Pesquisadores demonstram ataque que reativa cartões Visa vencidos para pagamentos por aproximação

Resumo

• O Walmart resistiu por mais de uma década a aceitar Apple Pay, preferindo seu sistema próprio Walmart Pay, baseado em QR code, mas finalmente cedeu à pressão dos clientes.

  A resistência histórica do Walmart era vista como um teste do poder das grandes redes contra as gigantes de tecnologia; a decisão mostra que a conveniência do consumidor prevaleceu sobre o controle proprietário.

• Pesquisadores da Universidade de Massachusetts Amherst demonstraram um ataque que reativa cartões Visa contactless expirados para compras reais, reescrevendo a data de validade lida pelo terminal via NFC, sem quebrar a criptografia do cartão.

  O ataque mostra que cartões vencidos podem voltar a ser usados, representando risco para usuários que descartam cartões antigos sem destruí-los.

• Testes com cartões físicos expirados em três grandes bancos dos EUA mostraram que um aprovou as transações revividas, um recusou todas as tentativas e o terceiro usava um kernel EMV diferente, no qual a modificação falhou.

  A variação entre bancos indica que a vulnerabilidade depende de configurações específicas do emissor, não sendo universal.

• As proteções EMV opcionais que detectam relay não estavam habilitadas em nenhum cartão ou terminal testado, e nem Visa nem os bancos notificados confirmaram correção em andamento.

  Isso agrava a situação, pois mecanismos de defesa já existentes não são ativados por padrão, deixando os usuários vulneráveis.

• A Payward lançou o cartão de débito Krak nos Estados Unidos, permitindo gastar em mais de 600 moedas e ativos, com até 2% de cashback em dólares ou bitcoin.

  O cartão de débito aumenta a praticidade dos ativos digitais para uso cotidiano, incentivando a adoção cripto.

• O ataque 'Zombie Card' explora uma fragilidade estrutural no protocolo EMV, onde muitos objetos de dados são trocados em texto claro entre o cartão e o terminal, e apenas um subconjunto é posteriormente vinculado à verificação criptográfica via ODA e criptogramas verificados pelo emissor.

  Essa é a causa raiz da vulnerabilidade: a falta de proteção de integridade de ponta a ponta em campos críticos de decisão permite que um invasor altere a data de validade sem ser detectado.

• O ataque requer posse física do cartão expirado ou proximidade NFC sustentada, um relay man-in-the-middle entre o cartão e o terminal, que a conta permaneça aberta sob o mesmo PAN e que o banco emissor não verifique novamente a expiração durante a autorização.

  Essas condições limitam o cenário de ataque, mas mostram que não é necessário violar a criptografia do cartão, apenas explorar a falta de verificação.

• Os pesquisadores divulgaram as descobertas à Visa e aos bancos afetados em maio de 2025 e fizeram contato novamente em dezembro de 2025; o trabalho foi apresentado no USENIX Security 2026 em Baltimore.

  A divulgação responsável foi feita antes da apresentação pública, mas a falta de resposta ou correção pode indicar que o problema não foi priorizado.