Une carte censée être morte, l’est-elle réellement ?
C’est à cette question qu’ont voulu répondre Raja Hasnain Anwar, Gerard DeCunha et Muhammad Taqi Raza.
Les trois chercheurs de l’université du Massachusetts Amherst ont eu l’idée de tester ce qui se passait vraiment si l’on tentait de payer avec l’une de ces cartes officiellement expirées.
Ils partent d’un postulat simple : la date d’expiration n’a rien d’une propriété gravée dans la puce de la carte, c’est une simple case cochée par un terminal ou par une banque, sans lien cryptographique garanti entre les deux.
Baptisée « Zombie Card », et présentée à la conférence USENIX Security, à Baltimore, mi-août, leur attaque repose sur deux smartphones placés en intermédiaires invisibles. Le premier est collé contre la carte périmée, le second contre le terminal de paiement en boutique : les deux appareils communiquent entre eux et se contentent, en théorie, de relayer fidèlement les informations de l’un vers l’autre, comme un tuyau.
Sauf qu’au passage, les chercheurs modifient la date d’expiration de la carte, qu’ils remplacent discrètement par une date encore valide, sans toucher au reste des informations échangées.
Comment fonctionne l’attaque ?
Le paiement sans contact repose sur le protocole EMV, décliné en plusieurs « noyaux » selon le réseau : Visa, Mastercard, Discover et American Express ont chacun le leur.
Lors d’une transaction, la date d’expiration apparaît en réalité deux fois. Une première fois dans un champ que lit le terminal pour décider s’il bloque ou non le paiement, une seconde fois dans les données transmises à la banque émettrice pour l’autorisation finale.
Chez Mastercard, Discover et American Express, ces deux occurrences sont vérifiées par des mécanismes cryptographiques qui détectent la moindre altération, et la transaction échoue aussitôt.
Chez Visa, en revanche, la date lue par le terminal n’est pas incluse dans la signature numérique de la carte. Un attaquant positionné en intercepteur peut donc la remplacer par une date future, sans casser la vérification cryptographique qui valide le reste de l’échange. Le terminal laisse donc passer la transaction, qui part en autorisation en ligne comme n’importe quel paiement normal.
Des tests réels, une faille encore ouverte
Les chercheurs n’en sont pas restés à la théorie et ont testé leur méthode avec de vraies cartes expirées, chez cinq grandes banques américaines, sur des terminaux de commerce et d’épicerie, avec des montants allant jusqu’à 500 dollars.
Le succès n’a pas été au rendez-vous à chaque fois, tout dépend de la banque émettrice. Certaines vérifient uniquement que le numéro de compte est actif, sans se soucier de savoir si la carte précise utilisée est bien celle en cours de validité, et laissent alors passer le paiement frauduleux. D’autres, plus prudentes, rejettent la transaction en constatant l’incohérence.
Les chercheurs précisent avoir alerté Visa dès mai 2025, avec un rapport détaillé incluant preuve de concept et traces techniques. Le dossier serait en cours d’examen, mais ni Visa ni les banques concernées n’ont, à ce jour, confirmé de correctif.
Les chercheurs n’ont pas publié le code de leur outil, jugé trop directement réutilisable à des fins frauduleuses. Leur recommandation reste simple en attendant : détruire réellement ses anciennes cartes, plutôt que de les laisser pour mortes.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Anticipez le futur en vous inscrivant gratuitement à ToujoursPlus, la newsletter tech de référence.