O que aconteceu
Pesquisadores da Universidade de Massachusetts Amherst relatam que alguns cartões Visa sem contato expirados ainda podem ser aceitos quando um retransmissor altera a data de validade apresentada a um terminal de checkout. Seus testes controlados usaram cartões reais, terminais comerciais, comerciantes e cartões de cinco grandes bancos dos EUA. As configurações Mastercard, American Express e Discover testadas rejeitaram a alteração da data.
A fonte principal é uma página de pesquisa do Laboratório Khwarizmi da Universidade de Massachusetts Amherst que descreve um artigo intitulado “Cartões zumbis de volta online: revivendo cartões de crédito expirados para pagamentos sem contato”. Os pesquisadores dizem que testaram suas descobertas com cartões reais, terminais de pagamento comerciais, comerciantes informados e cartões de cinco grandes bancos dos EUA. O escopo do teste incluiu configurações sem contato Visa, Mastercard, Discover e American Express, bem como Apple Pay e Google Pay. O resultado relatado foi específico: a configuração Visa testada pode ser afetada, enquanto as configurações Mastercard, American Express e Discover testadas rejeitaram as informações de vencimento alteradas.
O mecanismo relatado é uma incompatibilidade entre o que o terminal lê e o que o banco usa para autorizar uma transação. Na configuração Visa examinada, o prazo de validade apresentado ao terminal não estava coberto pela mesma assinatura digital que outras informações de segurança do cartão. Em uma configuração de retransmissão controlada, dois telefones Android passaram pela conversa cartão-terminal entre o cartão e o terminal enquanto alteravam o valor de expiração visível para o terminal. As respostas criptográficas normais do cartão continuaram a viajar entre os dispositivos, por isso os investigadores dizem que o ataque não quebrou as chaves do cartão, forjou as suas respostas de segurança ou derrotou a criptografia EMV no sentido habitual.
Os pesquisadores descrevem o resultado como dependente do emissor e do restante da cadeia de pagamento. Alguns bancos testados recusaram o pagamento ou solicitaram o cartão substituto, enquanto outros o aprovaram. A fonte diz que o problema de vencimento subjacente foi observado em US$ 1, US$ 100 e US$ 500 quando as condições relevantes do terminal e do emissor permitiram, embora regras separadas, como requisitos de PIN, possam interromper uma transação específica. Nos testes relatados, o valor do pagamento, o tipo de comerciante e a marca do terminal não explicaram por si só o resultado. A fonte não estabelece que todos os cartões Visa, bancos, terminais ou aplicativos de pagamento sejam afetados.
O estudo também relata comportamento diferente para carteiras digitais. Apple Pay e Google Pay foram descritos como melhor posicionados para lidar com a substituição porque os tokens de pagamento podem ser atualizados remotamente, e os pesquisadores dizem que seus testes descobriram que o gerenciamento centralizado do ciclo de vida reduziu a chance de uma credencial física expirada permanecer utilizável. A fonte não descreve esse resultado como garantia de imunidade. Afirma também que a equipe não estabeleceu se o problema se aplica a transações com inserção de chip e não estabeleceu o mesmo comportamento para cartões de débito como categoria.
Leia a fonte primária: khwarizmilab.github.io ↗
Por que isso importa
A descoberta expõe uma lacuna entre a verificação da validade do terminal e a decisão do emissor sobre se um cartão físico específico permanece válido. Requer acesso a um cartão expirado e uma configuração de retransmissão, portanto não é um ataque remoto contra todos os titulares de cartão, mas desafia a suposição de que um cartão expirado é automaticamente inutilizável.
O significado prático é que a expiração pode falhar como uma promessa de segurança ponta a ponta, mesmo quando as verificações criptográficas do cartão parecem válidas. Os consumidores geralmente tratam um cartão vencido como sem valor, mas os pesquisadores dizem que o cartão físico pode continuar sendo um ponto de partida se for descartado sem ser destruído. O ataque descrito não é um comprometimento remoto: um invasor precisaria obter um cartão físico expirado e operar uma retransmissão suficientemente próxima do equipamento de transação. Isso torna o risco relatado mais restrito do que uma vulnerabilidade acessível pela Internet, ao mesmo tempo que torna relevante o descarte descuidado.
