Su tarjeta de pago puede cobrar vida repentinamente y el dinero comenzará a desaparecer de su cuenta.
¿Crees que una vez que una tarjeta de pago caduca, se convierte en un trozo de plástico inútil que se puede tirar sin pensar? Investigadores de la Universidad de Massachusetts Amherst demostraron que se trata de una ilusión peligrosa.
El método de ataque que descubrieron, llamado «Zombie Card», permite reactivar tarjetas Visa caducadas y utilizarlas para pagos sin contacto en tiendas físicas. El ataque no requiere romper la compleja seguridad criptográfica de la tarjeta. Se basa en una brecha de comunicación entre el terminal de pago (POS) y la tarjeta durante los pagos sin contacto (NFC).
Sin embargo, el delincuente necesita acceso físico a la tarjeta inválida. o mantenerlo cerca de NFC, así como utilizar un ataque de intermediario (MitM).
¿Cómo es esto posible?
Durante la transacción, la fecha de vencimiento aparece en dos lugares: en los datos leídos por el terminal y en la información enviada al banco. La brecha es que estos dos sistemas de verificación no siempre son consistentes entre sí.
El atacante modifica la fecha visible para el terminal a cualquier fecha futurai. La firma digital de la tarjeta permanece intacta, lo que permite engañar al terminal para que permita la transacción. El atacante no necesita conocer la verdadera fecha de vencimiento de la tarjeta de reemplazo. Cualquier fecha posterior a la fecha de la transacción es suficiente.
Según pruebas realizadas en 5 bancos americanos, las tarjetas Mastercard y American Express son resistentes a los ataques. La situación es peor en el caso de las tarjetas Visa y Discover, donde los bancos aceptaron la fecha modificada y permitieron transacciones incluso con más de una tarjeta de crédito. Uno de los bancos incluso detectó la modificación, pero permitió la primera transacción y sólo bloqueó las siguientes.
Bancos informados, pero sin respuesta
Es importante destacar que la información sobre la vulnerabilidad detectada se proporcionó a los bancos vulnerables y a Visa ya en mayo de 2025, y los resultados de la investigación se presentaron en un simposio de seguridad recién el 14 de agosto de este año. Entonces los científicos dieron tiempo a las instituciones para cerrar la brecha.
Visa no ha comentado públicamente sobre los hallazgos. El artículo señala, sin embargo, que el informe de la red ha pasado por una selección preliminar y está siendo replicado por el equipo rojo de Visa y que Ni Visa ni los bancos notificados proporcionaron ninguna actualización sobre el estado o la naturaleza de las medidas de mitigación. en el momento de la aceptación del artículo.
¿Qué hacer con las tarjetas viejas?
En caso de un ataque con una Tarjeta Zombie, puede resultar difícil demostrar que no fuimos nosotros quienes usamos la tarjeta. Sobre todo porque el delincuente debe tener acceso físico a él y cualquier compra puede realizarse en nuestras inmediaciones.
Antes de tirar la tarjeta vieja a la basura, definitivamente vale la pena destruirla físicamente primero. Necesitas cortar la banda magnética y el chip, y si eres demasiado entusiasta, puedes tirar estos pedazos en 2 contenedores diferentes.
