Cartão 'zumbi': falha permite pagar por aproximação com Visa vencido

Um cartão Visa vencido pode voltar a funcionar em pagamentos por aproximação, segundo pesquisa apresentada na conferência de cibersegurança Usenix. A falha foi identificada por pesquisadores da Universidade de Massachusetts Amherst e permite que golpistas reutilizem cartões expirados em transações contactless, informou a revista Wired.

A técnica foi batizada pelos próprios pesquisadores de zombificação, numa referência à possibilidade de um cartão fora de validade voltar a ser usado. O problema está na cadeia de autenticação que deveria bloquear cobranças feitas com cartões vencidos.

Risco menos óbvio que o de cartão ativo

Um cartão de crédito ativo já representa risco de fraude assim que é perdido, roubado ou sai das mãos do titular por qualquer motivo. Um cartão vencido, por outro lado, costuma ser descartado sem cuidado, o que o torna um risco menos esperado pelo consumidor.

Basta que o plástico seja encontrado intacto por um golpista para que a zombificação seja possível, segundo os pesquisadores.

O método depende de um aplicativo intermediário instalado em dois celulares. Um deles fica próximo ao cartão vencido e captura seus dados, enquanto o outro retransmite essas informações para o terminal de pagamento no momento da cobrança.

A Visa delega parte da validação dessas transações ao banco emissor do cartão, de acordo com os pesquisadores. Alguns bancos bloqueiam operações feitas com cartões reutilizados dessa forma, mas outros não identificam a irregularidade e liberam o pagamento.

Risco cresce em terminais sem atendente

Um cartão descartado sem os devidos cuidados pode ser encontrado por terceiros e usado para pagamentos não autorizados na conta do antigo titular. A situação é mais provável em terminais de autoatendimento, onde não há um funcionário para notar o uso de dois celulares durante a compra.

A Visa não respondeu aos pedidos de comentário do site The Register, que também noticiou a pesquisa. A reportagem da Wired não indica se a empresa vai corrigir a falha na cadeia de autenticação identificada pelo estudo.

Cortar o cartão de crédito ao meio antes de descartá-lo impede que seus dados sejam lidos e retransmitidos por um aplicativo intermediário. A medida elimina o risco mesmo em bancos que não bloqueiam a reutilização do cartão vencido.