Une carte censée être morte, l’est-elle réellement ?

C’est à cette question qu’ont voulu répondre Raja Hasnain Anwar, Gerard DeCunha et Muhammad Taqi Raza.

Les trois chercheurs de l’université du Massachusetts Amherst ont eu l’idée de tester ce qui se passait vraiment si l’on tentait de payer avec l’une de ces cartes officiellement expirées.

Ils partent d’un postulat simple : la date d’expiration n’a rien d’une propriété gravée dans la puce de la carte, c’est une simple case cochée par un terminal ou par une banque, sans lien cryptographique garanti entre les deux.

Baptisée « Zombie Card », et présentée à la conférence USENIX Security, à Baltimore, mi-août, leur attaque repose sur deux smartphones placés en intermédiaires invisibles. Le premier est collé contre la carte périmée, le second contre le terminal de paiement en boutique : les deux appareils communiquent entre eux et se contentent, en théorie, de relayer fidèlement les informations de l’un vers l’autre, comme un tuyau.

Surfshark One à partir de 2,49€ / Mois !

Jusqu’au 7 septembre, Surfshark surclasse tous ses nouveaux clients ! La suite de cybersécurité complète + VPN débarque au prix de la formule de base, soit 2,49€ par mois seulement. VPN, antivirus, bloqueur de pub à prix mini !

Sauf qu’au passage, les chercheurs modifient la date d’expiration de la carte, qu’ils remplacent discrètement par une date encore valide, sans toucher au reste des informations échangées.

Schéma de l’attaque // Source : usenix.org

Comment fonctionne l’attaque ?

Le paiement sans contact repose sur le protocole EMV, décliné en plusieurs « noyaux » selon le réseau : Visa, Mastercard, Discover et American Express ont chacun le leur.

Lors d’une transaction, la date d’expiration apparaît en réalité deux fois. Une première fois dans un champ que lit le terminal pour décider s’il bloque ou non le paiement, une seconde fois dans les données transmises à la banque émettrice pour l’autorisation finale.

Chez Mastercard, Discover et American Express, ces deux occurrences sont vérifiées par des mécanismes cryptographiques qui détectent la moindre altération, et la transaction échoue aussitôt.

Chez Visa, en revanche, la date lue par le terminal n’est pas incluse dans la signature numérique de la carte. Un attaquant positionné en intercepteur peut donc la remplacer par une date future, sans casser la vérification cryptographique qui valide le reste de l’échange. Le terminal laisse donc passer la transaction, qui part en autorisation en ligne comme n’importe quel paiement normal.

Des tests réels, une faille encore ouverte

Les chercheurs n’en sont pas restés à la théorie et ont testé leur méthode avec de vraies cartes expirées, chez cinq grandes banques américaines, sur des terminaux de commerce et d’épicerie, avec des montants allant jusqu’à 500 dollars.

Le succès n’a pas été au rendez-vous à chaque fois, tout dépend de la banque émettrice. Certaines vérifient uniquement que le numéro de compte est actif, sans se soucier de savoir si la carte précise utilisée est bien celle en cours de validité, et laissent alors passer le paiement frauduleux. D’autres, plus prudentes, rejettent la transaction en constatant l’incohérence.

Les chercheurs précisent avoir alerté Visa dès mai 2025, avec un rapport détaillé incluant preuve de concept et traces techniques. Le dossier serait en cours d’examen, mais ni Visa ni les banques concernées n’ont, à ce jour, confirmé de correctif.

Les chercheurs n’ont pas publié le code de leur outil, jugé trop directement réutilisable à des fins frauduleuses. Leur recommandation reste simple en attendant : détruire réellement ses anciennes cartes, plutôt que de les laisser pour mortes.

Un édito exclusif, un guide, une reco de lecture et l’agenda de la rédaction : c’est ce que vous trouverez tous les jeudis dans ToujoursPlus, la newsletter tech écrite par Julien Cadot. Inscrivez-vous gratuitement ici !