Ojo a la “tarjeta zombi”: así consiguieron pagar con una Visa caducada

Esa tarjeta de crédito caducada que guardas en un cajón antes de tirarla podría seguir sirviendo para pagar en una tienda. Un estudio de la Universidad de Massachusetts Amherst ha demostrado que las tarjetas Visa caducadas pueden seguir pagando sin contacto si alguien manipula la comunicación con el datáfono. El hallazgo, presentado en el USENIX Security Symposium celebrado en Baltimore a mediados de agosto, pone en duda una asunción que bancos, comercios y usuarios daban por hecha.

Los investigadores Raja Hasnain Anwar, Gerard DeCunha y Muhammad Taqi Raza lo han bautizado como zombie card o tarjeta zombi. Consiste en revivir una tarjeta Visa contactless ya caducada para completar pagos reales en un comercio, sin necesidad de romper ninguna clave criptográfica de la tarjeta.

El truco está en cómo se comprueba la caducidad durante un pago sin contacto. El terminal del comercio lee un campo llamado “Application Expiration Date” (el TAG 5F24), mientras que el banco emisor verifica otro campo distinto (el TAG 57) cuando la operación llega para autorización online. En las tarjetas Visa probadas, ambos campos no están ligados por ninguna firma criptográfica que los relacione entre sí.

Para explotar ese hueco, el equipo montó un relé “man in the middle” con dos móviles Android con NFC conectados por wifi. Uno se hace pasar por la tarjeta ante el datáfono y el otro se hace pasar por el datáfono ante la tarjeta real. De camino, reescribe la fecha de caducidad que ve el terminal para que la operación parezca válida.

Compras reales y pagos de laboratorio de hasta 500 dólares

El experimento no se quedó en el laboratorio. Con una tarjeta Visa caducada de un banco estadounidense, el equipo completó compras de verdad de 2,79 dólares en un comercio minorista y de 3,19 dólares en un supermercado. También probó pagos de laboratorio de 1, 100 y 500 dólares, que el banco autorizó sin problema.

El ataque con tarjetas caducadas se probó en tres bancos estadounidenses con tarjetas Visa reales; por separado, la manipulación del indicador CDCVM se evaluó en cinco grandes bancos del país. Según los propios autores, ni el importe de la compra ni el tipo de comercio determinan si el fraude funciona: lo decisivo es el kernel de pago que usa cada emisor, su política de autorización —si valida solo el número de cuenta o también la fecha de caducidad— y si el datáfono informa al banco del resultado de esa validación.

“Una operación con tarjeta pasa por el chip, el terminal, la red de pagos y la entidad emisora. Cuando cada participante confía en que una determinada comprobación ya se ha realizado en otro punto de la cadena, pueden aparecer este tipo de zonas grises de seguridad”, explica Pablo Vega, experto en finanzas de Roams.

Anwar, autor principal, calificó de “alarmante” que la manipulación del CDCVM funcionara en la mayoría de los cinco bancos probados, ya que se apoya en la misma vulnerabilidad de fondo que el ataque a la fecha de caducidad.

“Conviene evitar la conclusión de que cualquier tarjeta caducada puede volver a utilizarse para pagar. El ataque depende de la red, de la configuración del terminal y de las verificaciones adicionales que realice el banco emisor”, apunta Pablo Vega.

Por qué falla Visa y no el resto

“Nuestros resultados muestran que las transacciones sin contacto de Visa son vulnerables a la manipulación mediante un ataque de tipo man in the middle debido a la falta de una protección eficaz de la integridad”. Así lo resumen los propios investigadores en su estudio.

Mastercard, American Express y Discover superaron la prueba porque sus kernels de pago sí ligan criptográficamente la fecha de caducidad a los datos que valida el banco. Cualquier alteración de esa fecha rompe la firma y la operación se cae antes de llegar a autorización.

El caso del Banco B demuestra que la marca de la tarjeta no lo es todo. El datáfono aceptó la tarjeta manipulada, pero el propio banco detectó la anomalía en la fase de autorización online y frenó el pago. La última barrera puede estar en el emisor, no solo en el terminal.

“Desde el punto de vista bancario, la lección es que determinados controles críticos deberían verificarse de nuevo en el momento de autorizar la operación. Confiar exclusivamente en que el terminal ha validado correctamente la caducidad puede dejar un punto ciego”, valora el experto de Roams.

Visa lleva más de un año sin solucionarlo

Los investigadores notificaron el fallo a Visa y a los bancos afectados en mayo de 2025. Volvieron a insistir en diciembre de 2025 con una guía de reproducción paso a paso, capturas de las comunicaciones y un vídeo de la demostración. Según el propio estudio, en el momento de su aceptación para el congreso el equipo de seguridad de Visa seguía intentando reproducir el ataque y no existía ninguna corrección confirmada.

Por eso, los autores han decidido no publicar el código ni las herramientas necesarias para ejecutar el ataque. Solo detallan la metodología y los resultados, para evitar que cualquiera pueda replicarlo antes de que Visa y los bancos implicados corrijan el fallo.

Cómo protegerte de una tarjeta zombi

La recomendación de los propios investigadores va más allá de partir la tarjeta caducada por la mitad, el gesto más habitual al recibir la de reemplazo.

• Destruye el chip físicamente: corta o perfora el circuito integrado, no solo el plástico.
• Inutiliza la banda magnética: córtala o ráyala para que no pueda leerse ni copiarse.

Como medida adicional, conviene revisar los movimientos de la cuenta aunque ya se tenga la tarjeta nueva. La antigua puede seguir ligada al mismo número de cuenta si no se ha dado de baja del todo.

El propio estudio recuerda que buena parte del riesgo viene de la costumbre de guardar o tirar las tarjetas caducadas sin destruirlas del todo. Ese hábito cobra especial relevancia ahora que se ha probado que, en determinadas condiciones, esas tarjetas todavía pueden pagar.