Une carte Visa périmée n’est pas toujours une carte inutilisable

Une carte Visa périmée devrait, en théorie, ne plus permettre de régler un achat. Dans l’esprit du public, la date d’expiration suffit à rendre l’ancienne carte bancaire inutilisable. Mais des chercheurs de l’Université du Massachusetts Amherst ont montré qu’une carte expirée pouvait, dans certaines conditions, redevenir exploitable lors d’un paiement sans contact.

Le sujet est sensible, car il touche un réflexe très courant : jeter une ancienne carte bancaire sans la détruire correctement. Or, une carte périmée conserve encore des informations techniques liées au compte, au réseau de paiement et à l’application embarquée dans la puce.

Le risque n’est donc pas théorique. Il concerne surtout les cartes laissées intactes, perdues, jetées ou conservées sans précaution.

Ce que révèle l’attaque “Zombie Card”

Les chercheurs ont baptisé leur démonstration “Zombie Card”, en référence à une carte censée être morte, mais capable de revenir en circulation. Leur travail, détaillé sur la page de recherche Zombie Cards Back Online, porte sur le paiement sans contact et plus précisément sur certaines configurations Visa.

L’attaque ne casse pas la cryptographie de la carte. Elle exploite plutôt une faiblesse dans la manière dont la date d’expiration est contrôlée entre plusieurs acteurs de la transaction : la carte, le terminal de paiement, le réseau bancaire et la banque émettrice.

Dans le scénario étudié, un relais NFC placé entre la carte et le terminal modifie la date d’expiration présentée au lecteur. Le terminal voit alors une date valide, tandis que les autres éléments de sécurité de la carte continuent d’apparaître authentiques.

C’est ce décalage qui peut permettre à une carte Visa périmée d’être acceptée dans certains paiements sans contact.

Pourquoi Visa est particulièrement cité

Les tests des chercheurs ont montré une différence nette entre les réseaux. Les configurations Mastercard, American Express et Discover testées ont rejeté la modification de la date d’expiration. La configuration Visa sans contact étudiée, elle, pouvait laisser passer certaines transactions.

La nuance est importante : cela ne signifie pas que toutes les cartes Visa expirées sont utilisables par des fraudeurs. Le succès de l’attaque dépend de plusieurs paramètres, notamment la banque émettrice, le terminal utilisé et les contrôles réalisés au moment de l’autorisation.

Mais le signal reste fort. Une carte bancaire ne devrait pas dépendre d’un contrôle partiel ou variable selon les acteurs de la chaîne. L’expiration d’une carte doit être vérifiée de façon cohérente de bout en bout.

Pour les lecteurs qui suivent les sujets de cybersécurité, cette faille illustre une réalité de plus en plus fréquente : les vulnérabilités critiques ne viennent pas toujours d’un piratage spectaculaire, mais d’un défaut d’architecture dans un système déjà très complexe.

Comment une carte expirée peut encore être exploitée

Une carte bancaire périmée ne disparaît pas totalement du système au moment de son expiration. Le compte rattaché reste actif, et certaines opérations peuvent encore être associées à l’ancienne carte, notamment les remboursements.

C’est précisément ce point qui a intéressé les chercheurs. Si une carte expirée peut encore recevoir un remboursement, la question devient logique : peut-elle encore initier un paiement ?

Dans certaines conditions, la réponse est oui.

Le scénario nécessite toutefois plusieurs éléments : une carte physique expirée, un dispositif NFC, un terminal de paiement compatible et une banque qui ne bloque pas correctement l’ancienne carte au niveau de l’autorisation. Il ne s’agit donc pas d’une attaque massive à distance contre tous les porteurs de carte.

Mais une carte jetée entière peut devenir un point d’entrée. Et c’est là que le sujet devient très concret pour le grand public.

Le vrai danger : jeter une ancienne carte sans la détruire

Le premier enseignement est simple : une ancienne carte Visa périmée ne doit jamais être jetée intacte. Même expirée, elle contient encore des données exploitables : puce, numéro, bande magnétique, cryptogramme visuel et informations NFC.

La bonne pratique consiste à détruire physiquement la carte avant de s’en débarrasser. Il faut couper la puce, la bande magnétique, le numéro de carte et le cryptogramme. Lorsque c’est possible, il est préférable de suivre les consignes de restitution ou de destruction prévues par sa banque.

Ce réflexe est d’autant plus important que les paiements sans contact se sont imposés dans les commerces, les transports, les bornes automatiques et les caisses rapides. Plus le paiement devient fluide, plus la sécurité doit être stricte sur les objets physiques laissés en circulation.

Ce que les commerçants doivent aussi comprendre

Cette faille ne concerne pas seulement les particuliers. Elle touche aussi les commerçants, les réseaux de distribution et les entreprises utilisant des terminaux de paiement.

Les paiements sans contact reposent sur une chaîne technique complète. Si un terminal, une banque ou un réseau ne contrôle pas correctement l’expiration d’une carte, le risque peut se matérialiser au moment de l’encaissement.

Pour les commerces, notamment ceux qui utilisent des caisses autonomes ou des terminaux peu surveillés, le sujet mérite une vraie attention. Les prestataires de paiement doivent assurer la mise à jour des terminaux, la conformité des règles de sécurité et la remontée correcte des signaux d’alerte.

C’est aussi un enjeu de confiance. Un commerce qui accepte massivement les paiements rapides doit pouvoir garantir que les cartes expirées, remplacées ou compromises sont correctement refusées.

Une alerte plus large sur la sécurité bancaire

L’affaire des cartes Visa périmées rappelle une faiblesse plus large : la sécurité bancaire dépend d’une chaîne d’acteurs qui doivent tous appliquer les mêmes règles avec le même niveau d’exigence.

Dans le paiement moderne, la banque, le réseau, le terminal et la carte ne voient pas toujours exactement les mêmes informations. Si l’un suppose qu’un autre a déjà fait le contrôle, une faille peut apparaître.

C’est ce qui rend cette démonstration intéressante pour l’ensemble du secteur bancaire. Elle ne révèle pas seulement un risque sur les anciennes cartes. Elle montre que les systèmes de paiement doivent renforcer les contrôles d’expiration, de remplacement et de cycle de vie des cartes.

Selon Help Net Security, les chercheurs ont recommandé plusieurs correctifs, dont un meilleur rattachement cryptographique de la date d’expiration et une vérification plus précise de la carte utilisée par la banque émettrice.

Ce qu’il faut retenir sur les cartes Visa périmées

Une carte Visa périmée ne doit jamais être considérée comme un simple déchet sans valeur. Dans certaines conditions techniques, une ancienne carte peut encore être exploitée pour tenter un paiement sans contact.

Le risque ne concerne pas toutes les cartes, ni tous les paiements. Mais il suffit à justifier un changement de réflexe : dès qu’une nouvelle carte bancaire est reçue, l’ancienne doit être détruite immédiatement.

Pour les banques et les réseaux de paiement, le message est tout aussi clair : l’expiration d’une carte ne peut pas rester un contrôle local ou partiel. Elle doit devenir une garantie vérifiée sur toute la chaîne de paiement.

Pour les consommateurs, la règle est plus simple encore : une carte bancaire périmée ne se jette pas. Elle se détruit.