Pesquisadores da Universidade de Massachusetts Amherst apresentaram na conferência USENIX Security 2026, realizada em Baltimore, uma vulnerabilidade batizada de Zombie Card — ou “cartão zumbi”. A falha, presente no sistema Visa de pagamentos por aproximação, permite que um cartão de crédito ou débito vencido continue sendo usado em compras via NFC sem que o terminal perceba a irregularidade.
A descoberta expõe uma limitação estrutural na forma como a Visa implementa a transmissão sem fio: a data de validade gravada no cartão não é protegida criptograficamente. Isso significa que ela pode ser interceptada e modificada em tempo real durante a comunicação entre o cartão e a maquininha, sem comprometer os demais dados de autorização bancária.
Como o ataque funciona
Para executar o Zombie Card, o atacante precisa de três elementos: o cartão vencido (fisicamente em mãos), dois celulares comuns e software específico. Durante a aproximação do cartão ao terminal, um dos celulares intercepta a transmissão sem fio e retransmite para o segundo aparelho, que substitui a data de vencimento por uma válida antes de repassar ao terminal de pagamento.
O processo inteiro acontece em milissegundos. Como os dados de autorização bancária — o núcleo criptografado da transação — permanecem intactos, o banco autoriza a compra normalmente. O terminal vê um cartão “válido”; o banco processa uma transação aparentemente legítima.
Os pesquisadores testaram o método com sucesso em cinco grandes bancos dos EUA, todos com cartões Visa. Nenhum dos testes gerou recusa automática por parte dos sistemas antifraude convencionais.
Apenas o Visa é afetado
Mastercard e American Express não são vulneráveis ao mesmo ataque. Ambas as redes utilizam mecanismos que vinculam a data de validade aos dados protegidos da transação ou identificam divergências entre os valores transmitidos e os registrados no servidor — o que torna a manipulação detectável.
A Visa foi notificada pelos pesquisadores em maio de 2025 e novamente em dezembro de 2025. Até a data de publicação do estudo, nenhuma correção ou atualização de protocolo foi implementada, e não há registro de casos criminosos usando a técnica na prática.
Como proteger seu cartão após o vencimento
A recomendação dos especialistas é simples: destrua fisicamente cartões vencidos. Passe um ímã forte sobre a tarja magnética para apagá-la, corte o chip e os números impressos com tesoura, e descarte os pedaços em lixeiras separadas. Para quem usa carteiras com muitos plásticos acumulados, essa prática reduz o risco de um cartão esquecido se tornar um vetor de fraude.
Independentemente disso, monitorar o extrato e ativar alertas de transação em tempo real pelo aplicativo do banco é uma camada adicional de proteção que vale para qualquer portador de cartão Visa.
Protetores de cartão com bloqueio RFID/NFC:
