Pesquisadores mostram que cartão Visa vencido ainda passa no caixa
Pesquisadores da UMass Amherst apresentaram no USENIX Security 2026 uma falha no kernel 3 EMV da Visa que permite usar cartões contactless vencidos ou até destruídos em compras reais. O problema está no campo de validade lido pelo terminal, que não é protegido criptograficamente, ao contrário do campo equivalente enviado ao banco emissor. Testes em lojas e supermercados reais confirmaram compras aprovadas com cartões expirados em pelo menos uma instituição, enquanto Mastercard, American Express e Discover bloquearam o mesmo ataque.
O caso chama atenção porque não se trata de teoria de laboratório isolada: os pesquisadores Raja Hasnain Anwar, Gerard DeCunha e Muhammad Taqi Raza compraram itens de verdade em comércios do campus da UMass Amherst usando cartões Visa contactless já vencidos, sem que o lojista ou o terminal percebessem qualquer anomalia. A demonstração foi feita publicamente no USENIX Security 2026, uma das principais conferências acadêmicas de segurança, o que reforça a seriedade do achado mesmo sem ainda existir um CVE atribuído.
A falha está na arquitetura do protocolo EMV contactless da Visa: a data de validade do cartão trafega em dois campos diferentes durante a transação. O campo que o terminal físico lê e usa para decidir se aceita a compra (tag 5F24) não está vinculado à assinatura criptográfica do chip. Já o campo enviado ao banco emissor para autorização (tag 57) é protegido. Ou seja, é possível manipular o valor que o terminal enxerga sem tocar no dado que efetivamente é validado criptograficamente pelo emissor. Os pesquisadores exploraram isso com um ataque de relay usando dois celulares Android com NFC customizado, adicionando cerca de 415 milissegundos de latência — ainda dentro da janela de 500ms tolerada pela Visa antes de a transação ser recusada por timeout.
Do ponto de vista antifraude, o achado é relevante porque expõe uma lacuna clássica de "confiança implícita" entre o que o terminal exibe e o que é de fato autenticado. Motores de risco em bancos costumam assumir que, se a transação chegou aprovada pelo protocolo EMV, os dados básicos do cartão (incluindo validade) já foram checados de ponta a ponta — o que este estudo mostra não ser necessariamente verdade para o kernel 3 da Visa. É significativo também que as demais bandeiras testadas (Mastercard, Amex, Discover) tenham resistido ao mesmo ataque, o que indica que a causa raiz é uma escolha de implementação específica da Visa, não uma limitação inerente ao padrão EMV contactless.
Na prática, o recado para consumidores é simples e direto: nunca descartar um cartão vencido ou cancelado inteiro no lixo — é preciso destruir fisicamente o chip e a tarja magnética antes de jogar fora, já que o cartão pode continuar "funcional" para este tipo de ataque de relay mesmo depois de expirado. Para emissores e adquirentes, a lição é reforçar a validação do lado do banco comparando as duas representações da data de validade, e passar a autorizar transações com base na combinação PAN + validade, e não apenas no PAN isoladamente — exatamente as três mitigações sugeridas pelos próprios autores do estudo.
A Visa foi notificada de forma responsável em maio de 2025, com acompanhamento em dezembro do mesmo ano, e confirmou que seu red team está tentando reproduzir o problema — mas até a publicação da pesquisa nenhuma mitigação havia sido confirmada nem CVE atribuído, o que significa que a janela de exposição real ainda está aberta.