Investigadores de la Universidad de Massachusetts Amherst descubrieron un ataque llamado Zombie Card que permite reactivar tarjetas Visa caducadas para realizar compras físicas. Mediante un dispositivo intermediario, modifican la fecha de vencimiento que lee el terminal sin romper la criptografía de la tarjeta. El éxito depende de que el banco no verifique la fecha independientemente y que la cuenta siga abierta.







Investigadores de la Universidad de Massachusetts Amherst han demostrado un ataque que revive tarjetas de crédito Visa sin contacto caducadas para realizar compras reales en tiendas, reescribiendo la fecha de vencimiento que lee un terminal de punto de venta (POS) a través de comunicación de campo cercano (NFC), sin romper ninguna de las criptografías de la tarjeta.

El ataque, que los investigadores llamaron "Zombie Card", requiere la posesión física de la tarjeta caducada o una proximidad NFC sostenida a ella, además de un relé de hombre en el medio (MitM) posicionado entre la tarjeta y el terminal.

También requiere que la cuenta permanezca abierta bajo el mismo número de cuenta primario (PAN), que es la práctica estándar cuando un emisor envía una tarjeta de reemplazo, y que el banco emisor no vuelva a comprobar la caducidad de forma independiente durante la autorización.

El resumen del artículo describe una evaluación que abarca cinco bancos importantes de EE. UU.; los experimentos con tarjetas físicas caducadas y reemplazadas cubren tres de ellos, y de esos tres, uno aprobó las transacciones revividas, uno rechazó cada intento y el tercero ejecutaba un kernel Europay, Mastercard y Visa (EMV) diferente en el que la modificación falló por completo.

El trabajo fue presentado aquí en el 35º Simposio de Seguridad USENIX en Baltimore del 12 al 14 de agosto de 2026. Raja Hasnain Anwar, Gerard DeCunha y Muhammad Taqi Raza revelaron los hallazgos a Visa y a los bancos afectados en mayo de 2025 y volvieron a contactar en diciembre de 2025. No se ha asignado ningún CVE y no se ha informado de ninguna explotación de la técnica.

The Hacker News no encontró ningún aviso, boletín de especificaciones o guía de mitigación publicada por Visa, EMVCo, Mastercard, Discover, American Express o el proveedor de terminales SumUp hasta el 20 de agosto de 2026.

La caducidad de la tarjeta aparece dos veces

La caducidad de la tarjeta aparece dos veces en una transacción Visa sin contacto, y las dos representaciones son consumidas por diferentes partes. El terminal evalúa sus restricciones de procesamiento frente a la Fecha de Expiración de la Aplicación, transportada en la etiqueta Tag-Length-Value (TLV) 5F24. El emisor deriva la caducidad de los Datos Equivalentes de la Pista 2, etiqueta 57, que viaja en la solicitud de autorización en línea.

Según el artículo, el Kernel 3 de Visa no requiere que los dos estén vinculados consistentemente, y la firma de Autenticación de Datos Dinámicos rápida (fDDA) que el terminal verifica excluye totalmente el 5F24. El relé reescribe la fecha orientada al terminal a cualquier valor futuro y deja la Pista 2 intacta, por lo que la firma de la tarjeta y su criptograma verificado por el emisor siguen siendo válidos.

"Sin embargo, no está protegido criptográficamente. Así que podemos modificarlo fácilmente para engañar al POS", dijo Anwar, candidato a doctorado en el Laboratorio Khwarizmi de UMass Amherst, sobre la fecha de vencimiento aquí en un comunicado universitario.



Una tarjeta caducada sigue superando la autenticación de datos fuera de línea porque los plazos de validez del emisor y del certificado de la tarjeta de circuito integrado se establecen independientemente de la caducidad de la aplicación y habitualmente superan la fecha impresa.

La clave privada de la tarjeta no codifica ninguna noción de caducidad. El Kernel 3 también especifica que los Resultados de Verificación del Terminal reenviados al emisor se establecen en ceros, por lo que un banco no puede ver si el terminal ejecutó o falló su comprobación de caducidad local.

El atacante no necesita conocer la fecha de vencimiento real de la tarjeta de reemplazo. Cualquier fecha posterior a la fecha de la transacción es suficiente.

El equipo ejecutó la misma modificación contra cuatro kernels EMV sin contacto, las implementaciones del protocolo por red, con los siguientes resultados:

* Visa (Kernel 3). La edición superó las restricciones de procesamiento del terminal y no invalidó la firma, porque el 5F24 no está entre los datos firmados.
* Mastercard (Kernel 2). El terminal realiza una comprobación de consistencia entre las dos representaciones de caducidad durante el análisis de READ RECORD y trata una discrepancia como un error de datos de la tarjeta, rechazándola en lugar de pasar a modo en línea.
* American Express (Kernel 4). La fecha de vencimiento es un elemento de registro obligatorio vinculado a los datos estáticos cubiertos por la autenticación de datos fuera de línea, produciendo un error de hash durante la validación de la firma.
* Discover (Kernel 6). La Autenticación de Datos Dinámicos Combinada vincula los objetos TLV devueltos por la tarjeta en el hash de transacción verificado, y las transacciones modificadas fueron rechazadas.

