Une carte de crédit Visa expiring peut, dans certains cas, redevenir fonctionnelle pour un paiement sans contact, selon un rapport de Les Numériques. Ce phénomène a été étudié par trois chercheurs de l’université du Massachusetts Amherst, Raja Hasnain Anwar, Gerard DeCunha et Muhammad Taqi Raza, dans une recherche intitulée « The Paying Dead ». Ces cartes réactivées sont qualifiées de cartes de crédit zombies, rapporte TopTribune.
Leurs recherches ont été présentées lors de la conférence USENIX Security 2026, à Baltimore, au milieu d’août. Leurs résultats peuvent se résumer ainsi : la date d’expiration, inscrite sur une carte, n’est pas une information gravée dans la puce, mais simplement un champ qui est vérifié par le terminal ou la banque lors de la transaction. Ainsi, rien dans le protocole n’assure un lien cryptographique solide entre cette date et sa vérification réelle.
Deux smartphones en interception
Pour démontrer cette vulnérabilité, les chercheurs ont utilisé une méthode astucieuse : deux smartphones agissant comme des intercepteurs invisibles, l’un en contact direct avec la carte périmée et l’autre avec le terminal de paiement. Les deux appareils échangent des données et modifient uniquement un champ—la date d’expiration—pour y mettre une date valide, tout en préservant les autres informations échangées.
Le protocole EMV (Europay, Mastercard, Visa) est à la base des paiements sans contact, avec diverses versions pour chaque réseau. Lors d’une transaction, la date d’expiration apparaît à deux moments distincts : dans le champ lu par le terminal, qui décide d’autoriser ou non le paiement, et dans les données envoyées à la banque pour validation finale.
Pour les réseaux Mastercard, Discover et American Express, ces deux occurrences sont sécurisées par des mécanismes cryptographiques qui détectent toute tentative d’altération et bloquent la transaction.
En revanche, dans le cas de Visa, la date lue par le terminal n’est pas intégrée à la signature numérique de la carte. Cela signifie qu’un attaquant positionné comme intercepteur peut la changer pour une date future sans affecter la vérification cryptographique du reste des données échangées.
Le terminal accepte alors la transaction, qui est envoyée pour autorisation de la même manière qu’un paiement classique. Aucun équipement sophistiqué n’est requis pour effectuer cette manipulation : un simple émetteur-récepteur NFC commercial suffit.
Cinq banques testées, des résultats irréguliers
Les chercheurs ont mis leur méthode à l’épreuve avec de vraies cartes expirées dans plusieurs commerces et supermarchés, exploitant des services de cinq grandes banques américaines pour des transactions pouvant atteindre 500 dollars. Les résultats étaient variables, car le succès dépendait de la politique de chaque banque.
Certaines banques se contentent de vérifier que le numéro de compte reste actif, négligeant de s’assurer que la carte utilisée est valide, ce qui permettrait un paiement frauduleux. D’autres, plus vigilantes, annulent toute transaction dès qu’une incohérence est détectée.
Les chercheurs soutiennent que la responsabilité de cette vulnérabilité n’incombe pas seulement à Visa, mais à l’ensemble du système : terminaux, fabricants de cartes et émetteurs. Les banques se fient souvent aux décisions du terminal de point de vente, négligeant certains contrôles de sécurité pour accélérer le processus de paiement.
Ils ont averti Visa dès mai 2025, soumettant un rapport détaillé comprenant une preuve de concept et des éléments techniques. Le dossier est toujours en cours d’examen. À ce jour, ni Visa ni les banques concernées n’ont confirmé un correctif. Les chercheurs, de leur côté, n’ont pas publié le code de leur outil, craignant une utilisation malveillante.
En l’absence de correctif, leur recommandation est claire : détruire intégralement et correctement ses anciennes cartes, particulièrement la puce, selon les recommandations de la banque, au lieu de les abandonner dans un tiroir.
