Pesquisadores da University of Massachusetts Amherst demonstraram um ataque que reativa, na prática, cartões de crédito Visa contactless expirados para compras presenciais, ao reescrever a data de validade lida por um terminal de ponto de venda (POS) via comunicação por campo de proximidade (NFC), sem quebrar a criptografia do cartão.
O ataque, batizado pelos pesquisadores de "Zombie Card", exige a posse física do cartão expirado ou proximidade NFC sustentada com ele, além de um relé man-in-the-middle (MitM) posicionado entre o cartão e o terminal.
Também é necessário que a conta permaneça aberta sob o mesmo número de conta principal (PAN), prática padrão quando o emissor envia um cartão de substituição, e que o banco emissor não faça uma nova verificação independente da validade durante a autorização.
O resumo do artigo descreve uma avaliação envolvendo cinco grandes bancos dos Estados Unidos. Os experimentos com cartões físicos expirados e substituídos cobrem três deles e, entre esses três, um aprovou as transações reativadas, outro recusou todas as tentativas e o terceiro usava um kernel diferente de Europay, Mastercard e Visa (EMV), no qual a modificação falhou imediatamente.
O trabalho foi apresentado no 35º USENIX Security Symposium, em Baltimore, entre 12 e 14 de agosto de 2026. Raja Hasnain Anwar, Gerard DeCunha e Muhammad Taqi Raza divulgaram as descobertas à Visa e aos bancos afetados em maio de 2025 e voltaram a fazer contato em dezembro de 2025. Nenhum CVE foi atribuído e não há registro de exploração dessa técnica.
O Hacker News não encontrou, até 20 de agosto de 2026, nenhum comunicado, boletim de especificação ou orientação de mitigação publicado pela Visa, EMVCo, Mastercard, Discover, American Express ou pela fabricante de terminais SumUp.
A validade do cartão aparece duas vezes em uma transação Visa contactless, e cada representação é usada por uma parte diferente. O terminal avalia suas restrições de processamento com base na Data de Expiração da Aplicação, armazenada na tag 5F24 do formato Tag-Length-Value (TLV). Já o emissor deriva a validade dos dados equivalentes da Tarja 2, tag 57, que segue na solicitação de autorização online.
Segundo o artigo, o Kernel 3 da Visa não exige que as duas informações permaneçam vinculadas de forma consistente, e a assinatura rápida de Autenticação Dinâmica de Dados (fDDA) verificada pelo terminal não inclui a tag 5F24. O relé altera a data visível ao terminal para qualquer valor futuro e mantém a Tarja 2 intacta, de modo que a assinatura do cartão e o criptograma verificado pelo emissor continuam válidos.
"Mas ela não é protegida criptograficamente. Então podemos modificá-la facilmente para enganar o POS", disse Anwar, candidato ao doutorado no Khwarizmi Lab da UMass Amherst, sobre a data de expiração, em comunicado da universidade.
Um cartão expirado ainda passa pela autenticação de dados offline porque os prazos dos certificados do emissor e do cartão com circuito integrado são definidos de forma independente da validade da aplicação e normalmente ultrapassam a data impressa.
A chave privada do cartão não codifica qualquer noção de expiração. O Kernel 3 também especifica que os Resultados de Verificação do Terminal enviados ao emissor são definidos como zeros, o que impede o banco de saber se o terminal executou ou não sua checagem local de validade.
O atacante não precisa saber a data real de validade do cartão de substituição. Qualquer data posterior à data da transação é suficiente.
A equipe aplicou a mesma modificação em quatro kernels contactless EMV, as implementações do protocolo por rede, com os seguintes resultados:
Visa (Kernel 3). A alteração passou pelas restrições de processamento do terminal e não invalidou a assinatura, porque a 5F24 não faz parte dos dados assinados.
Mastercard (Kernel 2). O terminal executa uma checagem de consistência entre as duas representações de validade durante a análise do READ RECORD e trata a divergência como erro nos dados do cartão, recusando a transação em vez de tentar processá-la online.
American Express (Kernel 4). A data de expiração é um elemento obrigatório do registro e fica vinculada aos dados estáticos cobertos pela autenticação de dados offline, gerando incompatibilidade de hash na validação da assinatura.
Discover (Kernel 6). A Autenticação Dinâmica de Dados combinada vincula os objetos TLV retornados pelo cartão ao hash da transação verificada, e as transações modificadas foram recusadas.
O relé em si foi montado com dois celulares Android compatíveis com NFC, executando software personalizado de emulação de cartão e de POS via Wi-Fi, testados com leitores SumUp Solo e SumUp Plus.
