Investigadores descubren el ataque Zombie que revive tarjetas Visa vencidas para compras

En este Quanti News hablaremos sobre cómo OpenAI acaba de desmantelar a su división más crítica de seguridad justo en vísperas de salir a la bolsa, y revelaremos los detalles del millonario proyecto de Google que convertirá a México en uno de sus principales bastiones de desarrollo tecnológico.

Pero de verdad, quédense hasta el final, porque la última noticia da más miedo que el registro de las líneas de celular,  un grupo de académicos acaba de demostrar que las tarjetas de crédito Visa que ya expiraron y tienes guardadas en el cajón de los recuerdos pueden volver a la vida para realizar compras reales en tiendas físicas.  Esto es Quanti News y aquí, la tecnología no se detiene.

Si eres de los que guardan sus tarjetas de crédito o débito vencidas en un cajón con la falsa seguridad de que «ya no sirven para nada», prepárate para un golpe de realidad. Un equipo de académicos acaba de encontrar una vulnerabilidad masiva en el ecosistema de pagos que reanima estos plásticos vencidos.

Científicos de la Universidad de Massachusetts Amherst presentaron en el prestigioso simposio USENIX Security el ataque denominado «Zombie Card«. Los investigadores demostraron que es posible utilizar una tarjeta Visa vencida y ya reemplazada por el banco para realizar compras reales en terminales de punto de venta contactless. El ataque funciona mediante una retransmisión de datos «Hombre en el Medio» (MitM) utilizando dos teléfonos Android con tecnología NFC que modifican los datos de la transacción en tiempo real a través de Wi-Fi.

Resulta que en las transacciones sin contacto de Visa, que operan bajo el protocolo Kernel 3, la fecha de expiración se lee en dos lugares: la terminal evalúa el Tag 5F24 (Application Expiration Date), y el banco emisor procesa el Tag 57 de la banda magnética equivalente. Como el sistema de Visa no requiere que ambos datos estén criptográficamente enlazados, el relay de los hackers reescribe la fecha para que la terminal lea una fecha en el futuro, pero deja el Tag 57 de la tarjeta de forma intacta. La terminal aprueba el cobro de forma local y el banco emisor, al verificar que la firma criptográfica y el criptograma de Track 2 siguen siendo válidos, aprueba el cargo con éxito.

Al probar este exploit en cinco bancos de Estados Unidos, descubrieron que la vulnerabilidad depende de la política de cada emisor: el Banco A aceptó cargos de hasta 500 dólares con tarjetas zombies, mientras que redes como Mastercard, American Express y Discover bloquearon el ataque porque sí enlazan criptográficamente ambas fechas de vencimiento.

Y esto es lo que nadie te está diciendo en las sucursales bancarias: el problema no es la criptografía del chip, es el desorden de políticas en la industria del pago.

La recomendación táctica para tu negocio y tus finanzas personales es clara: la fecha impresa en el plástico es meramente cosmética ante este ataque. Si tienes plásticos viejos de Visa en tus oficinas o en tu cartera, no los tires intactos; destruye físicamente el chip y la antena NFC con unas tijeras hoy mismo. Dejar tarjetas «zombies» rondando por ahí es una invitación abierta para que vacíen tus cuentas.

¿Te gustaría saber más? Checa este nuevo episodio de Quanti News a continuación:

Si te pareció interesante esta información y quieres enterarte de más noticias como esta, no olvides suscribirte a nuestro canal de YouTube y seguirnos a través de nuestras redes sociales (Facebook, X, LinkedIn e Instagram) para estar informado con las noticias más relevantes de tecnología y ciberseguridad. Adicionalmente, conocerás más detalles sobre todos los productos y/o servicios de ciberseguridad que ofrece Quanti para ti.