele está ativo ou vencido.

No entanto, ela não é protegida criptograficamente.

Portanto, podemos alterá-la facilmente para enganar o terminal de pagamento”, afirmou o autor principal, Raja Hasnain Anwar.

Operação da falha no sistema A vulnerabilidade existe porque as informações de validade do cartão aparecem em dois pontos distintos do processo.

A máquina de cartão faz uma checagem local baseada na data gravada no chip.

O banco emissor recebe, paralelamente, outra informação técnica para autorizar a compra.

Na configuração padrão adotada nos pagamentos por aproximação da Visa , o sistema da máquina não exige a amarração obrigatória dessas duas informações nem inclui a data do chip na assinatura de segurança principal.

Assim, os pesquisadores utilizaram um celular junto ao cartão e outro encostado na maquininha.

O sistema intermediário altera a data lida pelo terminal para qualquer dia futuro, enquanto mantém os dados de autorização do banco intactos.