Une carte de crédit Visa expirée peut, dans certaines conditions, redevenir opérationnelle pour un paiement sans contact, alerte Les Numériques. C’est ce que démontrent trois chercheurs de l’université du Massachusetts Amherst, Raja Hasnain Anwar, Gerard DeCunha et Muhammad Taqi Raza, dans une étude intitulée « The Paying Dead ». Ils désignent ces cartes réactivées sous le nom de cartes de crédit zombies.
Les travaux ont été présentés lors de la conférence USENIX Security 2026, à Baltimore, à la mi-août. Leur constat de départ tient en une phrase : la date d’expiration inscrite sur une carte n’est pas une propriété gravée dans la puce, mais une simple case vérifiée par le terminal ou la banque au moment du paiement. Rien, dans le protocole, ne garantit un lien cryptographique fiable entre cette date affichée et son contrôle réel.
Deux téléphones en interception
Pour prouver la faille, les chercheurs ont eu recours à un montage simple : deux smartphones placés en intermédiaires invisibles, l’un collé contre la carte périmée, l’autre contre le terminal de paiement en boutique. Les deux appareils communiquent entre eux et relaient en théorie fidèlement les données échangées. Au passage, ils modifient un seul champ, celui de la date d’expiration, remplacée par une date encore valide, sans toucher au reste des informations transmises.
Le paiement sans contact repose sur le protocole EMV (Europay, Mastercard, Visa), décliné en plusieurs versions selon le réseau. Lors d’une transaction, la date d’expiration apparaît deux fois : une première fois dans un champ lu par le terminal, qui décide de bloquer ou non le paiement, et une seconde fois dans les données transmises à la banque émettrice pour l’autorisation finale.
Chez Mastercard, Discover et American Express, ces deux occurrences sont protégées par des mécanismes cryptographiques qui détectent toute altération et font échouer la transaction.
Chez Visa, en revanche, la date lue par le terminal n’est pas incluse dans la signature numérique de la carte. Un attaquant placé en intercepteur peut donc la remplacer par une date future sans casser la vérification cryptographique du reste de l’échange.
Le terminal laisse alors passer la transaction, qui part en autorisation en ligne comme un paiement ordinaire. Aucun matériel particulier n’est nécessaire pour reproduire la manipulation : un simple émetteur-récepteur NFC grand public suffit.
Cinq banques testées, des résultats inégaux
Les chercheurs ont testé leur méthode avec de vraies cartes expirées, dans des commerces et des épiceries, chez cinq grandes banques américaines, pour des montants allant jusqu’à 500 dollars. Le succès n’a rien eu de systématique : tout dépend de la banque émettrice.
Certaines vérifient uniquement que le numéro de compte reste actif, sans contrôler si la carte précise utilisée est bien celle en cours de validité, et laissent alors passer le paiement frauduleux. D’autres, plus prudentes, rejettent la transaction dès qu’elles constatent l’incohérence.
Pour les auteurs de l’étude, la responsabilité de la faille ne revient pas à Visa seul, mais à l’ensemble de la chaîne : terminaux, fabricants de cartes et émetteurs. Les banques se fient souvent aux décisions prises par le terminal de point de vente et négligent certains contrôles de sécurité au moment d’autoriser la transaction, dans l’idée d’accélérer les paiements.
Les chercheurs disent avoir alerté Visa dès mai 2025, avec un rapport détaillé incluant une preuve de concept et des traces techniques. Le dossier serait toujours en cours d’examen. Ni Visa ni les banques concernées n’ont, à la date de publication de l’étude, confirmé de correctif. Les chercheurs eux-mêmes n’ont pas publié le code de leur outil, jugé trop directement réutilisable à des fins frauduleuses.
Faute de correctif, leur recommandation tient en une phrase : détruire réellement et complètement ses anciennes cartes, notamment leur puce, en suivant les instructions de sa banque, plutôt que de les laisser pour mortes dans un tiroir.