A preocupação central da fonte é a divisão da responsabilidade em todo o sistema de pagamentos. Um terminal pode avaliar um valor de vencimento, a rede pode processar um criptograma de cartão válido e o banco emissor pode tomar sua decisão usando informações que não identificam de forma confiável o cartão como vencido. Um banco que verifique o status exato do cartão físico pode recusar a transação; um banco que vê principalmente uma conta subjacente ativa pode aprová-la. Esta variação significa que o resultado não pode ser inferido apenas a partir da marca do cartão, do facto de um cartão ter expirado ou apenas da existência da capacidade sem contacto.
A descoberta tem consequências para a segurança das redes de pagamento porque se refere à aplicação do ciclo de vida e não a um único dispositivo defeituoso do consumidor. Os pesquisadores afirmam que notificaram a Visa e os bancos relevantes em maio e dezembro de 2025, fornecendo um guia de reprodução, rastreamentos de transações e uma demonstração em vídeo. Dizem que o relatório da Visa passou na triagem inicial e estava a ser reproduzido pela sua equipa vermelha, mas que nem a Visa nem os bancos notificados confirmaram uma mitigação no momento da publicação. A fonte fornecida não contém nenhuma confirmação independente do status dos fornecedores, nenhum CVE público e nenhuma evidência de que o comportamento seja generalizado.
A fonte também limita o que os titulares comuns de cartões devem concluir. Afirma que as pessoas não precisam de alterar a forma como utilizam os pagamentos sem contacto e que um cartão expirado destruído de forma segura através do corte do chip e da tarja magnética não pode ser utilizado da forma relatada. Os pesquisadores não divulgaram códigos de retransmissão com capacidade de exploração porque afirmam que isso poderia diminuir a barreira contra fraudes financeiras reais. Sua divulgação fornece logs de transações e detalhes de protocolo limpos, mas a fonte não fornece uma estimativa medida de tentativas de ataques, perdas, cartões afetados ou exploração no mundo real.
O que assistir a seguir
As principais questões em aberto são se a Visa e os emitentes atenuaram o comportamento relatado, até que ponto este se aplica a cartões e aplicações de pagamento e se os testes independentes reproduzem o resultado. Os titulares do cartão devem seguir as instruções de descarte do emissor, incluindo cortar o chip e a tarja magnética ou devolver o cartão por meio de um canal aprovado.
A primeira prioridade é a evidência de remediação em toda a cadeia de pagamento. Os investigadores identificam vários pontos de controlo possíveis: vincular mais rigorosamente as informações de validade do terminal aos dados autenticados do cartão, garantir que o emitente recebe um sinal de expiração confiável e fazer com que os bancos verifiquem o estado exato do cartão, em vez de apenas a conta relacionada. Uma mitigação significativa teria de abordar a interação entre os terminais, a rede de pagamento e os emitentes. Uma mudança em apenas um ponto pode não resolver o descompasso descrito pelo estudo.
A replicação independente determinará a amplitude da reivindicação. A fonte anonimiza os cinco bancos como Bancos de A a E e relata apenas os cartões e transações testadas. Mais testes precisariam examinar mais emissores, produtos de cartões, aplicações de pagamento, terminais e regiões, preservando ao mesmo tempo a divulgação responsável. A fonte não estabelece prevalência, se outras implementações da Visa se comportam da mesma forma, ou se cartões e terminais atualizados já rejeitam o valor de vencimento alterado.
O Relay Resistance Protocol é outra área específica a ser monitorada. Os pesquisadores afirmam que ele pode detectar um retransmissor adicional e interromper uma transação, mas é opcional e não foi habilitado nos cartões ou terminais testados. Testes futuros e informações sobre implantação poderão esclarecer se essa proteção está amplamente disponível, habilitada por padrão ou eficaz nas condições descritas. A fonte relata que a latência do retransmissor permaneceu dentro do limite normal de resposta do sistema de pagamento em sua configuração, portanto o teste não atingiu o tempo limite.
Os consumidores devem seguir as orientações existentes do emissor para descarte de cartões de substituição enquanto essas questões permanecerem sem solução. Cortar o chip e a tarja magnética, ou usar um processo de devolução aprovado pelo emissor, remove a credencial física exigida pelo ataque relatado. As pessoas não devem inferir que todos os cartões expirados são vulneráveis, que os pagamentos com chip são afetados ou que as carteiras digitais são universalmente imunes. O material fornecido deixa essas questões em aberto e não fornece nenhuma estimativa estabelecida de forma independente sobre a exposição individual do titular do cartão.
