Faille Visa dévoilée, des cartes bancaires 'zombies' expirées permettent des paiements sans contact jusqu'à 500 dollars

En bref

• Trois chercheurs de l'université du Massachusetts Amherst ont démontré que des cartes Visa expirées peuvent encore régler des achats en sans contact, jusqu'à 500 dollars par transaction.
• La faille tient à l'absence de protection cryptographique de la date d'expiration dans le noyau Visa, une lacune absente chez Mastercard, American Express et Discover.
• Une banque américaine testée sur cinq a validé des paiements réalisés avec des cartes périmées.
• Visa a été alerté dès mai 2025, relancé en décembre 2025, sans qu'aucun correctif ne soit confirmé en août 2026.
• La destruction physique de la puce reste la seule protection fiable pour les consommateurs.

Une idée reçue vient de tomber. Une carte bancaire expirée peut, dans certaines conditions, continuer à régler des achats comme si de rien n'était. Raja Hasnain Anwar, Gerard DeCunha et Muhammad Taqi Raza, chercheurs à l'université du Massachusetts Amherst, l'ont prouvé lors de la conférence USENIX Security 2026. Leur étude, baptisée « Zombie Card », cible principalement le réseau Visa et documente des paiements frauduleux atteignant 500 dollars, réalisés avec des cartes pourtant hors d'usage depuis des mois.

Une attaque par relais qui ressuscite les cartes périmées

Le procédé repose sur une attaque de l'homme du milieu, exécutée avec du matériel accessible à tous. Deux smartphones Android modifiés servent de relais entre la carte et le terminal du commerçant. Le premier lit les données de la puce via NFC, le second dialogue avec le terminal de paiement, les informations circulant entre eux par Internet. Durant ce transit, les attaquants remplacent la date périmée par une date valide, sans toucher physiquement à la carte.

La vulnérabilité découle d'un choix d'architecture propre à la faille Visa identifiée. Les chercheurs le résument ainsi dans leur publication : la date d'expiration n'a rien d'une propriété gravée dans la puce, elle correspond à une simple case vérifiée par un terminal ou une banque, sans lien cryptographique garanti entre les deux. La signature numérique générée par la puce EMV lors d'un paiement sans contact ne couvre pas cette donnée chez Visa. Falsifier la date ne casse donc aucun contrôle de sécurité, la transaction apparaît parfaitement légitime aux yeux du système.

À lire aussi : Le cours de l'or poursuit son ascension pendant que la confiance dans les infrastructures de paiement traditionnelles s'effrite un peu plus chaque mois.

Des tests grandeur nature auprès de cinq banques américaines

Pour valider leur découverte, les universitaires ont confronté leur méthode à la réalité du terrain. Cinq grandes banques américaines, plusieurs terminaux de point de vente et différents commerçants ont servi de laboratoire. Le bilan interpelle : une institution financière sur cinq a autorisé des transactions comprises entre 1 et 500 dollars avec des cartes expirées.

L'enquête met aussi en lumière une négligence structurelle des émetteurs. Certains établissements se contentent de vérifier l'existence du compte associé, sans valider spécifiquement la carte utilisée. D'autres délèguent l'essentiel des contrôles au terminal de paiement pour accélérer les encaissements. La responsabilité se dilue ainsi sur toute la chaîne, des fabricants de terminaux aux banques émettrices, en passant par le réseau lui-même.

Mastercard, American Express et Discover épargnés

L'étude comparative apporte un éclairage précieux sur les écarts de sécurité entre réseaux. Appliquée aux cartes Mastercard, American Express ou Discover, la même technique échoue systématiquement. Ces concurrents intègrent la date d'expiration dans leurs mécanismes de vérification cryptographique. Toute modification invalide instantanément la transaction.

Le protocole EMV, conçu par Europay, Mastercard et Visa, sert pourtant de socle commun à l'ensemble de l'industrie. Chaque réseau développe ensuite son propre noyau avec des choix d'implémentation spécifiques. La décision de Visa d'exclure la date d'expiration de la signature numérique apparaît aujourd'hui comme une erreur de conception qui perdure depuis des années.

Quinze mois d'alerte sans correctif confirmé

La chronologie de la divulgation soulève des interrogations sur la gouvernance de la sécurité des paiements. Les chercheurs ont contacté Visa dès mai 2025, avec rapport détaillé, preuve de concept fonctionnelle et traces techniques à l'appui. Sans réponse, ils ont relancé le réseau en décembre 2025 et élargi leurs alertes aux banques concernées. En août 2026, aucun correctif n'a été confirmé publiquement.

Cette faille protocolaire échappe au circuit classique des vulnérabilités logicielles, qui reçoivent rapidement un identifiant CVE et des correctifs coordonnés. Chaque acteur peut supposer que la charge de la résolution revient aux autres. Les auteurs, eux, ont refusé de publier le code source de leur outil, tout en réclamant des mesures couvrant les noyaux, les émetteurs et les terminaux pour garantir l'intégrité des transactions de bout en bout.

Une exposition limitée pour les porteurs français

Les conditions d'exploitation restreignent la portée immédiate de la menace en Europe. Le plafond de 50 euros par transaction sans contact appliqué en France réduit fortement l'intérêt financier de l'attaque face aux 500 dollars possibles outre-Atlantique. Les banques françaises renouvellent par ailleurs le numéro de carte à chaque réémission, ce qui neutralise en théorie l'ancienne puce.

La précaution reste néanmoins de mise. Jeter une carte périmée sans la détruire constitue désormais un risque documenté. La découpe en deux ne suffit plus, la puce EMV doit être cisaillée pour devenir définitivement inutilisable.

Selon notre expert : Entre failles bancaires et incertitudes monétaires mondiales, l'once d'or confirme son statut de valeur refuge auprès des épargnants avertis.

Sécuriser son épargne au-delà du système bancaire

Cette affaire rappelle une réalité que les épargnants avisés connaissent bien : la monnaie dématérialisée dépend entièrement d'infrastructures techniques faillibles. Face aux vulnérabilités des réseaux de paiement, les investissements alternatifs comme les métaux précieux conservent un atout unique, celui d'exister physiquement, hors de toute chaîne informatique. Lingots d'or et d'argent ou pièces d'or ne connaissent ni date d'expiration, ni faille protocolaire, ni attaque par relais. Dans une logique de débancarisation partielle et de sécurisation du patrimoine, détenir une part tangible de son épargne offre une protection que ni Visa ni aucun émetteur ne peut compromettre.

Sources : BDOR