Des chercheurs de l’université du Massachusetts à Amherst ont présenté à la conférence USENIX Security 2026 une attaque au nom évocateur : « Zombie Cards Back Online ». Leur démonstration ranime des cartes sans contact expirées pour payer en magasin, face à des terminaux parfaitement à jour. Visa a été prévenue en mai 2025, relancée en décembre, et aucun correctif n’a été confirmé depuis.
Démonstration de l’attaque :
Comment deux téléphones ressuscitent une carte morte ?
Le paiement sans contact repose sur le protocole EMV, qui n’authentifie qu’une partie des échanges : certaines données circulent en clair entre la carte et le terminal. Les chercheurs glissent deux smartphones en relais NFC au beau milieu de cette conversation et réécrivent la date d’expiration à la volée. Dans la configuration Visa qu’ils ont testée, la date lue par le terminal échappe à la signature numérique de la carte. L’émetteur en vérifie une autre, tirée d’un champ différent, et rien ne relie cryptographiquement les deux. Un intermédiaire peut donc maquiller ce que voit le terminal pendant que les contrôles de la carte gardent l’air parfaitement normaux.
Les configurations Mastercard, American Express et Discover ont résisté aux essais. Le verdict final dépend ensuite de la banque : certains établissements testés ont validé les paiements, d’autres les ont bloqués. L’un des auteurs, Raja Hasnain Anwar, décrit un arbitrage classique du secteur : « les mécanismes de sécurité existent, mais seule une partie d’entre eux est sollicitée pour rendre la transaction plus rapide et plus fluide ». La compatibilité avec les vieux terminaux et la course à la fluidité laissent ce genre de brèche ouverte.
Faut-il craindre pour votre compte en banque ?
Un peu de calme s’impose avant de résilier sa carte. L’attaque relève de la démonstration contrôlée par les chercheurs, sans la moindre fraude réelle documentée à ce jour. Elle exige surtout un accès physique à la carte, à quelques centimètres, pendant la transaction. Le vrai risque commence donc quand une carte expirée traîne dans un tiroir, une poubelle ou une brocante, avec un compte toujours actif derrière. La détruire entièrement, puce et antenne comprises, ferme la porte pour de bon.
Côté portefeuille, la France amortit déjà les chocs. Le paiement sans contact par carte plafonne à 50 euros par transaction, et les opérations non autorisées se font rembourser après signalement à la banque, possible pendant treize mois. L’Observatoire de la sécurité des moyens de paiement de la Banque de France mesure d’ailleurs un taux de fraude à la carte passé pour la première fois sous 0,05 % au premier semestre 2025. La fraude aux moyens de paiement dans leur ensemble a tout de même englouti 618 millions d’euros sur la même période. Les portefeuilles mobiles gardent ici une longueur d’avance : le smartphone génère des données de transaction dynamiques, quand la carte plastique récite toujours la même leçon.
En attendant un correctif dont Visa ne dit rien, la paire de ciseaux reste la mise à jour de sécurité la plus fiable du marché.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
Source : Raja Hasnain Anwar, Gerard DeCunha, Muhammad Taqi Raza
