Cómo el ataque «Zombie Card» hace que algunas tarjetas Visa caducadas vuelvan a pagar

Según los investigadores, el atacante no necesita conocer la fecha de caducidad de una tarjeta de reemplazo. En la comprobación del lado del terminal que describieron, cualquier fecha futura puede bastar para que la tarjeta parezca vigente.

Esto no significa que el atacante haya falsificado la tarjeta ni que haya roto la criptografía de EMV. La tarjeta física sigue proporcionando sus datos genuinos, firmas y criptogramas de transacción. El problema es que, en la configuración de Visa evaluada, el valor de caducidad utilizado por el terminal no queda vinculado de forma suficiente a la información autenticada que después se emplea en la autorización en línea.

Por qué importa Visa EMV Kernel 3

Los kernels EMV son las implementaciones de software que utilizan los terminales para procesar pagos de distintos esquemas de tarjetas. Visa, Mastercard, American Express y Discover emplean rutas de procesamiento sin contacto diferentes.

El hallazgo de los investigadores afecta a la ruta contactless de Visa identificada como Kernel 3. La brecha de diseño permite que dos partes de la operación no coincidan: el terminal recibe una fecha futura modificada, mientras que la transacción que llega al emisor conserva datos auténticos y comprobaciones criptográficas válidas.

En un diseño con un vínculo más estricto, modificar durante la transmisión un valor relacionado con la caducidad haría inconsistente la transacción autenticada y provocaría un fallo de validación. El caso «Zombie Card» muestra así un principio importante de seguridad: la criptografía pierde parte de su utilidad cuando un campo crítico se comprueba en un punto de la cadena de pago, pero no queda ligado de forma fiable a los datos en los que confía otro punto.

Por qué no funcionó igual en otras redes

Los investigadores probaron la técnica contra otros kernels sin contacto y comunicaron que no funcionó con Mastercard Kernel 2, American Express Kernel 4 ni Discover Kernel 6. Los informes disponibles atribuyen esa resistencia a una protección, validación o vinculación criptográfica más sólida de los datos relevantes de caducidad.

La evidencia disponible no permite determinar con precisión qué regla concreta del protocolo detiene el ataque en cada uno de esos tres kernels. Por eso, la conclusión debe formularse con cautela: el método demostrado para alterar la fecha se presentó como eficaz contra la configuración de Visa evaluada, pero no contra las rutas probadas de Mastercard, American Express y Discover. No demuestra que las tarjetas Visa puedan falsificarse en general ni que todas las Visa caducadas vayan a funcionar.

Qué revelaron las pruebas en cinco bancos de Estados Unidos

Las pruebas abarcaron comercios, terminales, kernels EMV y cinco grandes bancos estadounidenses, con resultados dispares. Algunos emisores autorizaron operaciones que contenían la fecha de caducidad modificada que había visto el terminal, mientras que otros las rechazaron gracias a controles más estrictos en el lado del emisor.

Esa variación es fundamental. Que el terminal acepte la tarjeta no determina por sí solo que el pago llegue a completarse: también importa la lógica de autorización del banco. Una entidad que compruebe de forma independiente la caducidad, la sustitución, la cancelación y el estado del ciclo de vida de la cuenta tendrá más probabilidades de rechazar la operación que otra que confíe en mayor medida en la decisión local del terminal.

Los informes proporcionados no ofrecen una lista fiable, banco por banco, de las cinco entidades, sus resultados exactos de aprobación o rechazo ni límites de transacción verificados para cada una. Esos datos no deben deducirse del hallazgo general.

Avisos y estado de las medidas correctivas

La investigación se presentó en USENIX Security 2026, celebrada del 12 al 14 de agosto, y la información difundida por la universidad indica que las principales compañías de tarjetas fueron notificadas antes de la publicación de los resultados.

A fecha de 20 de agosto de 2026, las pruebas disponibles confirman el hallazgo de vulnerabilidad en la evaluación de los investigadores, pero no confirman que Visa haya completado un cambio universal del kernel, una actualización generalizada de terminales o una solución para todos los emisores afectados. Tampoco establecen un calendario definitivo de correcciones para cada banco.

La diferencia es importante: notificar una vulnerabilidad no equivale a haberla corregido por completo. El riesgo práctico puede variar mientras las redes de pago, los proveedores de terminales, los adquirentes y los emisores determinan cómo validar de forma coherente los datos relacionados con el ciclo de vida de la tarjeta.

Defensas recomendadas en toda la cadena de pago

La investigación apunta a una estrategia de defensa en profundidad, no a una única solución:

• Diseñadores de kernels y sistemas de pago: vincular criptográficamente la fecha de caducidad y otros campos del ciclo de vida visibles para el terminal con los datos autenticados de la transacción. Cualquier modificación durante la transmisión debería invalidar la operación.
• Terminales y sistemas adquirentes: validar la caducidad utilizando información autenticada cuando esté disponible y rechazar valores incoherentes, en vez de confiar en un campo expuesto al terminal que no esté protegido.
• Emisores: comprobar de forma independiente la caducidad, la sustitución, la cancelación y el estado de la cuenta durante la autorización, sin depender únicamente de la decisión local del terminal.
• Redes y equipos antifraude: buscar discrepancias entre la fecha proporcionada por el terminal y la información visible para el emisor, además de aplicar controles adecuados ante patrones sospechosos de retransmisión contactless. Esta recomendación se desprende del hallazgo de que la responsabilidad se reparte entre la tarjeta, el terminal, la red y el emisor.

Qué deben hacer los consumidores con una tarjeta caducada

Una tarjeta caducada no debe tirarse intacta. La recomendación asociada a la investigación es desmagnetizar la banda magnética, destruir el chip EMV y cortar o triturar la tarjeta, incluidos los números y las letras impresos, antes de desechar los fragmentos por separado. En el caso de las tarjetas metálicas, conviene consultar al emisor para conocer el método de eliminación seguro.

También es recomendable vigilar la cuenta asociada, incluso después de haber cancelado la tarjeta, y comunicar cuanto antes cualquier cargo no autorizado. El ataque requiere acceder físicamente a la tarjeta o mantenerla a una distancia suficiente para comunicarse con ella por NFC; destruir correctamente el plástico antiguo reduce la oportunidad de abuso.