Des scientifiques de l’université du Massachusetts sont parvenus à faire fonctionner des cartes Visa expirées jusqu’à 500 dollars, dans de vrais commerces. La faille exploitée dort dans le paiement sans contact depuis des années, et Visa n’a toujours proposé aucun correctif un an après son signalement.
Une carte périmée, une fois jetée, semble inoffensive. Raja Hasnain Anwar, Gerard DeCunha et Muhammad Taqi Raza, chercheurs à l’université du Massachusetts Amherst, prouvent le contraire dans un article présenté à la conférence USENIX Security 2026.
Leur démonstration tient en une phrase glaçante : la date d’expiration d’une carte Visa reste, pour la banque, une simple règle de gestion que rien ne verrouille cryptographiquement.
Comment une carte expirée trompe les terminaux de paiement
L’équipe glisse deux téléphones Android entre la carte et le lecteur : l’un imite le terminal face à la carte, l’autre imite la carte face au vrai terminal. Ce relais intercepte le champ technique portant la date d’expiration et la réécrit à la volée, avant de renvoyer une transaction validée par des clés cryptographiques parfaitement authentiques. Chez Mastercard, American Express et Discover, cette manipulation échoue net. Chez Visa, le module de traitement ne relie jamais cette date à la signature numérique de la transaction, laissant filer le tour de passe-passe jusqu’à l’émetteur de la carte.
Un risque limité, mais un signalement resté lettre morte
Sur cinq banques américaines testées, une seule a laissé passer des achats réels, de 1 à 500 dollars, en épicerie comme en boutique de campus. Les quatre autres ont bloqué la fraude, côté terminal ou côté émetteur. Visa a été alertée en mai 2025, relancée en décembre, sans confirmer la moindre correction depuis. En France, le plafond de 50 euros par paiement sans contact et le renouvellement systématique du numéro lors d’une réémission limitent sérieusement la portée du problème pour les porteurs de carte hexagonaux.
Mieux vaut tout de même détruire physiquement ses anciennes cartes plutôt que les jeter intactes.
Source : Anwar, DeCunha, Raza, Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments, USENIX Security 2026.
