Cuando una tarjeta de crédito caduca, lo más común es tirarla a la basura o guardarla en un cajón sin más. Pero un grupo de investigadores de la Universidad de Massachusetts Amherst acaba de demostrar que esa tarjeta Visa inactiva podría convertirse en un arma de fraude. Bautizada como ‘Zombie Card’, la técnica permite que una tarjeta contactless expirada realice compras reales en tiendas físicas.

¿Cómo funciona el ataque?

Los investigadores Raja Hasnain Anwar, Gerard DeCunha y Muhammad Taqi Raza presentaron sus hallazgos en la Usenix Cybersecurity Conference la semana pasada, según informó WIRED. Probaron tarjetas contactless de Visa, Mastercard, Discover y American Express, utilizando múltiples terminales y comercios, así como tarjetas de cinco grandes bancos estadounidenses.

La vulnerabilidad reside en el flujo Visa Kernel 3 para pagos sin contacto. El problema es que la Application Expiration Date que el terminal lee no está vinculada de forma segura a los datos reales de la tarjeta. Mediante un ataque de intermediario (man-in-the-middle) usando un par de teléfonos, los atacantes pueden modificar la fecha de caducidad que se envía al terminal, haciéndole creer que la tarjeta sigue vigente. De esta forma, una tarjeta Visa caducada «revive» y puede autorizar pagos.

Otras redes no caen en la trampa

Lo curioso es que Mastercard, American Express y Discover sí detectaron la manipulación. En sus núcleos contactless, las comprobaciones de consistencia o la cobertura de datos autenticados provocaron que la fecha modificada fuese rechazada y la transacción denegada.

Sin embargo, Visa delega gran parte de la verificación al banco emisor. Y aquí el resultado no fue uniforme: algunos bancos bloquearon las transacciones de tarjetas caducadas, mientras que otros las aprobaron sin problema. Esto significa que, dependiendo de la entidad, una tarjeta expirada puede seguir siendo funcional para un atacante.

¿Cómo podrían explotarlo los delincuentes?

El escenario más plausible, según los investigadores, es que alguien recupere una tarjeta caducada o reemplazada que el dueño considera inofensiva. Basura doméstica, cajones olvidados, carteras perdidas o cubos de reciclaje corporativos son fuentes potenciales. Si la cuenta subyacente sigue abierta y los controles del emisor no validan el ciclo de vida exacto de la tarjeta, un atacante podría usar un relé NFC para hacer compras contactless.

Un caso menos probable, pero posible, es el ataque de proximidad contra una tarjeta que aún está en manos de su propietario. Requiere mantener un relé activo durante la transacción, lo que es mucho más complejo que simplemente escanear la tarjeta al pasar.

Consejos para protegerte

Los investigadores ofrecen recomendaciones claras:

  • Destruye físicamente las tarjetas caducadas o las de reemplazo. Corta varias veces el chip, rompe la antena contactless y daña la banda magnética antes de tirar los trozos.
  • Notifica la pérdida de una tarjeta caducada. No la trates como un trozo de plástico inerte; reportarla como perdida es una precaución recomendada por los investigadores.

Aunque estas medidas ayudan, la responsabilidad última recae en las redes de pago, las implementaciones de los terminales y los bancos emisores. Ellos deben garantizar que los datos de caducidad estén protegidos contra manipulaciones y que los sistemas de autorización rechacen credenciales retiradas.

Según informó el medio The Register, Visa no respondió a las solicitudes de comentario sobre esta investigación. Mientras tanto, si tienes una tarjeta Visa caducada en casa, ya sabes: destruirla físicamente es la mejor defensa para que no se convierta en un ‘zombi’ financiero.