Como cartões Visa vencidos foram usados em compras presenciais

Um cartão de crédito vencido não deveria mais funcionar. Mas uma pesquisa da Universidade de Massachusetts Amherst (UMass Amherst) mostrou que, em determinadas configurações de pagamentos Visa por aproximação, um cartão físico vencido pode ser usado em uma compra real quando a data de validade apresentada ao terminal é alterada durante a transação. O ataque foi batizado de “Zombie Card” e não exige a falsificação das chaves criptográficas do cartão.

O que é o ataque “Zombie Card”

A técnica é um ataque de retransmissão — ou relay attack — no qual um intermediário cria uma ponte entre o cartão e o terminal de pagamento. No teste descrito pelos pesquisadores, foram usados dois smartphones com NFC, a tecnologia de comunicação de curta distância presente em cartões e celulares usados para pagamentos por aproximação.

Um telefone se comunicava com o cartão físico vencido. O outro se apresentava ao terminal do ponto de venda como se fosse o cartão, encaminhando as mensagens EMV entre os dois dispositivos. Assim, cartão e terminal, que normalmente trocariam dados diretamente, passavam a se comunicar por meio do retransmissor.

Durante a troca, o intermediário substituía a data de validade antiga por uma data futura no conteúdo que chegava ao terminal. Com isso, as verificações locais do equipamento podiam interpretar o cartão como ainda válido. O cenário demonstrado exigia a posse do cartão físico — ou que ele permanecesse próximo de um dispositivo NFC — além do retransmissor entre o cartão e o terminal.

A criptografia não foi quebrada

O ponto central do caso é que o ataque não precisou descobrir as chaves secretas do cartão nem fabricar credenciais criptográficas. O cartão legítimo continuava produzindo os dados dinâmicos e o material de autenticação esperados pelo processo EMV, incluindo assinaturas e criptogramas da transação.

A manipulação explorava outra fragilidade: a possibilidade de alterar um campo importante para a decisão do terminal — a data de validade — sem invalidar os demais dados autenticados. Em termos simples, uma assinatura pode continuar sendo genuína enquanto um valor separado é modificado, caso o protocolo não proteja suficientemente a relação entre esses campos.

A fraqueza apontada no Visa EMV Kernel 3

O problema relatado envolve o tratamento inconsistente da data de validade na implementação contactless do Visa EMV Kernel 3. Na configuração testada, a data mostrada ao terminal não estaria criptograficamente vinculada de maneira suficiente aos dados do cartão e às informações da transação usadas posteriormente na autorização on-line.

Isso criava uma divergência entre as etapas do pagamento:

1. O cartão físico fornecia dados legítimos, inclusive sua data de validade real, já expirada.
2. O retransmissor alterava a data que o terminal conseguia enxergar.
3. O cartão continuava gerando material autêntico de autenticação da transação.
4. O terminal podia avaliar uma data futura enquanto recebia evidências criptograficamente válidas do cartão verdadeiro.

Portanto, o alvo não era a criptografia em si, mas o vínculo entre os diferentes campos do protocolo. A pesquisa descreve o cenário como uma vulnerabilidade de adulteração do tipo man-in-the-middle no fluxo de pagamentos contactless da Visa.

Por que um cartão vencido ainda podia gerar uma transação válida?

É comum imaginar que a data impressa no cartão funcione como um bloqueio criptográfico automático. As informações disponíveis indicam que, em alguns sistemas de pagamento por aproximação, a validade é aplicada como parte das verificações do terminal e da autorização do emissor, e não necessariamente como uma característica criptográfica intrínseca que desativa o cartão.

Se o terminal recebe uma data futura e o emissor recebe evidências autênticas da transação, o sistema pode não ter um sinal confiável e uniformemente autenticado de que o cartão físico está vencido. Ainda assim, a conta precisa continuar aberta e apta a autorizar compras: o ataque não transforma uma conta encerrada ou inválida em uma conta ativa.

O que ocorreu com Mastercard, American Express e Discover?

