Como o ataque “Zombie Card” pode reativar cartões Visa sem contato vencidos

Segundo os pesquisadores, o invasor não precisa descobrir a data de validade do cartão substituto. Na verificação feita pelo terminal, qualquer data futura pode ser suficiente para fazer o cartão parecer válido.

O método não falsifica o cartão nem quebra a criptografia do padrão EMV. O cartão físico continua fornecendo seus dados genuínos, assinaturas e criptogramas de transação. A fragilidade está no fato de que, na configuração Visa testada, a data de validade exibida ao terminal não fica adequadamente vinculada aos dados autenticados usados depois na autorização online.

Por que o Visa EMV Kernel 3 é importante

“EMV kernel” é o software de processamento usado pelos terminais para lidar com os cartões de diferentes bandeiras. Visa, Mastercard, American Express e Discover utilizam caminhos próprios de processamento sem contato.

A descoberta dos pesquisadores envolve o caminho sem contato da Visa identificado nos relatos como Kernel 3. A falha de projeto permite que duas partes da transação apresentem informações diferentes: o terminal recebe uma data de validade futura modificada, enquanto a transação enviada ao emissor mantém dados autênticos e verificações criptográficas válidas.

Em um sistema com vínculo mais rigoroso, modificar a informação de validade durante a transmissão tornaria a transação inconsistente e faria a validação falhar. O caso mostra um princípio importante de segurança: a criptografia perde parte de sua eficácia quando um campo crítico é conferido em uma etapa, mas não é ligado de forma confiável aos dados considerados legítimos em outra.

Por que a técnica não funcionou, segundo os relatos, em outras bandeiras

Os pesquisadores testaram a abordagem em outros kernels sem contato e informaram que ela não funcionou contra o Mastercard Kernel 2, o American Express Kernel 4 ou o Discover Kernel 6. Os relatos disponíveis atribuem essa resistência a proteções, validações ou vínculos criptográficos mais fortes para os dados relacionados à validade.

As evidências disponíveis não detalham qual regra específica de protocolo impede o ataque em cada um desses três kernels. Portanto, a conclusão deve ser restrita: o método demonstrado foi relatado como eficaz na configuração Visa testada, mas não nos caminhos testados da Mastercard, American Express e Discover. Isso não prova que cartões Visa sejam geralmente falsificáveis nem que todo cartão Visa vencido possa voltar a funcionar.

O que os testes em cinco bancos americanos revelaram

Os testes envolveram comerciantes, terminais, kernels EMV e cinco grandes bancos dos Estados Unidos, com resultados variados. Alguns emissores autorizaram transações que continham a data de validade alterada no lado do terminal; outros recusaram as operações por adotarem verificações mais rigorosas no próprio banco.

Essa diferença é fundamental. A aceitação da maquininha, sozinha, não determinou se o pagamento seria concluído: a lógica de autorização do emissor também teve papel decisivo. Um banco que verifica de forma independente a validade, a substituição, o cancelamento e o status da conta tende a rejeitar a operação com mais facilidade do que um emissor que depende principalmente da decisão local do terminal.

Os materiais fornecidos não apresentam uma lista confiável banco a banco, os nomes das cinco instituições, os resultados exatos de aprovação e recusa nem limites de transação verificados para cada banco. Esses detalhes não devem ser deduzidos a partir da descoberta geral.

Divulgação e situação das correções

A pesquisa foi apresentada na USENIX Security 2026, e os relatos relacionados à universidade afirmam que as principais empresas de cartões foram notificadas antes da divulgação pública dos resultados.

Até 20 de agosto de 2026, as evidências fornecidas confirmam a vulnerabilidade na avaliação dos pesquisadores, mas não comprovam que a Visa tenha concluído uma alteração universal no kernel, uma atualização de terminais ou uma correção para todos os emissores afetados. Também não há um cronograma definitivo de correção para cada banco.

Essa diferença é importante: comunicar uma vulnerabilidade não é o mesmo que concluir sua correção. O risco prático pode variar enquanto bandeiras, fabricantes de terminais, adquirentes e emissores definem como validar de maneira consistente os dados relacionados ao ciclo de vida do cartão.

Contramedidas recomendadas em toda a cadeia de pagamentos

A pesquisa aponta para uma estratégia de defesa em profundidade, e não para uma única correção:

• Desenvolvedores de kernels e sistemas de cartões: vincular criptograficamente a data de validade e outros campos do ciclo de vida exibidos ao terminal aos dados autenticados da transação. Qualquer alteração durante a transmissão deve invalidar a operação.
• Terminais e adquirentes: validar a validade a partir de informações autenticadas quando disponíveis e rejeitar valores inconsistentes, em vez de confiar em um campo exposto ao terminal sem proteção suficiente.
• Emissores: verificar de forma independente a validade, a substituição, o cancelamento e o status da conta durante a autorização, sem depender apenas da decisão local da maquininha.
• Bandeiras e equipes antifraude: procurar divergências entre a validade informada pelo terminal e os dados visíveis ao emissor, além de aplicar controles adequados a padrões suspeitos de retransmissão por aproximação. Essa recomendação decorre da constatação de que a responsabilidade é dividida entre cartão, terminal, rede e banco.

Como descartar um cartão vencido com segurança

Um cartão vencido não deve ser jogado fora inteiro. A orientação fornecida com a pesquisa é desmagnetizar a tarja, destruir o chip EMV e cortar ou triturar o cartão, incluindo números e letras impressos, antes de descartar os pedaços separadamente. No caso de cartões de metal, o cliente deve perguntar ao emissor qual é o procedimento seguro de descarte.

Também é recomendável continuar monitorando a conta associada, inclusive depois do encerramento do cartão, e comunicar rapidamente qualquer cobrança não autorizada. Como o ataque exige acesso ao cartão físico ou proximidade prolongada com ele, inutilizar corretamente um cartão antigo reduz a oportunidade de abuso.