El relé en sí consistía en dos teléfonos Android con capacidad NFC que ejecutaban software personalizado de emulador de tarjeta y emulador de POS a través de Wi-Fi, probados con lectores SumUp Solo y SumUp Plus.

Cada viaje redondo de la Unidad de Datos de Protocolo de Aplicación (APDU) añadió un estimado de 20 milisegundos para el relé y 50 milisegundos con la modificación, para un promedio por transacción de unos 415 milisegundos frente al límite de EMV de 500 milisegundos por comando.

Ninguna de las tarjetas físicas o terminales en el banco de pruebas implementaba el Protocolo de Resistencia al Relé (RRP) opcional de EMV, que limita el tiempo de respuesta permitido y detectaría la latencia añadida.

Frente al emisor que los investigadores denominan Banco A, la tarjeta revivida completó transacciones de $1.00, $100.00 y $500.00 en el propio terminal del equipo registrado bajo una categoría de comerciante de Servicios Profesionales, además de $2.79 en un comerciante minorista y $3.19 en un comerciante de comestibles en el campus.

El terminal del Banco B aceptó la caducidad modificada en las tres cantidades del laboratorio, pero el emisor rechazó cada una y pidió al titular de la tarjeta que utilizara la tarjeta de reemplazo. Las transacciones no modificadas con la tarjeta caducada fueron rechazadas correctamente en cada ejecución base.

Los bancos están anonimizados de la A a la E, y el artículo afirma que las compras minoristas y de comestibles verifican únicamente la validez externa y no constituyen un estudio de medición de todo el ecosistema entre comerciantes, proveedores de terminales o configuraciones de emisores. Todas las pruebas se realizaron en los Estados Unidos.

Otros hallazgos

Un hallazgo separado se sitúa fuera del resultado de Visa. Una tarjeta en el conjunto de prueba no había caducado, pero había sido reemplazada automáticamente por su emisor por tener menos de tres meses de validez restante. Tanto la tarjeta antigua como su reemplazo continuaron completando transacciones contra la misma cuenta, sin modificaciones, en el Kernel 6, donde la edición de la caducidad falló.

El artículo propone contramedidas que abarcan kernels, terminales y emisores:

* Vincular los datos críticos de caducidad. La Fecha de Expiración de la Aplicación y los campos de verificación del titular de la tarjeta deben estar vinculados criptográficamente a una firma verificable por el emisor, autenticados bajo la autenticación de datos fuera de línea, o cubiertos por un hash de transacción definido por el kernel que falle ante una modificación en tránsito.
* Comparar las dos representaciones de caducidad entre sí. Cuando un kernel expone más de una, el terminal debería comparar el valor que consume frente al transportado en los datos orientados al emisor y producir evidencia visible para el emisor cuando diverjan.
* Autorizar mediante una tupla de PAN y caducidad. Los emisores deberían tratar la caducidad presentada como parte de la identidad de la credencial y rechazarla cuando no coincida con la credencial actualmente válida para ese PAN.
* Preservar las señales de validación del terminal. Los resultados del terminal relacionados con la caducidad deberían llegar al emisor, ya sea reenviando los Resultados de Verificación del Terminal reales o a través de un indicador equivalente visible para el emisor.

Para los titulares de tarjetas, la recomendación es destruir el chip y la banda magnética de las tarjetas caducadas en lugar de desecharlas intactas, y seguir monitoreando una cuenta cerrada.

Visa no ha comentado públicamente sobre los hallazgos. El artículo registra que su informe a la red pasó el triaje inicial y está siendo reproducido por el red team de Visa, y que "ni Visa ni los bancos notificados han proporcionado ninguna actualización sobre el estado o la naturaleza de las mitigaciones" hasta la aceptación del artículo.

The Hacker News se ha puesto en contacto con Visa para obtener comentarios y con los investigadores para obtener más detalles sobre los emisores anonimizados, y actualizará esta historia con cualquier respuesta. La implementación del relé y MitM no ha sido liberada; los autores publicaron en su lugar registros de transacciones saneados, y la primera página del artículo lleva la insignia de evaluación de artefactos de USENIX marcada como Disponible.

Este desarrollo llega mientras Group-IB, con sede en Singapur, documentó una familia de malware de relé NFC para Android previamente no vista que rastrean como WindRelay, desplegada junto con el troyano de acceso remoto (RAT) SpyNote en ingeniería social de llamadas en vivo contra víctimas en Chequia, Eslovaquia y Eslovenia.

En un informe publicado el 12 de agosto de 2026, la firma dijo que identificó 23 muestras subidas a VirusTotal entre noviembre de 2025 y julio de 2026 y cuatro direcciones IP de comando y control (C2). Ese malware relé una tarjeta activa en tiempo real y no toca la fecha de vencimiento, pero utiliza la misma primitiva de relé de dos dispositivos en la que depende el banco de pruebas de Zombie Card.

"Este caso muestra que el fraude moderno rara vez depende de una sola técnica", dijo Group-IB en el informe aquí.

Fuente:
THN