El regreso de las tarjetas de crédito: el peligro de las tarjetas caducadas

Los expertos dan la voz de alarma: en manos de alguien mañoso, las tarjetas de crédito cuya fecha de caducidad quedó atrás pueden resucitar en plena caja. Parecería que la fecha impresa en el plástico es un billete de ida, pero un equipo de investigadores de la Universidad de Massachusetts Amherst ha demostrado lo contrario. Sus experimentos revelaron que incluso una tarjeta «muerta» puede pasar por un pago sin contacto en una tienda real. Dicho de otro modo, si crees que una tarjeta vieja no es más que un trozo de plástico inofensivo, quizá debas pensártelo mejor.

¿Qué falla aquí? Resulta que todo el sistema de pagos sin contacto se basa menos en el cifrado de los datos (la criptografía EMV queda al margen) que en una serie de extrañas comprobaciones burocráticas, en las que nadie sabe del todo quién es responsable de controlar la fecha de caducidad. En el proceso intervienen la propia tarjeta, el terminal, el banco del comercio, la red de pago y el banco emisor. Cada cual se ocupa de su parte, y la decisión final —autorizar o rechazar el pago— se arma con muchas piezas del rompecabezas.

A veces, por este desbarajuste, algunos campos (por ejemplo, la fecha de caducidad de la tarjeta) se transmiten sin cifrar entre la tarjeta y el terminal, y pueden modificarse sobre la marcha. En el caso de Visa, según descubrieron los investigadores, ese campo se puede «retocar» justo en el momento del pago si se interpone un dispositivo especial entre la tarjeta y el terminal. Así, para el terminal la tarjeta sigue vigente y el dinero se carga como si nada. Además, la fecha de caducidad codificada en el certificado digital interno de la tarjeta suele ser posterior a la impresa en el propio plástico. La comprobación no se fija en la fecha real, sino en una especie de temporizador interno.

Pero hay un matiz: este truco solo funciona con Visa. Mastercard, Discover y American Express no permiten esta triquiñuela y rechazan el pago de inmediato si la fecha es falsa. Para llevar a cabo el ataque hacen falta la propia tarjeta y un par de teléfonos móviles; no es precisamente algo sencillo. En teoría, los protocolos EMV incluyen una protección completa, el protocolo Relay Resistance, que detecta este tipo de manipulaciones midiendo el tiempo que tarda la operación. Pero en la vida real nadie activa esa función.

Los investigadores notificaron el problema a Visa y a los bancos en mayo y diciembre de 2025, junto con instrucciones detalladas e incluso un vídeo explicativo. Sin embargo, cuando se publicó el artículo, ni Visa ni los bancos habían empezado a corregir la vulnerabilidad, y tampoco respondieron a las preguntas de los periodistas.

Al final, el problema es que todos los implicados creen que la tarjeta «caducada» no es asunto suyo. Mientras se pasan la pelota unos a otros, el agujero sigue ahí. El consejo para ti: no guardes ese plástico; destruye el chip y corta los números. No confíes en una tarjeta «muerta», no vaya a ser que alguien se tome la molestia de resucitarla.