Segundo os relatos fornecidos, a mesma substituição da data de validade não foi bem-sucedida nas configurações testadas do Mastercard Kernel 2, do American Express Kernel 4 e do Discover Kernel 6.

As fontes disponíveis, porém, não apresentam uma análise completa, campo a campo, explicando exatamente quais vínculos criptográficos ou etapas de validação fizeram essas transações falhar. A conclusão mais segura é que as implementações testadas rejeitaram essa manipulação específica com mais eficácia do que a configuração Visa avaliada.

Isso não significa que todos os cartões dessas bandeiras estejam protegidos contra qualquer ataque de retransmissão ou qualquer outra forma de fraude em pagamentos.

Os cinco bancos aprovaram as compras?

A pesquisa teria envolvido cartões de vários grandes bancos dos Estados Unidos, e as reportagens mencionam transações bem-sucedidas ou tentativas em diferentes emissores.

No entanto, o material fornecido não identifica os cinco bancos nem apresenta um resultado verificável de aprovação ou recusa para cada um deles. Por isso, não é possível montar uma tabela confiável por instituição ou afirmar que determinado emissor sempre aceitou ou sempre bloqueou o ataque.

O resultado pode variar conforme o produto do cartão, a situação da conta, os controles de autorização, o terminal, o adquirente e as condições específicas da transação.

A Visa corrigiu o problema?

Um dos relatos afirma que os pesquisadores comunicaram as descobertas à Visa e a bancos afetados em maio e dezembro de 2025, enviando material para reprodução, registros de transações e um vídeo de demonstração.

As fontes disponíveis não incluem uma declaração verificável da Visa, um comunicado oficial de segurança ou evidências de que uma correção tenha sido implementada em todo o ecossistema. Portanto, não há base suficiente para afirmar que a Visa corrigiu completamente a falha, quais cartões ou terminais estariam protegidos ou se alguma mitigação passou a ser obrigatória.

Como o setor pode se proteger

A correção principal é impedir que a data apresentada ao terminal seja diferente da data vinculada aos dados autenticados do cartão.

• Bandeiras e responsáveis pelos kernels de pagamento: vincular criptograficamente a data de validade e outros dados usados na decisão do terminal às informações autenticadas do cartão e ao criptograma da transação. Valores inconsistentes devem fazer a transação falhar.
• Operadores de terminais e adquirentes: comparar as informações de validade presentes nas diferentes etapas da comunicação EMV e investigar divergências. Sinais baseados em tempo de resposta ou comportamento da comunicação podem ajudar a identificar retransmissões, embora as fontes não estabeleçam um método universal de detecção.
• Emissores: verificar de forma independente, durante a autorização, a validade, a substituição e o ciclo de vida do cartão, sem depender apenas da data fornecida pelo terminal. Transações associadas a credenciais vencidas ou substituídas devem ser recusadas ou sinalizadas quando houver dados suficientes para identificá-las.
• Programas de cartões: garantir que a emissão de um cartão substituto desative ou restrinja de forma consistente o cartão anterior quando isso for apropriado.
• Consumidores: acompanhar a movimentação da conta e comunicar rapidamente transações não reconhecidas. Um cartão físico vencido não deve ser considerado automaticamente inofensivo se a conta ou a credencial subjacente continuar ativa.

Como descartar um cartão vencido com segurança

Antes de destruir o cartão, siga as instruções do banco ou da instituição emissora. Alguns emissores podem pedir a devolução do cartão antigo. Nesse caso, a orientação da instituição deve prevalecer.

Se a devolução não for exigida:

• remova o cartão de lojas salvas e aplicativos de carteira digital;
• confirme que o cartão substituto está ativo;
• corte o chip, a tarja magnética, o número impresso, o painel de assinatura e o código de segurança;
• prefira uma fragmentadora de corte cruzado própria para cartões;
• se possível, descarte os pedaços separadamente.

Essas medidas dificultam a reconstrução dos dados do cartão descartado, mas não substituem o monitoramento da conta. Qualquer compra desconhecida deve ser comunicada imediatamente ao emissor.