Una tarjeta de crédito caducada y sustituida por otra nueva podría seguir utilizándose para realizar pagos fraudulentos. Investigadores de la Universidad de Massachusetts Amherst (UMass Amherst) han descubierto una vulnerabilidad en los sistemas de pago que permite “revivir” determinadas tarjetas vencidas modificando la fecha de caducidad que recibe el terminal de punto de venta (TPV).
Los investigadores han bautizado el problema como el fenómeno de las “tarjetas de crédito zombi” y presentaron sus conclusiones en USENIX Security 2026. El ataque fue probado tanto en laboratorio como en establecimientos reales, incluidos restaurantes y supermercados, aunque los investigadores advierten de que no todas las tarjetas son vulnerables.
El hallazgo cuestiona una suposición habitual entre los consumidores: que una tarjeta deja de servir automáticamente para realizar pagos una vez superada la fecha impresa en ella. En determinadas circunstancias, el sistema financiero puede seguir reconociendo el plástico porque la cuenta bancaria asociada continúa existiendo, incluso después de que la entidad haya enviado una tarjeta nueva.
Dos móviles permiten “revivir” una tarjeta caducada
El ataque desarrollado por los investigadores utiliza una tarjeta física caducada, dos smartphones convencionales y software de emulación. No requiere modificar físicamente el chip ni conocer la fecha de vencimiento de la tarjeta que ha sustituido a la antigua.
La técnica aprovecha la tecnología NFC empleada habitualmente para realizar pagos sin contacto.
El primer teléfono se comunica con la tarjeta caducada y solicita la información necesaria para realizar una operación. Entre los datos proporcionados se encuentra la fecha de caducidad original, que ya ha vencido.
La información es entonces transmitida mediante un sistema de retransmisión basado en WiFi hacia un segundo smartphone, que actúa como intermediario antes de comunicarse con el terminal de pago.
Es en ese punto donde los investigadores consiguen reescribir la fecha de caducidad y sustituirla por otra situada en el futuro. Posteriormente, el segundo teléfono se acerca al TPV como si se estuviera realizando un pago mediante un monedero digital.
Para una persona que observe la operación desde fuera, el comportamiento puede parecer similar al de cualquier pago realizado acercando un smartphone al terminal.
No necesitan conocer la fecha de la nueva tarjeta
Uno de los aspectos más relevantes del ataque es que el delincuente no necesita averiguar la fecha de caducidad real de la tarjeta de sustitución.
Según Raja Hasnain Anwar, autor principal del estudio y candidato a doctorado de UMass Amherst, basta con introducir una fecha futura arbitraria para que determinadas operaciones puedan continuar procesándose.
El problema reside en que la fecha de caducidad que utiliza el TPV para decidir si el plástico continúa vigente no está protegida criptográficamente, según los investigadores. Esto permite que pueda ser alterada durante el proceso de retransmisión antes de que llegue al terminal.
En condiciones normales, cabría esperar que el banco detectase posteriormente la discrepancia. Sin embargo, el estudio señala que no todas las entidades vuelven a contrastar la fecha leída por el terminal con información autenticada sobre el ciclo de vida de la tarjeta.
Si tampoco existen otros controles capaces de identificar que el plástico ya está caducado, la operación puede terminar siendo autorizada.
La tarjeta tiene otra fecha de caducidad que complica el problema
La investigación ha identificado además otro elemento que ayuda a explicar por qué una tarjeta vencida puede continuar comunicándose con un terminal.
Además de la fecha de caducidad visible en el plástico, las tarjetas cuentan con otra fecha asociada al certificado digital de la clave de seguridad utilizada para proteger la comunicación entre la tarjeta y la entidad financiera.
Este certificado se comprueba previamente para permitir que la tarjeta se comunique con el terminal.
Los investigadores descubrieron que, en los casos analizados, la fecha de expiración de ese certificado podía ser posterior a la fecha de caducidad impresa en la tarjeta. De esta manera, el mecanismo criptográfico todavía puede considerar válida la comunicación aunque, desde el punto de vista del consumidor, el plástico ya haya caducado.
El problema aparece por la combinación de estos mecanismos. Mientras una parte del sistema continúa aceptando criptográficamente la tarjeta, otra depende de una fecha de caducidad susceptible de ser modificada.
Los investigadores probaron el ataque en comercios reales
El equipo no se limitó a reproducir la vulnerabilidad dentro de un entorno controlado. La técnica también fue probada en terminales de establecimientos reales, incluidos comercios de alimentación y restauración.
Los resultados mostraron que determinadas tarjetas caducadas podían seguir completando operaciones después de manipular la fecha transmitida al TPV.
Los investigadores han comunicado sus conclusiones a las principales compañías de tarjetas para que puedan estudiar el problema y reforzar las comprobaciones realizadas durante las transacciones.
Mientras se introducen posibles mejoras, el equipo advierte de que los consumidores deberían cambiar la forma en la que tratan sus tarjetas antiguas.
