Cartão 'zumbi': falha permite pagar por aproximação com Visa vencido
Pesquisadores da Universidade de Massachusetts Amherst apresentaram na Usenix Security 2026 uma técnica batizada de 'Zombie Card', que reativa cartões Visa expirados para pagamentos por aproximação.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
Uma equipe de pesquisadores da Universidade de Massachusetts Amherst apresentou na conferência de cibersegurança Usenix Security 2026 uma vulnerabilidade batizada de "Zombie Card" (cartão zumbi): ela permite reutilizar cartões Visa já vencidos em pagamentos por aproximação, como se ainda estivessem válidos.
O ataque não quebra a criptografia do chip do cartão. Em vez disso, explora uma falha na cadeia de validação da data de vencimento durante a transação sem contato. A Visa delega aos bancos emissores a checagem final dessa data — e, segundo os pesquisadores, nem todos os bancos bloqueiam de fato cartões expirados nesse fluxo.
Foto: reprodução/theregister.com
Na prática, a técnica exige posse física do cartão vencido e o uso de dois smartphones comuns: um aproxima do cartão para captar os dados de pagamento, e o segundo intercepta essa informação, reescreve a data de validade e a retransmite ao terminal de pagamento da loja.
Quem é afetado
A falha foi demonstrada especificamente em transações por aproximação da bandeira Visa. Como a validação depende de cada instituição financeira, o risco varia: bancos que reforçam a checagem de vencimento no processamento da transação bloqueiam o golpe; os que não reforçam ficam expostos. Isso significa que um cartão Visa vencido que o titular já considerava "morto" e descartou sem cuidado pode, em tese, voltar a ser usado por terceiros que tiverem acesso físico a ele.
O que fazer agora
- Corte fisicamente o cartão ao meio (ou em pedaços que atravessem o chip e a antena de aproximação) antes de descartá-lo;
- Nunca guarde cartões vencidos "por precaução" em carteiras, gavetas ou junto de documentos;
- Acompanhe o extrato e ative notificações de transação por push no aplicativo do banco;
- Em caso de cobrança indevida com cartão que você já considerava vencido, contate o banco emissor imediatamente e peça o cancelamento definitivo do número, não apenas do plástico;
- Bancos e emissores devem reforçar a validação de data de expiração no processamento de transações sem contato, e não apenas confiar no descarte do cliente.