Pesquisadores demonstram captura de dados de cartão via NFC em iPhones para cartões PRO100, HUMO e UZCARD
Um estudo acadêmico descreve um método de captura, via Core NFC no iOS, do número da conta primária (PAN) e da validade de cartões de pagamento contactless dos sistemas PRO100, HUMO e UZCARD — usados na Rússia e no Uzbequistão, mercados sem suporte oficial ao Apple Pay. Os autores deixam claro que a técnica apenas lê e extrai dados de registro do cartão, sem emular o cartão, autorizar pagamentos ou provar posse, mas o PAN e a validade capturados são justamente os dados centrais explorados em fraude de cartão not-present.
A pesquisa nasce de uma lacuna de mercado: a Apple oferece Apple Pay em países como o Cazaquistão, mas não no Uzbequistão, Quirguistão, Tadjiquistão ou Turcomenistão, cujo sistema interbancário nacional roda sobre as bandeiras HUMO e UZCARD (a PRO100 é o equivalente russo). Sem suporte oficial da fabricante do celular, os autores usam a API Core NFC, disponível a qualquer desenvolvedor de app iOS, para abrir uma sessão de leitura de tag, selecionar a aplicação do cartão quando necessário e recuperar campos padronizados do protocolo EMV.
O ponto tecnicamente mais relevante é que o parser adota um caminho híbrido: prioriza os campos BER-TLV/EMV oficiais quando presentes e só recorre a offsets fixos observados empiricamente como fallback para variações de geração de cartão que não seguem o layout padrão — um reconhecimento explícito de que bandeiras regionais têm implementações de resposta NFC inconsistentes entre gerações de cartão.
Os próprios autores limitam o escopo do achado: a leitura NFC recupera apenas dados de registro (PAN e validade), não emula o cartão para uma transação contactless real, não realiza autorização de pagamento e não deve ser tratada como prova de posse do cartão físico. Ainda assim, PAN e validade são exatamente os dois dados mínimos historicamente suficientes para fraude de cartão em ambientes “card-not-present” mal protegidos (sites sem verificação adicional de CVV/3-D Secure), o que dá relevância direta ao tema mesmo sem uma prova de conceito de fraude completa.
Para emissores desses sistemas de pagamento regionais, o achado reforça a importância de exigir sempre CVV e autenticação forte (3-D Secure/biometria) em transações online, já que qualquer leitura NFC de curto alcance — inclusive não autorizada, em ambientes públicos como transporte coletivo — pode, em tese, alimentar esse tipo de coleta de dados caso o cartão não tenha proteção adicional contra leitura passiva.