Pesquisadores descobrem brechas em pagamentos sem contato

Um estudo liderado pela Universidade de Surrey, em parceria com a Universidade de Birmingham, ambas no Reino Unido, revelou que recursos de conveniência adicionados aos pagamentos sem contato (EMV) estão criando vulnerabilidades graves, permitindo transações não autorizadas de alto valor em alguns dos dispositivos mais modernos do mercado.

A pesquisa, apresentada no 34º Simpósio de Segurança USENIX e prevista para a DEFCON 2025, identificou maneiras de contornar proteções em terminais de pagamento.

Estudo alerta sobre riscos ocultos em pagamentos sem contato – Imagem: Roman Samborskyi/Shutterstock

Falhas em sistemas populares

Em um dos casos, os pesquisadores conseguiram realizar uma transação de £ 25.000 em um terminal configurado para pagamentos offline.
O EMV é o padrão global usado em cartões de débito e crédito Visa, Mastercard e Europay, além de carteiras digitais como Apple Pay, Google Pay e Samsung Pay, e dispositivos vestíveis.
A equipe constatou que a adição de recursos como restrições de leitores offline, pagamentos rápidos em transporte público ou regras específicas de PIN, embora projetados para aumentar a conveniência, podem interagir de forma insegura.
Os pesquisadores demonstraram que é possível, por exemplo, enganar terminais para aceitar cartões físicos quando apenas telefones são permitidos ou realizar pagamentos acima do limite sem PIN ou biometria.

Leia mais:

Assim como com cartão de crédito, agora você pode fazer Pix por aproximação com seu celular — Terminais offline, dispositivos móveis e wearables estão vulneráveis a transações fraudulentas, mesmo com PIN e biometria – Imagem: DC Studio / Shutterstock

Complexidade versus segurança

Segundo a professora Ioana Boureanu, “a pressa em adicionar novos recursos para melhorar a experiência de compra às vezes tem como custo a segurança”. O estudo é pioneiro ao revelar falhas críticas especificamente em PoS offline, comuns em lojas, restaurantes e táxis.

Entre os riscos identificados estão os chamados ataques de “almoço grátis”, nos quais fraudadores saem com mercadorias de alto valor e os comerciantes arcam com o prejuízo.

Os pesquisadores já relataram as descobertas às partes envolvidas, contribuindo para correções compatíveis com EMV. Tom Chothia, da equipe, destaca: “Trabalhando juntos, podemos eliminar essas lacunas e tornar os pagamentos sem contato mais seguros para todos.”

O estudo reforça que, no mundo crescente dos pagamentos digitais, conveniência sem coordenação pode abrir portas para fraudes sérias.

Pessoa pagando por aproximação, por meio de NFC, usando celular em maquininha — Recursos feitos para nos trazer praticidade em pagamentos digitais podem gerar brechas perigosas para golpistas (Imagem: Gorodenkoff/Shutterstock)