Pesquisadores demonstram ataque que reativa cartões Visa vencidos para pagamentos por aproximação

O ataque explora uma decisão de design específica no Kernel 3 da Visa, e o protocolo EMV contactless é seletivamente autenticado, permitindo adulteração de campos críticos não protegidos de ponta a ponta.

Isso revela uma fragilidade estrutural no padrão EMV, que pode afetar outras implementações além da Visa.

Pesquisadores da Universidade de Massachusetts Amherst demonstraram um ataque que reativa cartões Visa contactless expirados para compras reais, reescrevendo a data de validade lida pelo terminal via NFC, sem quebrar a criptografia do cartão.

O ataque mostra que cartões vencidos podem voltar a ser usados, representando risco para usuários que descartam cartões antigos sem destruí-los.

Testes com cartões físicos expirados em três grandes bancos dos EUA mostraram que um aprovou as transações revividas, um recusou todas as tentativas e o terceiro usava um kernel EMV diferente, no qual a modificação falhou.

A variação entre bancos indica que a vulnerabilidade depende de configurações específicas do emissor, não sendo universal.

As proteções EMV opcionais que detectam relay não estavam habilitadas em nenhum cartão ou terminal testado, e nem Visa nem os bancos notificados confirmaram correção em andamento.

Isso agrava a situação, pois mecanismos de defesa já existentes não são ativados por padrão, deixando os usuários vulneráveis.

O ataque 'Zombie Card' explora uma fragilidade estrutural no protocolo EMV, onde muitos objetos de dados são trocados em texto claro entre o cartão e o terminal, e apenas um subconjunto é posteriormente vinculado à verificação criptográfica via ODA e criptogramas verificados pelo emissor.

Essa é a causa raiz da vulnerabilidade: a falta de proteção de integridade de ponta a ponta em campos críticos de decisão permite que um invasor altere a data de validade sem ser detectado.

O ataque requer posse física do cartão expirado ou proximidade NFC sustentada, um relay man-in-the-middle entre o cartão e o terminal, que a conta permaneça aberta sob o mesmo PAN e que o banco emissor não verifique novamente a expiração durante a autorização.

Essas condições limitam o cenário de ataque, mas mostram que não é necessário violar a criptografia do cartão, apenas explorar a falta de verificação.

Os pesquisadores divulgaram as descobertas à Visa e aos bancos afetados em maio de 2025 e fizeram contato novamente em dezembro de 2025; o trabalho foi apresentado no USENIX Security 2026 em Baltimore.

A divulgação responsável foi feita antes da apresentação pública, mas a falta de resposta ou correção pode indicar que o problema não foi priorizado.