Forscher der University of Massachusetts Amherst in den Vereinigten Staaten haben eine Sicherheitslücke entdeckt, die es ermöglicht, abgelaufene Visa-Bankkarten für kontaktlose Zahlungen zu verwenden. Die Technik wurde „Zombie Card" genannt und ermöglicht es, dass eine scheinbar „tote" Karte von Zahlungsterminals wieder akzeptiert wird. Den Forschern gelang es, in Geschäften echte Einkäufe mit Visa-Karten zu tätigen, die das Ablaufdatum bereits überschritten hatten.
Der Fehler basiert darauf, dass die Informationen zum Ablaufdatum bei Visa-Kontaktloszahlungen nicht in gleicher Weise geschützt sind wie andere Sicherheitsdaten. Um die Schwachstelle zu demonstrieren, nutzte das Team zwei Android-Smartphones mit NFC: eines kommunizierte mit der abgelaufenen Karte und das andere gab sich am Zahlungsterminal aus. Durch ein Weiterleitungssystem konnten die Forscher das überschrittene Ablaufdatum durch ein zukünftiges Datum ersetzen und so das Terminal täuschen, ohne das tatsächliche Ablaufdatum der neuen Karte zu kennen.
Die Tests beschränkten sich nicht auf Simulationen. Bei einer der analysierten Banken konnten die Forscher kontaktlose Transaktionen von 1, 100 und 500 US-Dollar an einem Terminal des eigenen Teams durchführen, zusätzlich zu kleineren Einkäufen in einem Geschäft und einem Lebensmittelladen auf einem Universitätscampus. Alle Tests wurden mit Wissen der beteiligten Händler durchgeführt und vollständig bezahlt. Das Team analysierte auch Karten anderer Netzwerke und kam zu dem Schluss, dass die Konfigurationen von Mastercard, American Express und Discover die Manipulation des Ablaufdatums erkannten.
Die Forscher warnen, dass die Sicherheitslücke nicht bedeutet, dass alle abgelaufenen Karten auf diese Weise verwendet werden können, und dass die Tests nur in den Vereinigten Staaten mit Karten von fünf großen US-Banken durchgeführt wurden. Die Empfehlung lautet, abgelaufene Karten so zu entsorgen, dass der Chip und die kontaktlose Antenne unbrauchbar gemacht werden, und dass Verbraucher die Kontobewegungen auch nach Erhalt einer neuen Karte weiterhin überwachen sollten.
Guardar um cartão bancário antigo numa gaveta ou deitá-lo fora sem o destruir pode representar um risco inesperado. Investigadores da Universidade de Massachusetts Amherst, nos Estados Unidos, descobriram uma vulnerabilidade que permite, em determinadas circunstâncias, fazer pagamentos contactless com cartões que já ultrapassaram a data de validade.
A técnica foi batizada de «Zombie Card» («cartão zombie») porque permite fazer um cartão aparentemente «morto» voltar a ser aceite por um terminal de pagamento. Nos testes, os investigadores conseguiram realizar compras reais em estabelecimentos comerciais com cartões Visa caducados.
Tratando-se de pagamentos por aproximação, algumas operações podem ser realizadas sem introdução do PIN, dependendo das regras aplicadas ao valor da compra, ao cartão, ao terminal e ao país. A própria equipa alerta, contudo, que uma exigência de PIN pode continuar a impedir determinadas transações, já que essa verificação é independente da vulnerabilidade associada à data de validade.
Como pode um cartão caducado continuar a tirar dinheiro da conta?
Quando termina a validade impressa num cartão, a conta bancária associada não desaparece necessariamente. Aliás, isso permite que um consumidor continue, por exemplo, a receber um reembolso relativo a uma compra feita com um cartão que entretanto expirou. Foi precisamente esta característica que levou os investigadores a colocar uma questão: se um cartão expirado ainda consegue receber dinheiro, será que também poderá continuar a fazer pagamentos?
