Cartões Visa caducados podem ser reanimados para pagamentos contactless

Um cartão Visa fora de prazo não é lixo inofensivo. Investigadores da Universidade de Massachusetts Amherst demonstraram que é possível “zumbificar” cartões expirados e fazer pagamentos contactless, tirando partido de falhas na forma como a Visa e alguns bancos tratam a autenticação destas transações.

A técnica foi apresentada na Usenix Cybersecurity Conference e recorre a um esquema de man-in-the-middle: dois telemóveis e uma app que intercepta e retransmite os dados do cartão sem contacto. Um telefone aproxima-se de um terminal de pagamento, outro lê o cartão físico, e a app faz de ponte. O ponto delicado está no protocolo de autenticação: em vez de bloquear logo cartões expirados a nível de rede, a Visa delega essa decisão no banco emissor.

O resultado é um mosaico de comportamentos. Alguns bancos rejeitaram as transações durante os testes, outros deixaram passar pagamentos com cartões que, em teoria, já não deviam valer nada. Para um burlão com pouco escrúpulo e tempo livre para andar a vasculhar caixotes do lixo, isto abre uma porta óbvia: encontrar um cartão expirado, não o clonar no sentido clássico, mas usá-lo como chave morta-viva em terminais sem intervenção humana, como parquímetros, máquinas de bilhetes ou quiosques de pagamento automático.

O estudo focou-se em cartões Visa, e a própria Visa não comentou o caso à publicação britânica The Register. Do ponto de vista de quem emite e processa pagamentos, isto é mais do que um bug simbólico. Revela um alinhamento frouxo entre quem define o protocolo, quem o implementa e quem assume o risco final, o banco. Enquanto a responsabilidade estiver diluída, é tentador para cada actor dizer que o problema é “dos outros” e adiar correcções de raiz.

Para quem está deste lado do balcão, em Portugal ou noutro país da União Europeia, a lição é menos glamorosa e bastante concreta. Cartão caducado não vai inteiro para o lixo. Corta-se o chip e a banda magnética com uma tesoura, de preferência em mais do que um corte, antes de seguir para o ecoponto. E convém lembrar que este tipo de ataque não depende de alguém roubar a carteira, basta um envelope do banco aberto no contentor errado.

A boa notícia é que isto não é um apocalipse dos pagamentos contactless, é um lembrete de que o sector financeiro continua a tratar segurança como remendo incremental. Enquanto isso não mudar, o conselho mantém-se irritantemente analógico: menos confiança cega no “sistema” e mais cuidado com o plástico que deixas para trás.

Fonte: Wired