Um estudo liderado pela Universidade de Surrey, em parceria com a Universidade de Birmingham, ambas no Reino Unido, revelou que recursos de conveniência adicionados aos pagamentos sem contato (EMV) estão criando vulnerabilidades graves, permitindo transações não autorizadas de alto valor em alguns dos dispositivos mais modernos do mercado.
A pesquisa, apresentada no 34º Simpósio de Segurança USENIX e prevista para a DEFCON 2025, identificou maneiras de contornar proteções em terminais de pagamento.
Falhas em sistemas populares
- Em um dos casos, os pesquisadores conseguiram realizar uma transação de £ 25.000 em um terminal configurado para pagamentos offline.
- O EMV é o padrão global usado em cartões de débito e crédito Visa, Mastercard e Europay, além de carteiras digitais como Apple Pay, Google Pay e Samsung Pay, e dispositivos vestíveis.
- A equipe constatou que a adição de recursos como restrições de leitores offline, pagamentos rápidos em transporte público ou regras específicas de PIN, embora projetados para aumentar a conveniência, podem interagir de forma insegura.
- Os pesquisadores demonstraram que é possível, por exemplo, enganar terminais para aceitar cartões físicos quando apenas telefones são permitidos ou realizar pagamentos acima do limite sem PIN ou biometria.
Leia mais:
- Conheça 6 tipos de “Golpes do Pix”, como funcionam e maneiras de se proteger
- Como ativar o Pix por aproximação na Carteira do Google (Google Wallet)
- Pix por aproximação chega nesta semana; saiba como usar
Complexidade versus segurança
Segundo a professora Ioana Boureanu, “a pressa em adicionar novos recursos para melhorar a experiência de compra às vezes tem como custo a segurança”. O estudo é pioneiro ao revelar falhas críticas especificamente em PoS offline, comuns em lojas, restaurantes e táxis.
Entre os riscos identificados estão os chamados ataques de “almoço grátis”, nos quais fraudadores saem com mercadorias de alto valor e os comerciantes arcam com o prejuízo.
Os pesquisadores já relataram as descobertas às partes envolvidas, contribuindo para correções compatíveis com EMV. Tom Chothia, da equipe, destaca: “Trabalhando juntos, podemos eliminar essas lacunas e tornar os pagamentos sem contato mais seguros para todos.”
O estudo reforça que, no mundo crescente dos pagamentos digitais, conveniência sem coordenação pode abrir portas para fraudes sérias.
Leandro Criscuolo é jornalista formado pela Faculdade Cásper Líbero. Já atuou como copywriter, analista de marketing digital e gestor de redes sociais. Atualmente, escreve para o Olhar Digital.
Layse Ventura é editora de SEO no Olhar Digital e mestre pela UFSC.