Em determinadas situações, a resposta encontrada foi sim. A equipa descobriu que, nas configurações Visa contactless analisadas, a informação sobre a data de validade apresentada ao terminal não estava protegida da mesma forma que outros dados de segurança da operação.
Dois telemóveis foram suficientes para enganar o terminal
Para demonstrar a falha, os investigadores desenvolveram um sistema baseado em dois smartphones Android com NFC e software próprio. Um dos equipamentos comunica com o cartão caducado, enquanto o outro se apresenta perante o terminal de pagamento. Entre ambos é criado um sistema de retransmissão que permite interferir com a informação transmitida.
Durante esse processo, os investigadores conseguiram alterar a data de validade que o terminal recebe, substituindo a data já ultrapassada por uma data futura. O terminal passa, assim, a interpretar aquele cartão como estando dentro do período de validade, embora a data verdadeira impressa no cartão já tenha passado. Curiosamente, nem sequer é necessário conhecer a data de validade do novo cartão que o banco enviou ao cliente. Segundo os investigadores, nas situações vulneráveis basta fornecer uma data futura para enganar aquela verificação do terminal.
Investigadores fizeram pagamentos de centenas de dólares
A vulnerabilidade não ficou limitada a uma simulação informática. Num dos bancos analisados, os investigadores conseguiram realizar com o cartão reativado operações contactless de 1, 100 e 500 dólares num terminal utilizado pela própria equipa. Foram também efetuadas pequenas compras num estabelecimento comercial e numa mercearia dentro de um campus universitário, demonstrando que o método podia funcionar fora do ambiente exclusivamente laboratorial.
Os testes decorreram nos Estados Unidos e utilizaram cartões e contas dos próprios investigadores. Os comerciantes envolvidos nos testes em estabelecimentos reais tinham conhecimento da experiência e todas as compras foram pagas.
Falha não significa que todos os cartões caducados possam ser usados
Há, contudo, uma diferença importante. O estudo não concluiu que qualquer cartão bancário caducado possa ser utilizado para retirar dinheiro de uma conta. Os investigadores analisaram diferentes sistemas, incluindo Visa, Mastercard, American Express e Discover. Nas configurações testadas, a alteração da data de validade foi aceite no sistema contactless da Visa analisado, enquanto as configurações Mastercard, American Express e Discover conseguiram detetar a manipulação.
Mesmo entre os bancos existiram diferenças. Num dos casos, o terminal aceitou a data manipulada, mas o banco emissor recusou posteriormente todas as operações e indicou que deveria ser utilizado o cartão de substituição. Noutros casos, algumas operações foram autorizadas. É precisamente esta inconsistência entre terminais, redes de pagamentos e bancos que está no centro da investigação.
E os cartões bancários portugueses?
Os resultados devem também ser interpretados com cautela em Portugal. Os testes foram realizados nos Estados Unidos e envolveram cartões de cinco grandes bancos norte-americanos. A investigação não demonstra que cartões emitidos por bancos portugueses possam ser explorados exatamente da mesma forma.
Além disso, as regras relativas à autenticação das transações, incluindo a eventual exigência de PIN, podem variar consoante o país, o banco, o cartão, o valor e o próprio terminal. Ainda assim, a descoberta põe em causa uma ideia que muitos consumidores podem ter: a de que um cartão se torna automaticamente inofensivo assim que passa a data de validade.
O que deve fazer quando recebe um cartão novo?
A recomendação dos investigadores é não guardar nem deitar fora intacto um cartão caducado. O cartão antigo deve ser destruído de forma a inutilizar o chip e a própria antena contactless existente no interior do plástico. A equipa aconselha também a continuar a acompanhar os movimentos da conta mesmo depois de um cartão ser substituído ou de uma conta ser encerrada. Caso apareça uma operação que não reconheça, deve contactar rapidamente o banco emissor e comunicar a transação.
Leia também: Casal de idosos de 75 e 77 anos tiveram de viver com 700€ por mês numa estação após serem despejados da casa onde viviam há 10 anos para proprietário transformar em alojamento turístico
