Cette faille chez Visa permet à des cartes bancaires expirées de payer jusqu’à 500 dollars
Une carte bancaire périmée qui traîne dans un tiroir n’est peut-être pas aussi morte qu’on le croit. Des chercheurs viennent de prouver qu’elle peut encore régler des achats, comme si de rien n’était.
Leur cible : le réseau Visa. Leur méthode : une manipulation technique accessible à n’importe qui équipé de deux smartphones. Et le résultat donne franchement à réfléchir sur la sécurité de nos cartes bancaires.
Une découverte qui fait tomber une idée reçue
Raja Hasnain Anwar, Gerard DeCunha et Muhammad Taqi Raza sont chercheurs à l’université du Massachusetts Amherst. Ils ont présenté leurs travaux lors de la conférence USENIX Security 2026, l’un des rendez-vous majeurs de la cybersécurité.
Leur étude porte un nom qui claque : « Zombie Card ». Et pour cause, elle documente des paiements frauduleux allant jusqu’à 500 dollars, réalisés avec des cartes hors d’usage depuis des mois.
Le réseau visé n’est pas anodin. Visa équipe des centaines de millions de cartes dans le monde, y compris en France, où l’on utilise de plus en plus le paiement sans contact au quotidien.
Comment deux téléphones suffisent à tromper le système
Le procédé s’appelle une attaque de l’homme du milieu. Concrètement, deux smartphones Android modifiés servent de relais invisible entre la carte et le terminal du commerçant.
Le premier appareil lit les données de la puce via la technologie NFC, celle du sans-contact. Le second dialogue directement avec le terminal, pendant que les informations transitent entre les deux par Internet.
C’est pendant ce court trajet numérique que la magie noire opère. Les attaquants remplacent discrètement la date d’expiration périmée par une date valide, sans jamais toucher physiquement à la carte originale.
Un détail technique explique tout : chez Visa, la date d’expiration n’est pas gravée dans la puce de façon inviolable. C’est simplement une case vérifiée par le terminal ou la banque, sans lien cryptographique garanti entre les deux.
Le test grandeur nature qui a tout confirmé
Pour valider leur théorie, les chercheurs ne se sont pas contentés d’un laboratoire fermé. Ils ont testé leur méthode sur cinq grandes banques américaines, plusieurs terminaux de point de vente et différents commerçants réels.
Le bilan est sans appel : une institution financière sur cinq a laissé passer des transactions comprises entre 1 et 500 dollars avec des cartes expirées. Un taux d’échec qui interroge sur les contrôles réels des établissements bancaires.
L’enquête révèle aussi une négligence plus large. Certaines banques se contentent de vérifier que le compte existe, sans valider spécifiquement la carte présentée au moment du paiement.
D’autres délèguent carrément l’essentiel du contrôle au terminal, histoire d’accélérer les encaissements. Résultat : la responsabilité se dilue entre fabricants de terminaux, banques émettrices et réseau, sans que personne ne soit vraiment aux commandes.
Pourquoi Mastercard et les autres échappent au problème
Voilà l’info qui change tout : cette faille ne concerne pas tous les réseaux. Appliquée à Mastercard, American Express ou Discover, la même technique échoue systématiquement, à chaque tentative.
La raison est simple. Ces concurrents intègrent la date d’expiration directement dans leurs mécanismes de vérification cryptographique. La moindre modification invalide instantanément la transaction.
Pourtant, tous ces réseaux partagent le même socle technique de base, le protocole EMV, conçu conjointement par Europay, Mastercard et Visa. Chaque acteur développe ensuite son propre noyau, avec ses propres choix.
La décision de Visa d’exclure la date d’expiration de sa signature numérique ressemble aujourd’hui à une erreur de conception qui traîne depuis des années. Un choix d’architecture qui rappelle d’autres failles bancaires révélées récemment, comme cette arnaque invisible aux pompes à essence.
Un signalement resté lettre morte pendant plus d’un an
La chronologie de cette affaire pose question sur la gestion de la sécurité bancaire. Les chercheurs ont alerté Visa dès mai 2025, avec un rapport détaillé, une preuve de concept fonctionnelle et des traces techniques précises.
Silence radio. Ils ont relancé le réseau en décembre 2025, puis élargi leurs alertes directement aux banques concernées, sans plus de réaction visible.
En août 2026, aucun correctif n’a été confirmé publiquement. Une situation d’autant plus étrange que cette faille échappe au circuit classique des vulnérabilités logicielles, qui reçoivent en général rapidement un identifiant officiel et des correctifs coordonnés.
Chaque acteur de la chaîne peut ainsi renvoyer la balle à l’autre. Les chercheurs, eux, ont refusé de publier le code source de leur outil, tout en réclamant des mesures globales couvrant noyaux, émetteurs et terminaux.
Ce que ça change vraiment pour les cartes françaises
Bonne nouvelle pour les porteurs de cartes en France : le plafond de 50 euros par transaction sans contact réduit fortement l’intérêt financier de l’attaque, comparé aux 500 dollars possibles outre-Atlantique.
Autre garde-fou : les banques françaises renouvellent le numéro de carte à chaque réémission. Ce qui neutralise en théorie l’ancienne puce, contrairement à ce qui semble se passer aux États-Unis.
La prudence reste toutefois de mise. Jeter une carte périmée sans la détruire correctement constitue désormais un risque documenté et concret.
La règle a changé : découper la carte en deux ne suffit plus. Il faut désormais cisailler directement la puce EMV pour la rendre définitivement inutilisable, un geste simple mais trop souvent négligé.
Une leçon plus large sur la monnaie dématérialisée
Cette affaire rappelle une réalité que les épargnants avisés connaissent bien : la monnaie numérique dépend entièrement d’infrastructures techniques qui peuvent flancher. Entre failles bancaires et incertitudes monétaires mondiales, l’once d’or confirme son statut de valeur refuge auprès des épargnants avertis.
Face à ces vulnérabilités, les investissements physiques comme les métaux précieux gardent un atout que personne ne peut leur retirer : exister hors de toute chaîne informatique, sans date d’expiration ni faille protocolaire à surveiller.