Comment des cartes Visa sans contact expirées peuvent encore payer

Selon les chercheurs, l’attaquant n’a pas besoin de connaître la date d’expiration de la carte de remplacement. Pour le contrôle effectué côté terminal, n’importe quelle date future peut suffire à faire apparaître la carte comme encore valide.

Cela ne signifie pas que la carte est contrefaite ou que la cryptographie EMV est cassée. La carte physique fournit toujours ses véritables données, ses signatures et ses cryptogrammes de transaction. Le problème vient plutôt du fait que la date d’expiration utilisée par le terminal n’est pas suffisamment liée aux informations authentifiées qui servent ensuite à l’autorisation en ligne, dans la configuration Visa testée.

Le rôle d’EMV Kernel 3 chez Visa

Les « kernels » EMV sont les logiciels de traitement intégrés aux terminaux de paiement pour gérer les transactions des différents réseaux de cartes. Visa, Mastercard, American Express et Discover disposent de chemins de traitement sans contact distincts.

Les travaux portent sur le chemin sans contact Visa identifié, dans les éléments fournis, comme EMV Kernel 3. Cette conception permettrait à deux éléments de la transaction de diverger : le terminal reçoit une date d’expiration modifiée et future, tandis que les données transmises pour l’autorisation de la banque restent authentiques et accompagnées de contrôles cryptographiques valides.

Dans une conception plus étroitement liée, toute modification de la date d’expiration en cours de transmission rendrait la transaction incohérente et ferait échouer sa validation. Le cas « Zombie Card » rappelle donc un principe essentiel de la sécurité des paiements : la cryptographie protège moins efficacement un système lorsqu’un champ critique est vérifié à un endroit de la chaîne, sans être solidement rattaché aux données considérées comme fiables ailleurs.

Pourquoi la méthode n’a pas fonctionné avec les autres réseaux testés

Les chercheurs ont également testé la méthode avec d’autres kernels sans contact. Ils ont indiqué ne pas avoir réussi à la reproduire avec Mastercard Kernel 2, American Express Kernel 4 et Discover Kernel 6. Les informations disponibles attribuent cette résistance à une protection, une validation ou une liaison cryptographique plus solide des données d’expiration concernées.

Les éléments publiés ne permettent toutefois pas d’identifier avec certitude, pour chacun de ces trois kernels, la règle précise du protocole qui bloque l’attaque. La conclusion doit donc rester mesurée : la falsification de la date d’expiration a été rapportée comme efficace dans la configuration Visa testée, mais pas dans les chemins Mastercard, American Express et Discover testés. Cela ne signifie ni que les cartes Visa sont généralement falsifiables ni que toute carte Visa expirée pourra être utilisée.

Des réponses différentes selon les banques

Les essais menés auprès de commerçants, de terminaux, de plusieurs kernels EMV et de cinq grandes banques américaines ont produit des résultats variables. Certains émetteurs ont autorisé des transactions comportant la date d’expiration modifiée côté terminal ; d’autres les ont refusées grâce à des contrôles plus stricts effectués par la banque.

Cette différence est au cœur du résultat. L’acceptation par le terminal ne suffisait pas à déterminer si le paiement aboutissait : la logique d’autorisation de la banque jouait également un rôle. Un établissement qui vérifie indépendamment l’expiration, le remplacement, l’annulation et le statut du compte est davantage susceptible de bloquer la transaction qu’une banque qui s’appuie largement sur la décision locale du terminal.

Les sources fournies ne donnent pas de liste fiable des cinq banques, ni le détail vérifié des transactions acceptées ou refusées, ni d’éventuelles limites de montant propres à chacune. Ces informations ne peuvent pas être déduites du résultat général.

Divulgation et état des correctifs

Les travaux ont été présentés lors de la conférence USENIX Security 2026. Les informations liées à l’université indiquent que les principales sociétés de cartes avaient été averties avant la publication des résultats.

Au 20 août 2026, les éléments disponibles confirment la vulnérabilité observée dans l’évaluation des chercheurs, mais ne permettent pas d’affirmer que Visa avait achevé un changement universel de kernel, une mise à jour de terminaux ou un correctif applicable à tous les émetteurs concernés. Ils ne fournissent pas non plus de calendrier définitif pour chaque banque.

Cette nuance est importante : signaler une faille ne signifie pas qu’elle a déjà été corrigée partout. Le niveau de risque peut donc varier pendant que les réseaux, les fournisseurs de terminaux, les acquéreurs et les banques cherchent à vérifier de façon cohérente les données liées au cycle de vie des cartes.

Quelles protections pour la chaîne de paiement ?

Les travaux plaident pour une défense en profondeur, répartie entre les différents acteurs :

• Concepteurs des kernels et des systèmes de cartes : lier cryptographiquement la date d’expiration et les autres données de cycle de vie visibles par le terminal aux données authentifiées de la transaction. Toute modification pendant le transfert devrait alors invalider le paiement.
• Terminaux et acquéreurs : vérifier l’expiration à partir d’informations authentifiées lorsque cela est possible et refuser les valeurs incohérentes, plutôt que de faire confiance à un champ uniquement présenté au terminal.
• Banques émettrices : contrôler elles-mêmes l’expiration, le remplacement, l’annulation et le statut du compte lors de l’autorisation, sans se reposer uniquement sur la décision locale du terminal.
• Réseaux et équipes antifraude : rechercher les divergences entre la date fournie par le terminal et les informations visibles par la banque, tout en appliquant des contrôles adaptés aux relais sans contact suspects. Cette approche découle du constat que la responsabilité est répartie entre la carte, le terminal, le réseau et l’émetteur.

Que faire d’une carte expirée ?

Une ancienne carte ne doit pas être jetée intacte. Il est recommandé de demander à la banque de la désactiver, de démagnétiser sa bande magnétique, de détruire sa puce EMV, puis de découper ou de broyer la carte, y compris les chiffres et les lettres imprimés. Les morceaux doivent être jetés séparément. Pour une carte métallique, mieux vaut demander à l’émetteur la procédure de destruction appropriée.

Il est également prudent de continuer à surveiller le compte associé, y compris après la clôture d’une carte, et de signaler rapidement toute opération non autorisée. L’attaque nécessite l’accès à la carte physique ou une proximité NFC prolongée avec celle-ci : détruire correctement une ancienne carte réduit donc les possibilités d’abus.