Hay objetos que uno da por muertos sin pensarlo demasiado. Una tarjeta bancaria vencida suele ser uno: llega la nueva, la vieja termina en una gaveta y asumimos que ya no sirve.
Pero investigadores de la Universidad de Massachusetts Amherst demostraron recientemente en USENIX Security 2026 que esa certeza puede ser falsa. Con un ataque bautizado “Zombie Card”, lograron que determinadas configuraciones de tarjetas Visa vencidas volvieran a realizar pagos sin contacto.
No rompieron la criptografía ni vulneraron una bóveda bancaria. Encontraron algo quizás más interesante: una diferencia entre lo que podía validar el punto de venta y lo que finalmente verificaba el banco.
En criollo: la puerta estaba cerrada, pero el vigilante y la conserjería estaban revisando listas diferentes.
El ataque requiere acceso físico a la tarjeta vencida y un montaje técnico para retransmitir y modificar parte de la comunicación contactless. Eso es importante aclararlo: no significa que cualquier delincuente pueda vaciar remotamente una tarjeta vieja desde la calle. En las pruebas realizadas, las configuraciones evaluadas de Mastercard, American Express y Discover rechazaron la manipulación.
Pero el hallazgo derriba una costumbre bastante común: pensar que una tarjeta vencida es simplemente un pedazo de plástico sin valor.
Y en Venezuela esto merece especial atención porque somos una sociedad mucho más digital de lo que a veces imaginamos.
En junio de 2026, Richard Ujueta, presidente de CAVECOM-E, señaló que Venezuela había alcanzado alrededor de 97% de bancarización y 98% de transacciones financieras digitales. También informó que Pago Móvil ya procesa cerca de 7.000 operaciones por minuto. Y las tarjetas siguen teniendo un peso enorme: al presentar las cifras de 2025, Ujueta indicó que aproximadamente 52% de los pagos se realizaba mediante tarjetas de débito y crédito en puntos de venta.
Es decir, aquí no estamos hablando de una tecnología ajena a nuestra realidad. El venezolano paga con tarjeta, Pago Móvil, QR y hasta con su huella mediante soluciones como BioPagoBDV.
Y hay algo que quiero reconocer: la banca venezolana ha avanzado muchísimo en tecnología y seguridad digital.
Me ha sorprendido positivamente la evolución de varias aplicaciones bancarias nacionales. Un caso reciente que particularmente me gustó es el del Banco Digital de los Trabajadores, BDT. Su aplicación ofrece acceso mediante huella o reconocimiento facial y el banco incorpora códigos OTP de un solo uso y vigencia limitada para operaciones sensibles, además de mecanismos de bloqueo ante intentos fallidos. La experiencia se siente sencilla para el cliente, pero detrás de esa sencillez existen capas de autenticación y control. Ese es precisamente el camino correcto: que la seguridad sea fuerte sin convertirse en una tortura para el usuario.
También vemos avances en otras instituciones. Banco de Venezuela ha desarrollado BioPago y pagos NFC; Banesco ha incorporado tecnologías como passkeys mediante Llave Banesco; Mercantil ha extendido mecanismos biométricos para operaciones sensibles. En mayo de este mismo año, CAVECOM-E destacó públicamente avances tecnológicos de Banco Activo y expresó su expectativa de que estas iniciativas continúen extendiéndose al resto del sistema financiero.
Esto importa porque la seguridad bancaria moderna intenta lograr algo que hace algunos años parecía contradictorio: más protección con menos fricción.
Mastercard, por ejemplo, lleva años avanzando en tokenización, biometría y passkeys para que buena parte de la seguridad ocurra detrás de la transacción sin obligar al cliente a atravesar diez barreras cada vez que compra. Es uno de los modelos más ambiciosos de seguridad sin fricción de la industria mundial de pagos.
Visa trabaja en la misma dirección. En abril, durante el Visa Latin America Trust Summit en Miami, Oscar Marquez, Regional Risk Officer de Visa para América Latina y el Caribe, planteó una idea fundamental: la seguridad no puede aparecer después de la innovación. Tiene que evolucionar al mismo tiempo que cambia nuestra manera de comprar y pagar.
Y allí aparece otra paradoja.
Mientras los bancos, las redes de pago y las aplicaciones se vuelven más difíciles de vulnerar, los delincuentes buscan la ruta más sencilla. Muchas veces esa ruta somos nosotros.
El eslabón más débil suele seguir siendo el usuario final. Si el atacante no puede romper la puerta del banco, intenta convencer al dueño de que se la abra: una llamada falsa, un enlace, un código entregado por WhatsApp, una clave compartida o incluso una tarjeta vieja que nunca destruimos.
Por eso protegernos también depende de hábitos muy sencillos. Visa y Mastercard recomiendan reportar inmediatamente cualquier pérdida, robo o movimiento sospechoso. Y en el caso particular de las tarjetas vencidas, los investigadores de UMass recomiendan destruir físicamente el chip, la banda y los datos visibles, además de continuar monitoreando la cuenta.
Una tarjeta vencida no debería pasar de la billetera a la gaveta. Debería pasar de la billetera a una destrucción segura.
Y hago también un llamado a nuestra banca venezolana, precisamente desde el reconocimiento a todo lo que ha avanzado.
No existe evidencia pública de que “Zombie Card” esté siendo explotado contra instituciones financieras venezolanas. Mejor aún. Ese es exactamente el momento en que hay que revisar.
Emisores, procesadores, adquirentes y operadores de puntos de venta deberían validar cómo sus sistemas manejan tarjetas expiradas y operaciones contactless, y asegurarse de que las comprobaciones no dependan únicamente de una sola capa del ecosistema.
La buena ciberseguridad no comienza cuando aparece el fraude.
Comienza cuando alguien, en alguna parte del mundo, demuestra que una puerta aparentemente cerrada todavía puede abrirse.
Porque en el mundo digital, “vencido” no siempre significa “muerto”.
A veces el riesgo no está en lo nuevo que compramos.
Está en lo viejo que creíamos enterrado.
Rafael Núñez Aponte
CEO @MasQueSeguridad
Columnista Radar Cibernético