Cada ida e volta de uma Unidade de Dados de Protocolo de Aplicação (APDU) acrescentou uma estimativa de 20 milissegundos para o relé e 50 milissegundos com modificação, resultando em uma média por transação de cerca de 415 milissegundos, abaixo do limite EMV de 500 milissegundos por comando.
Nenhum dos cartões físicos ou terminais do ambiente de testes implementava o Protocolo Opcional de Resistência a Relé (RRP) do EMV, que limita o tempo de resposta permitido e detectaria a latência adicional.
No teste contra o emissor identificado pelos pesquisadores como Banco A, o cartão reativado concluiu transações de US$ 1,00, US$ 100,00 e US$ 500,00 no próprio terminal da equipe, registrado na categoria de comerciante de serviços profissionais, além de compras de US$ 2,79 em um varejista e de US$ 3,19 em um mercado no campus.
O terminal do Banco B aceitou a validade modificada em todos os três valores de laboratório, mas o emissor recusou cada uma das tentativas e orientou o titular a usar o cartão de substituição. As transações sem modificação, usando o cartão expirado, foram corretamente recusadas em todas as execuções de base.
Os bancos são anonimizados como A a E ao longo do artigo, e o texto afirma que as compras em varejo e supermercado servem apenas para verificar validade externa, sem representar um estudo de medição de todo o ecossistema, abrangendo comerciantes, fabricantes de terminais ou configurações de emissores. Todos os testes foram realizados nos Estados Unidos.
Há ainda um achado separado, fora do resultado envolvendo a Visa. Um cartão do conjunto de testes ainda não havia expirado, mas já tinha sido substituído automaticamente pelo emissor por ter menos de três meses de validade restante. Tanto o cartão antigo quanto o de substituição continuaram concluindo transações na mesma conta, sem modificação, no Kernel 6, embora a própria alteração da validade tenha falhado.
O artigo propõe contramedidas para kernels, terminais e emissores:
Vincular os dados críticos de validade. A Data de Expiração da Aplicação e os campos de verificação do titular devem ser vinculados criptograficamente a uma assinatura verificável pelo emissor, autenticada na autenticação de dados offline ou coberta por um hash de transação definido pelo kernel que falhe em caso de modificação em trânsito.
Verificar as duas representações de validade entre si. Quando um kernel expuser mais de uma, o terminal deve comparar o valor que consome com o que está nos dados visíveis ao emissor e produzir evidência visível ao emissor quando houver divergência.
Autorizar com base em uma combinação de PAN e validade. Os emissores devem tratar a validade apresentada como parte da identidade da credencial e recusar quando ela não corresponder à credencial atualmente válida para aquele PAN.
Preservar os sinais de validação do terminal. Os resultados do terminal relacionados à validade devem chegar ao emissor, seja por meio do envio dos verdadeiros Resultados de Verificação do Terminal, seja por um indicador equivalente visível ao emissor.
Para os titulares, a orientação é destruir o chip e a tarja magnética de cartões expirados em vez de descartá-los intactos, além de continuar monitorando contas encerradas.
A Visa não comentou publicamente as descobertas. O artigo registra que o relatório enviado à rede passou pela triagem inicial e está em reprodução pela red team da Visa, e que "nem a Visa nem os bancos notificados forneceram qualquer atualização sobre o status ou a natureza das mitigação" até a aceitação do artigo.
A implementação do relé e do MitM não foi divulgada; os autores publicaram apenas logs de transações sanitizados, e a primeira página do artigo traz o selo de avaliação de artefatos do USENIX marcado como Disponível.
O avanço ocorre no momento em que o Group-IB, com sede em Singapura, documentou uma família de malware relé via NFC para Android até então inédita, que acompanha como WindRelay, e que foi distribuída junto com o trojan de acesso remoto (RAT) SpyNote em engenharia social por chamadas ao vivo contra vítimas na Tchéquia, Eslováquia e Eslovênia.
Em relatório publicado em 12 de agosto de 2026, a empresa disse ter identificado 23 amostras enviadas ao VirusTotal entre novembro de 2025 e julho de 2026, além de quatro endereços IP de comando e controle (C2). Esse malware retransmite um cartão ativo em tempo real e não altera a data de expiração, mas usa o mesmo princípio de relé entre dois dispositivos do qual o ambiente de testes do Zombie Card depende.
"Este caso mostra que a fraude moderna raramente depende de uma única técnica", disse o Group-IB no relatório.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...