Comment des cartes Visa expirées ont pu servir à payer en magasin

Une carte bancaire arrivée à expiration n’est pas forcément inutilisable dans tous les scénarios de paiement. Des chercheurs de l’Université du Massachusetts Amherst ont démontré une attaque pratique de type « homme du milieu » (man-in-the-middle) reposant sur un relais NFC. Elle a permis à certaines cartes Visa sans contact expirées de sembler encore valides auprès d’un terminal et de réaliser de véritables achats en magasin, sans falsifier les informations cryptographiques de la carte.

Le principe : interposer un relais entre la carte et le terminal

Le dispositif testé reposait sur deux smartphones compatibles NFC reliés par un relais. Le premier communiquait avec la carte physique expirée ; le second présentait la transaction au terminal de paiement. Les deux appareils transmettaient les messages EMV entre la carte et le système d’encaissement, créant une passerelle entre des équipements qui auraient normalement dû communiquer directement.

Au cours de cet échange, le relais modifiait la date d’expiration transmise au terminal. Une date passée pouvait ainsi être remplacée par une date future, ce qui permettait aux contrôles locaux du terminal de considérer la carte comme toujours valide. La démonstration nécessitait toutefois de disposer de la carte physique, ou de la maintenir à proximité du dispositif NFC, ainsi que de placer le relais entre la carte et le terminal.

Le point essentiel est que l’attaque ne consistait pas à fabriquer les clés secrètes de la carte. La véritable carte continuait à produire les données dynamiques et signées attendues par le processus EMV. La faiblesse résidait dans la possibilité de modifier un champ important pour la décision — la date d’expiration — sans invalider les autres données authentifiées.

La faiblesse mise en évidence dans Visa EMV Kernel 3

Le problème rapporté concerne le traitement de la date d’expiration dans l’implémentation Visa EMV sans contact Kernel 3. Dans la configuration testée, la date présentée au terminal n’était pas suffisamment liée, sur le plan cryptographique, aux données de la carte et aux informations de transaction utilisées ensuite pour l’autorisation en ligne.

Le décalage pouvait donc se présenter ainsi :

1. La carte physique fournissait de véritables données de paiement, avec sa date d’expiration réelle, déjà dépassée.
2. Le relais modifiait la date visible par le terminal.
3. La carte produisait malgré tout des éléments d’authentification de transaction valides.
4. Le terminal pouvait alors évaluer une date future tout en recevant des preuves cryptographiques authentiques provenant de la carte réelle.

L’attaque visait donc moins la cryptographie elle-même que la relation entre plusieurs champs. Une signature ou un cryptogramme peut rester authentique si une autre valeur examinée par le terminal n’est pas suffisamment liée à ces éléments par le protocole. Les chercheurs décrivent cette situation comme une faiblesse de manipulation « homme du milieu » dans le flux de paiement sans contact Visa.

Pourquoi une carte expirée pouvait encore générer une transaction valide

On imagine souvent que la date d’expiration désactive intrinsèquement la carte sur le plan cryptographique. Les éléments disponibles indiquent plutôt que, dans certains systèmes sans contact, cette date est appliquée comme un contrôle de conformité au cours du paiement. Une partie de la vérification peut donc dépendre des informations reçues par le terminal et de celles que l’émetteur est ensuite capable de contrôler indépendamment.

Si le terminal reçoit une date future et que l’émetteur reçoit par ailleurs des éléments de transaction authentiques, le système peut ne pas disposer d’un signal fiable et systématiquement authentifié indiquant que la carte physique est expirée. Le compte doit néanmoins rester ouvert et utilisable pour que l’autorisation aboutisse : l’attaque ne transforme pas un compte fermé ou invalide en compte actif.

Pourquoi la technique n’a-t-elle pas fonctionné avec Mastercard, American Express et Discover ?

Les rapports fournis indiquent que la substitution de la date d’expiration n’a pas abouti dans les configurations testées de Mastercard Kernel 2, American Express Kernel 4 et Discover Kernel 6.

