Cartões de crédito vencidos costumam ser descartados pelos consumidores sem muita preocupação. Afinal, a data de validade impressa no plástico deveria impedir novas compras. Uma pesquisa, porém, mostrou que essa proteção pode não funcionar como esperado em determinadas transações por aproximação.
Pesquisadores da Universidade de Massachusetts Amherst (UMass Amherst), nos Estados Unidos, identificaram uma falha que permite “ressuscitar” alguns cartões vencidos e utilizá-los em pagamentos presenciais. O estudo foi apresentado na conferência de segurança cibernética USENIX Security 2026 e recebeu dos pesquisadores o nome de “Zombie Card”, ou “cartão zumbi”.
A vulnerabilidade foi demonstrada principalmente em transações por aproximação da Visa. Segundo os pesquisadores, o problema está na forma como a data de vencimento é verificada durante o processo de pagamento: em determinadas situações, a informação pode ser alterada antes de chegar ao terminal de pagamento, fazendo com que um cartão expirado pareça estar dentro da validade.
“A data de validade impressa e gravada no cartão é a única forma de a máquina saber se ele está ativo ou vencido. No entanto, ela não é protegida criptograficamente. Portanto, podemos alterá-la facilmente para enganar o terminal de pagamento”, afirmou o autor principal, Raja Hasnain Anwar.
Como funciona a falha
O ataque utiliza dois smartphones comuns e software capaz de retransmitir informações por NFC, tecnologia usada nos pagamentos por aproximação. Um dos aparelhos se comunica com o cartão vencido, enquanto o outro transmite os dados para o terminal de pagamento.
Durante esse processo, a data de validade enviada à maquininha pode ser modificada. Os pesquisadores explicam que essa informação não possui proteção criptográfica suficiente nesse ponto da transação, permitindo que o terminal receba uma data futura e considere o cartão válido.
Universidade de Massachusetts
O problema não significa que qualquer cartão vencido possa ser utilizado dessa maneira. Os testes mostraram diferenças entre cartões, terminais, comerciantes e bancos. A pesquisa avaliou diferentes configurações de pagamento e constatou que as transações por aproximação da Visa eram particularmente suscetíveis ao tipo de alteração estudado.
Por que o cartão vencido ainda pode funcionar?
Uma das razões está na diferença entre a validade do plástico e a existência da conta bancária vinculada a ele. Mesmo depois que um cartão expira e é substituído, a conta do cliente continua ativa. É por isso, por exemplo, que um estabelecimento ainda pode processar um estorno relacionado a uma compra feita com um cartão antigo.
Os pesquisadores descobriram que, em determinadas configurações, os sistemas de pagamento não fazem uma nova verificação suficientemente rigorosa para confirmar que o cartão físico já expirou. Alguns bancos conseguem bloquear a operação, enquanto outros podem confiar nas informações fornecidas pelo terminal.
Quer saber mais notícias do Brasil? Acesse nosso canal no WhatsApp
Cartões descartados podem representar risco
A descoberta chama atenção para um hábito comum: jogar fora cartões vencidos acreditando que eles perderam completamente a utilidade.
Segundo os pesquisadores, um cartão vencido encontrado no lixo pode ser usado por criminosos. O risco existe porque a técnica foi testada com sucesso em pagamentos reais, além dos testes em laboratório.
Apesar da descoberta, o problema não afeta indiscriminadamente todos os cartões ou todas as formas de pagamento. Carteiras digitais, por exemplo, possuem mecanismos adicionais de segurança que oferecem maior resistência a esse tipo específico de ataque.