Investigadores de la Universidad de Massachusetts Amherst descubrieron que es posible reactivar tarjetas de crédito Visa vencidas para realizar pagos sin contacto. Mediante el uso de teléfonos móviles como proxies NFC, lograron manipular la fecha de expiración, ya que Visa no la vincula criptográficamente. Este fallo de seguridad depende de cómo cada banco procese la transacción, mientras que otras redes como Mastercard y American Express resultaron resistentes al ataque.





Investigadores afiliados a la Universidad de Massachusetts Amherst han descubierto que es posible obtener pagos de ciertas tarjetas de crédito sin contacto caducadas, un proceso detallado en la reciente conferencia USENIX Security 2026.

Raja Hasnain Anwar, Gerard DeCunha y Muhammad Taqi Raza describen sus hallazgos en un documento titulado "Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments".

Las tarjetas de crédito, explican los autores en su artículo, tienen fechas de vencimiento, pero la forma en que estas fechas se verifican y aplican no es consistente. Por lo tanto, pudieron idear un ataque que hace que las tarjetas sin contacto caducadas parezcan válidas para las terminales de pago.

El proceso de pago Europay, Mastercard y Visa (EMV) implica una tarjeta de pago (tarjeta o billetera digital en un teléfono) y una terminal de punto de venta que se comunican a través de un canal NFC directo, vinculado a una red de pago (por ejemplo, Visa, Mastercard, Discover) que conecta al comerciante con un banco y un emisor de tarjetas.

El proceso de transacción se basa en el protocolo EMV sin contacto, que según los autores es frágil porque el flujo de la transacción se autentica selectivamente: algunos de los datos se envían entre la tarjeta y la terminal en texto plano y solo más tarde se vinculan a la verificación criptográfica mediante la Autenticación de Datos Offline (ODA) y criptogramas verificados por el emisor.

Esto deja una apertura para la interferencia de intermediarios no deseados, lo que requiere solo el conocimiento necesario y teléfonos móviles que actúen como proxies NFC. Y, de hecho, los investigadores demostraron que podían intervenir de manera que revivieran tarjetas de pago sin contacto caducadas para realizar compras.

"Nuestros resultados muestran que las transacciones sin contacto de Visa son susceptibles a la manipulación de man-in-the-middle debido a la falta de una protección de integridad efectiva", afirman los autores en su documento.

Además, señalan que la configuración de los Calificadores de Transacción de Tarjeta de la billetera Card Transaction Qualifiers orienta las transacciones hacia comprobaciones de autorización en línea en lugar de rechazar la transacción inmediatamente. Esto traslada la carga de la ejecución al emisor de la tarjeta, donde el comportamiento varía y puede depender de la evaluación de la terminal POS en lugar de realizar un control de seguridad completo durante la autorización de la transacción.

El protocolo EMV se implementa en núcleos EMV. American Express, Discover, Mastercard y Visa ejecutan sus propios núcleos. El núcleo de Visa, observan los autores, es un poco más permisivo que otros. No vincula la fecha de vencimiento criptográficamente.

El núcleo de Visa permite que la terminal POS evalúe las restricciones de procesamiento basadas en la Fecha de Vencimiento de la Aplicación, explican los autores. Pero el emisor de la tarjeta confía en una fecha de vencimiento de un campo de datos diferente en la solicitud de autorización en línea. Estas dos fechas deberían estar vinculadas criptográficamente entre sí, pero no lo están.

Esta brecha permitió a los investigadores idear un ataque utilizando dispositivos proxy NFC, como se demuestra en este video. Las configuraciones de Mastercard, American Express y Discover resistieron el ataque; las tarjetas sin contacto de Visa no.

"La tarjeta da a la terminal de pago una fecha de vencimiento para leer", explican los autores en un resumen de su trabajo. "En la configuración sin contacto de Visa que probamos, esa fecha en particular no estaba cubierta por la firma digital de la tarjeta. Alguien posicionado entre la tarjeta y la terminal podría, por lo tanto, alterar lo que la terminal ve mientras deja que los controles de seguridad normales de la tarjeta parezcan válidos".

Dado que el enfoque de Visa delega el manejo de la autenticación al banco involucrado, el éxito del ataque dependió de cómo el banco manejara la transacción. Algunos de los bancos probados sucumbieron, mientras que otros no.

Raja Hasnain Anwar, autor principal y candidato a doctorado en UMass Amherst, dijo en un correo electrónico que la razón por la que las tarjetas Visa se ven afectadas por este ataque tiene que ver con que diferentes fabricantes de tarjetas tienen protocolos distintos para manejar las transacciones sin contacto.

"Estos protocolos tienen la mayoría de los mensajes en común para asegurar la aceptación global en diferentes tipos de terminales; sin embargo, cada fabricante tiene sus propias opciones de diseño para mecanismos adicionales", afirmó. "A menudo, estas opciones de diseño terminan en un compromiso para asegurar la compatibilidad hacia atrás con terminales POS antiguas, y también para cumplir con sus criterios de rendimiento.

Los controles de seguridad existen, sin embargo, solo un subconjunto de estos mecanismos de seguridad se invoca para hacer que la transacción sea más rápida y fluida. Hay otros estudios de investigación que han mostrado problemas también con Mastercards. Todo se reduce al equilibrio entre rendimiento y seguridad, y a menudo deja espacio para este tipo de vulnerabilidad. Ningún diseño es inherentemente malo".

Los autores afirman que notificaron a Visa sobre sus hallazgos en mayo de 2025 y dieron seguimiento en diciembre de 2025. Ni Visa ni los bancos notificados han confirmado que hayan mitigado el problema de la expiración.

Visa no respondió inmediatamente a una solicitud de comentarios. Que comience la búsqueda en los contenedores de basura de tarjetas desechadas.

Fuente:
TheRegister