Aquele cartão Visa expirado na sua gaveta ainda consegue comprar mantimentos
A maioria das pessoas corta um canto do cartão expirado e deita-o ao lixo, ou deixa-o numa gaveta porque atirar fora um cartão bancário parece errado. Três investigadores da University of Massachusetts Amherst acabaram de apresentar um argumento sólido para o destruir devidamente.
Muhammad Taqi Raza, Raja Hasnain Anwar e Gerard DeCunha apresentaram o trabalho, a que chamam ataque Zombie Card, no USENIX Security Symposium em Baltimore, entre 12 e 14 de agosto. A montagem usa dois telemóveis com NFC colocados entre o cartão e o terminal da loja. Um lê o cartão, o outro reescreve a data de validade para uma data futura, e o terminal aceita-a. A razão é uma falha na implementação de pagamento sem contacto da Visa, o Kernel 3: a data de validade não está associada aos dados que o cartão assina criptograficamente, por isso alterá-la não quebra nada que seja verificado. Nas palavras de Anwar, praticamente qualquer data futura funciona. A mesma manipulação foi tentada com a Mastercard, a American Express e a Discover, e as três recusaram-na.
Estes não foram resultados apenas de laboratório. A equipa concretizou transações em caixas reais - 2,79 dólares num retalhista, 3,19 dólares num supermercado - além de valores até 500 dólares em testes. Funciona enquanto a conta por trás do cartão continuar aberta com o mesmo número, que é exatamente o que acontece quando o seu banco lhe envia um cartão de substituição. Também exige o cartão físico, ou um contacto próximo e prolongado com ele. A equipa avisou a Visa em maio de 2025; a equipa vermelha da Visa tem estado a reproduzir o ataque, mas nenhuma correção foi confirmada e não foi atribuído nenhum CVE. Ninguém relatou ainda a sua utilização em ataques reais.
O conselho de Raza é direto: descarte sempre um cartão expirado, e continue a ler os extratos de contas que já encerrou. Destrua o chip e a banda magnética, não apenas o plástico à volta deles. Nada disto toca no seu computador, o que vale a pena dizer claramente - a verificação de Privacidade e contas do Tendvane cobre as contas em que o seu PC tem sessão iniciada, e um cartão numa gaveta da cozinha não é uma delas.