Esa tarjeta Visa caducada en tu cajon todavia puede comprar la compra
La mayoria de la gente corta una esquina de una tarjeta caducada y la tira a la basura, o la deja en un cajon porque tirar una tarjeta bancaria da un poco de reparo. Tres investigadores de la Universidad de Massachusetts Amherst acaban de dar un buen argumento para destruirla como es debido.
Muhammad Taqi Raza, Raja Hasnain Anwar y Gerard DeCunha presentaron el trabajo, al que llaman el ataque Zombie Card, en el USENIX Security Symposium en Baltimore del 12 al 14 de agosto. El montaje son dos telefonos con NFC colocados entre la tarjeta y el terminal de la tienda. Uno lee la tarjeta, el otro reescribe la fecha de caducidad a algo en el futuro, y el terminal la acepta. El motivo es un fallo en la implementacion sin contacto de Visa, Kernel 3: la fecha de caducidad no esta vinculada a los datos que la tarjeta firma criptograficamente, asi que cambiarla no rompe nada de lo que se verifica. En palabras de Anwar, casi cualquier fecha futura funciona. Se probo la misma manipulacion con Mastercard, American Express y Discover, y las tres la rechazaron.
Estos no fueron resultados solo de laboratorio. El equipo paso transacciones en cajas reales: 2,79 dolares en un comercio, 3,19 dolares en un supermercado, junto con importes de hasta 500 dolares en pruebas. Funciona mientras la cuenta detras de la tarjeta siga abierta con el mismo numero, que es exactamente lo que pasa cuando tu banco te envia una tarjeta de reemplazo. Tambien necesita la tarjeta fisica, o un contacto prolongado y cercano con ella. Los investigadores avisaron a Visa en mayo de 2025; el equipo de seguridad de Visa lo ha estado reproduciendo, pero no se ha confirmado ninguna solucion y no se ha asignado ningun CVE. Nadie ha informado de que esto se este usando en el mundo real.
El consejo de Raza es directo: desecha siempre una tarjeta caducada, y sigue revisando los extractos de las cuentas que ya has cerrado. Destruye el chip y la banda magnetica, no solo el plastico alrededor. Nada de esto toca tu ordenador, y merece la pena decirlo claramente: la revision de Privacidad y cuentas de Tendvane cubre las cuentas en las que tu PC ha iniciado sesion, y una tarjeta en un cajon de la cocina no es una de ellas.