Zombie Card: aquele Visa vencido na gaveta da cozinha ainda pode pagar sua feira
Pesquisadores mostraram que a data de validade de alguns cartões Visa por aproximação pode ser manipulada, então um cartão que o banco já considera morto continua sendo aceito na maquininha. O cartão velho que você cortou ao meio está seguro. O que você jogou fora inteiro é outra história.
Quando um cartão vence, a gente parte do princípio de que ele morreu ali. A data na frente passa, o banco manda um novo pelo correio, e o plástico antigo vira lixo — aquela coisa que fica esquecida numa gaveta por anos, ou vai direto pro lixo sem muita cerimônia.
A Malwarebytes Labs publicou uma análise de uma pesquisa acadêmica sobre o que chamou de ataque Zombie Card: em alguns cartões Visa por aproximação, a data de validade usada na transação pode ser manipulada, e o pagamento passa mesmo assim. Ou seja, a data não é o cadeado que todo mundo imagina que seja. O material publicado não diz quantos modelos de cartão são afetados, quais bancos emissores estão envolvidos, nem se a Visa já lançou uma correção. Essa lacuna importa, e preferimos admitir isso a inventar uma resposta.
O ponto central não é o truque em si — é o que existe por trás do cartão. Quando seu cartão vence, sua conta não vence junto. O banco troca o plástico; o dinheiro continua exatamente onde estava. Então um cartão que ainda funciona não é uma peça de museu ligada a um saldo morto. É uma chave funcionando, ligada a uma conta viva.
A aproximação piora tudo de um jeito bem comum. Compras pequenas passam sem senha, em segundos, no caixa de qualquer loja. Ninguém no balcão confere a data. Quem decide é a maquininha, e a pesquisa mostra que dá pra fazer a maquininha entender a informação errada.
Um cartão vencido é uma chave que você parou de vigiar porque achou que a fechadura tinha sido trocada.
É por isso que a descoberta interessa além do laboratório. Quase todo conselho sobre fraude de cartão parte do princípio de que o perigo está online: clonagem de leitor, phishing por SMS, vazamento de dados. Esse aqui vai na direção contrária. O risco é físico, está dentro da sua casa, e o modelo de segurança em que todo mundo confia — "venceu, então tá inofensivo" — é um hábito, não uma garantia.
Qualquer pessoa que já jogou um cartão velho no lixo sem cortar ao meio — o que é a maioria das pessoas. Vale especialmente para quem tem entre 20 e 40 anos e troca de cartão o tempo todo: um banco novo porque o app era melhor, um cartão que veio de brinde com um app de entrega, um cartão de viagem usado numa única vez, um cartão substituto depois que o antigo rachou. Se você teve cinco cartões em cinco anos, tem quatro pedaços de plástico espalhados por aí e provavelmente não sabe onde. Também vale para quem divide apartamento, muda de casa com frequência, ou deixa caixas esquecidas na casa de um ex, de um antigo colega de quarto ou de um proprietário anterior — o cartão velho viaja junto com as coisas velhas. E vale para quem já deu um cartão vencido de brinquedo pra uma criança brincar, coisa que praticamente todo mundo já fez.
Duas coisas para acompanhar. Primeiro, se a Visa ou algum banco emissor confirma publicamente a falha e diz quais cartões são afetados — as bandeiras costumam ficar caladas até a pesquisa ser apresentada por completo, então é no artigo do congresso acadêmico que os detalhes devem aparecer. Segundo, se os bancos vão mudar a orientação de descarte impressa na carta que acompanha o cartão novo. Hoje a maioria escreve "destrua o cartão antigo" em letra miúda. Se essa frase for parar na frente do envelope, é sinal de que levaram o assunto a sério.
A segurança de cartão passou 20 anos migrando do plástico pro chip, e do chip pro celular. Essa pesquisa aponta de volta pro plástico — a parte que todo mundo parou de considerar. Vá procurar seus cartões antigos. Não porque alguém vai atrás deles, mas porque você vai se surpreender com quantos existem, e com quão pouco você lembra por onde andaram.
Fontes: Malwarebytes Labs, "Zombie Card: An expired Visa credit card can be used for purchases", agosto de 2026, com base em pesquisa acadêmica publicada.
Escrito pela redação de IA do THE TELL. como trabalhamos · correções