Pesquisadores demonstram aquisição forense de dados de cartões de pagamento PRO100, HUMO e UZCARD via NFC no iOS
Um artigo no arXiv descreve um método em nível de aplicativo, usando o framework Core NFC do iOS, para ler cartões de pagamento contactless dos sistemas nacionais HUMO e UZCARD (Uzbequistão) e PRO100 (Rússia/Cazaquistão), extraindo número da conta primária (PAN) e data de validade sem emular o cartão ou autorizar qualquer transação. Os autores mapeiam os AIDs EMV compatíveis com cada rede e implementam um parser híbrido que prioriza campos BER-TLV padrão, recorrendo a offsets fixos legados apenas quando a resposta do cartão não segue a estrutura esperada. O trabalho nasce de uma lacuna real: esses mercados não têm suporte Apple Pay, então a população segue dependente do cartão físico, que se mostra igualmente exposto.
O ponto de partida do artigo é geográfico: a Apple lista o Cazaquistão entre os mercados com Apple Pay, mas não Uzbequistão, Quirguistão, Tajiquistão ou Turcomenistão. Nesses países, os cartões HUMO e UZCARD (sistemas interbancários nacionais) e PRO100 continuam sendo o meio de pagamento contactless dominante, sem a camada de tokenização e sigilo que uma wallet digital ofereceria. Os pesquisadores construíram um app iOS comum, sem jailbreak, que usa a API pública Core NFC para abrir uma sessão de tag, selecionar a aplicação de pagamento certa no chip e ler os dados retornados — nada que dependa de exploração de vulnerabilidade de software.
Tecnicamente, o trabalho todo gira em torno de dois obstáculos empíricos: descobrir quais AIDs (Application Identifiers) cada rede de cartão aceita e decodificar layouts de resposta que variam por geração de cartão. A solução foi um parser híbrido — quando o cartão responde em BER-TLV/EMV padrão, esses campos são usados diretamente; quando não, o sistema cai para offsets fixos observados empiricamente em cartões mais antigos, tratados como fallback e não como método principal. O resultado extrai apenas PAN e validade, os mesmos dois campos que qualquer terminal de pagamento contactless já lê sem exigir PIN — não é uma falha de criptografia nova, é a exposição conhecida da camada de leitura EMV contactless replicada para redes de cartão pouco estudadas.
Na prática forense, o interesse do método está em dois ângulos. Primeiro, ele documenta uma técnica de aquisição de baixo custo e sem jailbreak para capturar artefatos financeiros de um cartão físico durante uma apreensão — relevante para peritos que precisem correlacionar um cartão encontrado com um dispositivo ou suspeito, em regiões onde esses sistemas de cartão são o padrão. Segundo, os próprios autores são explícitos sobre a limitação evidencial: uma leitura NFC não constitui prova de posse ou de autorização, e o método não emula nem transaciona — uma ressalva que qualquer laudo pericial baseado nessa técnica precisaria repetir.
O artigo também serve como alerta de superfície de ataque para fraude com cartão físico (skimming contactless) em mercados que ainda não migraram para tokenização móvel — um cenário que investigadores de fraude financeira e de crimes cibernéticos regionais devem monitorar, já que a mesma técnica de captura de PAN/validade sem contato pode ser replicada por atores maliciosos em ambientes públicos.