En revanche, les sources disponibles ne fournissent pas d’analyse technique complète, réseau par réseau, permettant d’identifier précisément le champ ou l’étape de validation qui a fait échouer ces transactions. La conclusion prudente est que ces implémentations testées ont mieux rejeté cette manipulation particulière que la configuration Visa étudiée. Cela ne signifie pas que toutes les cartes de ces marques sont protégées contre les attaques par relais ou contre d’autres formes de fraude.

Que montrent les essais impliquant des banques ?

Les chercheurs auraient testé des cartes provenant de plusieurs grandes banques américaines, avec des transactions réussies ou tentées auprès de plusieurs émetteurs.

Toutefois, les éléments disponibles n’identifient pas les cinq banques concernées et ne donnent pas, pour chacune, un résultat d’autorisation ou de refus vérifiable. Il serait donc trompeur de publier un tableau comparatif par établissement ou d’affirmer qu’une banque accepte ou bloque systématiquement l’attaque. Le résultat peut dépendre du type de carte, de l’état du compte, des contrôles d’autorisation, du terminal, de l’acquéreur et des conditions de la transaction.

Ce que l’on sait de la réaction de Visa

Selon l’un des rapports fournis, les chercheurs ont communiqué leurs résultats à Visa et aux banques concernées en mai et en décembre 2025. Ils auraient transmis un guide de reproduction, des relevés de transactions et une vidéo de démonstration.

Les sources disponibles ne contiennent cependant ni déclaration vérifiable de Visa, ni avis de sécurité confirmé, ni preuve d’un déploiement complet d’une mesure corrective. Il n’est donc pas possible d’affirmer que le problème a été entièrement corrigé, de déterminer quelles cartes ou quels terminaux seraient concernés, ou de savoir si une mesure d’atténuation est obligatoire pour l’ensemble de l’écosystème de paiement.

Les contre-mesures recommandées à chaque étape du paiement

Le correctif central consiste à empêcher que la date d’expiration vue par le terminal diverge des données authentifiées de la carte.

• Réseaux de paiement et concepteurs de kernels : lier cryptographiquement la date d’expiration et les autres paramètres utilisés par le terminal aux données authentifiées de la carte et au cryptogramme de transaction. Toute incohérence devrait entraîner le refus de la transaction.
• Exploitants de terminaux et acquéreurs : comparer les informations d’expiration présentes dans les différents messages EMV et examiner les incohérences. La détection de relais fondée sur la latence ou le comportement des communications peut fournir un signal supplémentaire, même si les sources ne démontrent pas l’existence d’une méthode universelle.
• Émetteurs : vérifier indépendamment, lors de l’autorisation, l’expiration, le remplacement et le statut du cycle de vie de la carte, plutôt que de s’appuyer uniquement sur la date fournie par le terminal. Les transactions liées à des identifiants expirés ou remplacés devraient être refusées ou signalées lorsque les informations disponibles le permettent.
• Gestionnaires de programmes de cartes : veiller à ce que le remplacement d’une carte désactive ou restreigne bien l’ancienne lorsque cela est nécessaire.
• Clients : surveiller régulièrement les opérations du compte et signaler rapidement toute transaction suspecte. Une carte physique expirée ne doit pas être considérée automatiquement comme inoffensive si le compte ou l’identifiant de paiement sous-jacent reste actif.

Comment se débarrasser d’une carte expirée en toute sécurité

Il faut d’abord suivre les instructions de la banque, notamment si celle-ci demande le retour de l’ancienne carte. Dans le cas contraire, retirez-la des comptes marchands enregistrés et des applications de portefeuille numérique, vérifiez que la carte de remplacement est active, puis détruisez l’ancienne afin que ses données soient difficiles à reconstituer.

Découpez la puce, la bande magnétique, le numéro imprimé, le panneau de signature et le cryptogramme visuel. Un destructeur de documents à coupe croisée conçu pour les cartes bancaires est préférable à une carte jetée intacte. Si possible, répartissez les morceaux dans plusieurs poubelles. Ces précautions limitent l’exposition des données présentes sur la carte, mais elles ne remplacent ni la surveillance du compte ni le signalement immédiat d’une opération inconnue à l’émetteur.