Carte bancaire expirée : la faille Visa qui menace votre portefeuille

Une carte bancaire périmée devrait normalement être inutilisable. Pourtant, des chercheurs de l'université du Massachusetts Amherst ont démontré qu'il était possible de réactiver des cartes Visa expirées pour effectuer des paiements sans contact frauduleux jusqu'à 500 dollars. Quinze mois après avoir alerté Visa, aucun correctif n'a été confirmé, exposant des millions de consommateurs à une fraude prévisible et coûteuse.

Une faille qui ravive les cartes mortes

Le mécanisme découvert par les chercheurs Raja Hasnain Anwar, Gerard DeCunha et Muhammad Taqi Raza repose sur une faiblesse architecturale du protocole Visa. Contrairement à ce que l'on pourrait croire, la date d'expiration d'une carte bancaire n'est pas protégée cryptographiquement. Comme l'expliquent les chercheurs, « la date d'expiration n'a rien d'une propriété gravée dans la puce de la carte, c'est une simple case cochée par un terminal ou par une banque, sans lien cryptographique garanti entre les deux », précise Numerama.

L'attaque utilise deux smartphones Android placés en relais entre la carte expirée et le terminal de paiement. Le premier téléphone lit les données de la carte périmée, le second les transmet au terminal après avoir modifié la date d'expiration pour la rendre valide. Cette manipulation, baptisée « Zombie Card », fonctionne uniquement en paiement sans contact, où les vérifications sont allégées pour accélérer les transactions.

Pourquoi Visa reste vulnérable quand ses concurrents sont protégés

La différence entre Visa et ses concurrents réside dans la signature numérique. Chez Mastercard, American Express et Discover, la date d'expiration fait partie intégrante de la signature cryptographique générée par la puce. Toute modification de cette date invalide automatiquement la transaction. Chez Visa, la date d'expiration est transmise séparément, sans protection cryptographique, ce qui permet aux fraudeurs de la remplacer sans que le terminal ne détecte l'anomalie.

Cette vulnérabilité n'affecte donc que les cartes Visa, tandis que les autres réseaux restent immunisés contre cette attaque spécifique. Les chercheurs ont testé leur méthode sur plusieurs types de cartes et confirment que « les transactions sans contact Visa sont susceptibles de manipulation par interception en raison d'un manque de protection efficace de l'intégrité », selon Help Net Security.

500 dollars par transaction

Les tests réels effectués par les chercheurs ont démontré la viabilité économique de cette fraude. Ils ont réussi à effectuer des paiements allant de 1 à 500 dollars avec des cartes expirées, auprès d'au moins une grande banque américaine. Sur cinq établissements testés, un sur cinq a laissé passer les transactions frauduleuses sans déclencher d'alerte.

Ce montant de 500 dollars représente un seuil critique. Aux États-Unis, de nombreux paiements sans contact sont autorisés jusqu'à ce plafond sans demande de code PIN ni vérification supplémentaire. Un fraudeur pourrait donc multiplier les achats modérés (électronique, carburant, courses) sans éveiller immédiatement les soupçons, accumulant plusieurs milliers de dollars avant détection.

En France, la situation diffère légèrement. Le plafond de paiement sans contact est fixé à 50 euros par transaction, ce qui limite mécaniquement l'ampleur du préjudice par opération. De plus, les banques françaises renouvellent systématiquement le numéro de carte lors de l'émission d'une nouvelle carte, selon Les Numériques, rendant l'ancienne puce totalement inutilisable.

Quinze mois sans correctif : le coût de l'inaction de Visa

Les chercheurs ont alerté Visa dès mai 2025, fournissant un rapport détaillé, une preuve de concept et des traces techniques. Ils ont relancé l'alerte en décembre 2025, sans obtenir de confirmation de correctif. En août 2026, lors de la présentation publique à la conférence USENIX Security 2026 à Baltimore, Visa n'avait toujours pas communiqué de solution.

Cette inertie pose question. Corriger une telle faille nécessite une coordination entre Visa, les banques émettrices et les fabricants de terminaux. Il faudrait modifier le protocole de signature numérique pour inclure la date d'expiration dans les données cryptographiquement protégées, puis déployer cette mise à jour sur des millions de terminaux et de cartes. Un chantier coûteux et complexe, qui explique peut-être la lenteur de la réaction.

Pourtant, le coût de l'inaction pourrait dépasser largement celui d'un correctif. Si la méthode se répand, les banques devront rembourser des milliers de transactions frauduleuses, gérer les litiges clients et restaurer la confiance dans le système de paiement. Sans compter le risque réputationnel pour Visa, dont la crédibilité pourrait être entamée face à des concurrents déjà protégés.

Protéger son portefeuille : conseils pratiques pour les consommateurs

En attendant un correctif de Visa, les consommateurs peuvent prendre plusieurs mesures pour limiter les risques. La première consiste à détruire physiquement toute carte bancaire expirée. Ne pas se contenter de la couper en deux : il faut détruire la puce et la bande magnétique, idéalement en passant la carte au broyeur ou en la découpant en plusieurs morceaux.

Beaucoup de consommateurs conservent leurs anciennes cartes bancaires par négligence ou par méconnaissance des risques. Certains les jettent simplement à la poubelle, pensant qu'une carte expirée ne présente plus de danger. La faille Zombie Card démontre le contraire : tant que la puce est intacte, la carte peut être réactivée frauduleusement. Les experts recommandent de découper la carte en au moins huit morceaux, en veillant à sectionner la puce et la bande magnétique. Certains conseillent même de disperser les morceaux dans différentes poubelles pour empêcher toute reconstitution.