Guardar um cartão bancário antigo numa gaveta ou deitá-lo fora sem o destruir pode representar um risco inesperado. Investigadores da Universidade de Massachusetts Amherst, nos Estados Unidos, descobriram uma vulnerabilidade que permite, em determinadas circunstâncias, fazer pagamentos contactless com cartões que já ultrapassaram a data de validade.
A técnica foi batizada de «Zombie Card» («cartão zombie») porque permite fazer um cartão aparentemente «morto» voltar a ser aceite por um terminal de pagamento. Nos testes, os investigadores conseguiram realizar compras reais em estabelecimentos comerciais com cartões Visa caducados.
Tratando-se de pagamentos por aproximação, algumas operações podem ser realizadas sem introdução do PIN, dependendo das regras aplicadas ao valor da compra, ao cartão, ao terminal e ao país. A própria equipa alerta, contudo, que uma exigência de PIN pode continuar a impedir determinadas transações, já que essa verificação é independente da vulnerabilidade associada à data de validade.
Como pode um cartão caducado continuar a tirar dinheiro da conta?
Quando termina a validade impressa num cartão, a conta bancária associada não desaparece necessariamente. Aliás, isso permite que um consumidor continue, por exemplo, a receber um reembolso relativo a uma compra feita com um cartão que entretanto expirou. Foi precisamente esta característica que levou os investigadores a colocar uma questão: se um cartão expirado ainda consegue receber dinheiro, será que também poderá continuar a fazer pagamentos?
Em determinadas situações, a resposta encontrada foi sim. A equipa descobriu que, nas configurações Visa contactless analisadas, a informação sobre a data de validade apresentada ao terminal não estava protegida da mesma forma que outros dados de segurança da operação.
Dois telemóveis foram suficientes para enganar o terminal
Para demonstrar a falha, os investigadores desenvolveram um sistema baseado em dois smartphones Android com NFC e software próprio. Um dos equipamentos comunica com o cartão caducado, enquanto o outro se apresenta perante o terminal de pagamento. Entre ambos é criado um sistema de retransmissão que permite interferir com a informação transmitida.
Durante esse processo, os investigadores conseguiram alterar a data de validade que o terminal recebe, substituindo a data já ultrapassada por uma data futura. O terminal passa, assim, a interpretar aquele cartão como estando dentro do período de validade, embora a data verdadeira impressa no cartão já tenha passado. Curiosamente, nem sequer é necessário conhecer a data de validade do novo cartão que o banco enviou ao cliente. Segundo os investigadores, nas situações vulneráveis basta fornecer uma data futura para enganar aquela verificação do terminal.
Investigadores fizeram pagamentos de centenas de dólares
A vulnerabilidade não ficou limitada a uma simulação informática. Num dos bancos analisados, os investigadores conseguiram realizar com o cartão reativado operações contactless de 1, 100 e 500 dólares num terminal utilizado pela própria equipa. Foram também efetuadas pequenas compras num estabelecimento comercial e numa mercearia dentro de um campus universitário, demonstrando que o método podia funcionar fora do ambiente exclusivamente laboratorial.
Os testes decorreram nos Estados Unidos e utilizaram cartões e contas dos próprios investigadores. Os comerciantes envolvidos nos testes em estabelecimentos reais tinham conhecimento da experiência e todas as compras foram pagas.
Falha não significa que todos os cartões caducados possam ser usados
Há, contudo, uma diferença importante. O estudo não concluiu que qualquer cartão bancário caducado possa ser utilizado para retirar dinheiro de uma conta. Os investigadores analisaram diferentes sistemas, incluindo Visa, Mastercard, American Express e Discover. Nas configurações testadas, a alteração da data de validade foi aceite no sistema contactless da Visa analisado, enquanto as configurações Mastercard, American Express e Discover conseguiram detetar a manipulação.
Mesmo entre os bancos existiram diferenças. Num dos casos, o terminal aceitou a data manipulada, mas o banco emissor recusou posteriormente todas as operações e indicou que deveria ser utilizado o cartão de substituição. Noutros casos, algumas operações foram autorizadas. É precisamente esta inconsistência entre terminais, redes de pagamentos e bancos que está no centro da investigação.
E os cartões bancários portugueses?
Os resultados devem também ser interpretados com cautela em Portugal. Os testes foram realizados nos Estados Unidos e envolveram cartões de cinco grandes bancos norte-americanos. A investigação não demonstra que cartões emitidos por bancos portugueses possam ser explorados exatamente da mesma forma.
Além disso, as regras relativas à autenticação das transações, incluindo a eventual exigência de PIN, podem variar consoante o país, o banco, o cartão, o valor e o próprio terminal. Ainda assim, a descoberta põe em causa uma ideia que muitos consumidores podem ter: a de que um cartão se torna automaticamente inofensivo assim que passa a data de validade.
O que deve fazer quando recebe um cartão novo?
A recomendação dos investigadores é não guardar nem deitar fora intacto um cartão caducado. O cartão antigo deve ser destruído de forma a inutilizar o chip e a própria antena contactless existente no interior do plástico. A equipa aconselha também a continuar a acompanhar os movimentos da conta mesmo depois de um cartão ser substituído ou de uma conta ser encerrada. Caso apareça uma operação que não reconheça, deve contactar rapidamente o banco emissor e comunicar a transação.
