El ataque, denominado Zombie Cards, utiliza dos smartphones convencionales y software de emulación. El primer dispositivo se comunica por NFC con la tarjeta física vencida y obtiene la información necesaria para iniciar la operación. Los datos son retransmitidos mediante Wi-Fi hacia un segundo teléfono, que modifica la fecha de expiración antes de presentarlos al terminal de pago.
 

La debilidad central es que la fecha de vencimiento almacenada en la tarjeta y leída por el POS no está protegida criptográficamente. Los investigadores comprobaron que no es necesario conocer la fecha real de la tarjeta de reemplazo: alcanza con insertar cualquier fecha futura para que algunos terminales interpreten que el plástico continúa vigente.
 

La operación todavía debería ser rechazada por el emisor. Sin embargo, el estudio encontró que algunas entidades no comparan la fecha informada por el terminal con los datos autenticados de la tarjeta ni verifican adecuadamente su estado dentro del ciclo de vida. Además, el certificado digital utilizado para asegurar la comunicación puede permanecer vigente por más tiempo que el plástico.

La vulnerabilidad fue probada tanto en laboratorio como en comercios reales y funcionó en diferentes terminales, aunque no todas las tarjetas resultaron afectadas. Las billeteras digitales mostraron mayor resistencia debido a sus controles adicionales.
 

El hallazgo vuelve a poner el foco en la fragmentación de las validaciones dentro del ecosistema EMV, donde las decisiones de seguridad se distribuyen entre chip, terminal, red y emisor.