A validade do cartão venceu, o banco enviou outro e aquele plástico antigo virou apenas candidato a ocupar alguma gaveta por alguns anos. Problema resolvido, certo? Não necessariamente.
Pesquisadores da Universidade de Massachusetts Amherst descobriram uma forma de fazer alguns cartões de crédito vencidos voltarem a realizar pagamentos.
A técnica foi demonstrada tanto em laboratório quanto em estabelecimentos comerciais e apresentada na USENIX Security 2026.
Os pesquisadores deram um nome bastante apropriado ao problema: zombie credit cards, ou cartões de crédito zumbis.
E a origem da falha está em algo aparentemente banal: a data de validade.
Cartão de crédito vencido ainda funciona?
Existe uma razão para um cartão de crédito vencido não simplesmente desaparecer do sistema financeiro.
Imagine que você comprou alguma coisa e precisa receber um reembolso meses depois. Mesmo que o cartão utilizado naquela compra já tenha vencido, o dinheiro ainda precisa chegar à conta correta.
Foi justamente isso que despertou a curiosidade de Taqi Raza, professor da UMass Amherst.
Se um cartão vencido ainda consegue receber dinheiro, seria possível utilizá lo para pagar?
Para alguns cartões testados pelos pesquisadores, a resposta foi sim.
Dois celulares foram suficientes para enganar o terminal
A equipe criou um sistema utilizando dois smartphones comuns, o cartão físico vencido e software de emulação.
O ataque explora a mesma tecnologia NFC utilizada nos pagamentos por aproximação.
O primeiro smartphone se comunica com o cartão e solicita os dados necessários para iniciar uma transação. Essas informações incluem a data de validade já expirada. É aí que entra o segundo aparelho.
Os pesquisadores utilizaram um sistema de relay via Wi Fi para intermediar a comunicação. Antes de os dados chegarem ao terminal de pagamento, a data de validade era modificada para uma data futura.
E existe um detalhe curioso: o atacante não precisa descobrir qual é a validade do cartão novo enviado pelo banco.
Segundo o estudo, uma data futura arbitrária pode ser suficiente.
Para alguém observando a compra, a interação parece simplesmente um pagamento por aproximação.
O problema está em um dado que pode ser alterado
Segundo Raja Hasnain Anwar, principal autor do estudo, a data de validade utilizada pelo terminal para determinar se aquele cartão está ativo não possui proteção criptográfica adequada contra esse tipo de alteração.
O terminal recebe uma data futura e pode acreditar que o cartão continua válido.
Naturalmente, seria razoável imaginar que o banco perceberia a inconsistência.
Só que os pesquisadores descobriram que nem todas as instituições verificam a data lida pelo terminal contra informações autenticadas sobre o ciclo de vida daquele cartão.
Se outras proteções não bloquearem a operação, a transação pode ser aprovada.
É aquele clássico cenário de segurança digital em que cada componente acredita que outro componente já fez a verificação.
Normalmente na área de tecnologia isso nunca termina muito bem.
Continua depois da publicidade
Existe outra validade escondida no cartão
A história fica um pouco mais interessante porque cartões possuem outra informação de validade associada ao certificado digital utilizado na comunicação segura da transação.
Esse certificado permite que cartão e terminal estabeleçam a comunicação necessária.
O problema identificado pelos pesquisadores é que essa validade criptográfica pode ser maior do que a validade impressa no cartão.
Assim, um cartão fisicamente vencido ainda pode possuir credenciais criptográficas capazes de participar da comunicação.
O sistema continua reconhecendo o cartão em um nível enquanto, em outro, aquele plástico deveria estar aposentado. Essa diferença abre espaço para o ataque.
Os pesquisadores testaram fora do laboratório
A técnica não ficou apenas em uma demonstração controlada, ou seja foi testada ao vivo caros leitores(a).
De acordo com informações divulgadas a equipe afirma ter realizado testes em estabelecimentos locais, incluindo restaurantes e supermercados, conseguindo reproduzir o comportamento em diferentes terminais de pagamento.
Isso não significa, porém, que qualquer cartão vencido possa ser utilizado dessa maneira.
O estudo encontrou diferenças entre cartões, instituições e mecanismos adicionais de segurança.
Carteiras digitais também demonstraram maior resistência especificamente contra esse ataque por possuírem proteções adicionais.
Portanto, não estamos diante de uma chave universal capaz de ressuscitar qualquer cartão vencido.
Estamos diante de uma inconsistência real em partes do ecossistema de pagamentos. Claro, isso já é suficientemente preocupante.
Um sistema distribuído criou uma brecha entre as verificações
A raiz do problema ajuda a explicar por que falhas assim continuam aparecendo em sistemas de pagamento extremamente maduros.
Uma transação moderna envolve decisões distribuídas entre chip, terminal, rede de pagamentos e instituição financeira.
Cada componente possui informações e responsabilidades diferentes.
Quando um deles confia demais na validação realizada por outro, pequenas discrepâncias podem se transformar em oportunidades de exploração.
Neste caso, o terminal possui uma visão limitada sobre a expiração enquanto determinadas instituições podem confiar naquela verificação para prosseguir com a transação.
Não é necessariamente uma grande falha isolada. É o espaço existente entre várias decisões aparentemente corretas.
Seu cartão vencido merece mais respeito antes de ir para o lixo
As principais empresas de cartões foram notificadas pelos pesquisadores, mas a descoberta também derruba uma percepção bastante comum entre consumidores.
Cartão vencido não deve ser tratado como um pedaço de plástico inútil.
Os pesquisadores recomendam destruir adequadamente cartões antigos, incluindo chip e demais informações físicas, em vez de simplesmente jogá los no lixo ou esquecê los em algum lugar.
No caso de cartões metálicos, a orientação é procurar a própria emissora para saber como realizar o descarte.
Também vale continuar acompanhando movimentações de contas associadas a cartões antigos e comunicar imediatamente qualquer transação desconhecida à instituição financeira.
Porque aparentemente até no sistema financeiro existe uma regra digna de filme de terror:
Só porque morreu não significa que não possa voltar.
