Les cartes Visa périmées ne sont pas systématiquement inactives lorsqu’elles passent sur un terminal de paiement. Une étude menée par l’University of Massachusetts Amherst démontre qu’un intermédiaire technique peut altérer la date d’expiration vue par le commerçant et faire valider un achat réel.
Une manipulation technique qui réactive les cartes Visa périmées
L’expérimentation documentée par Malwarebytes Labs a porté sur plusieurs réseaux bancaires : Visa, Mastercard, Discover et American Express. Les tests ont impliqué divers commerçants, des terminaux variés et des cartes émises par cinq grandes banques américaines. Les résultats révèlent une vulnérabilité ciblée. Tandis que les configurations de Mastercard, American Express et Discover rejettent immédiatement une date modifiée, certaines transactions effectuées avec des cartes Visa périmées aboutissent sans blocage.
Pour réussir cette opération, les attaquants s’appuient sur une attaque par relais NFC (Near Field Communication), la technologie de communication sans contact à courte portée. Concrètement, le dispositif utilise deux téléphones mobiles configurés comme proxies (des serveurs relais d’interception) :
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
- Le premier téléphone est placé contre la carte à puce de la victime.
- Le second téléphone est présenté devant le terminal de paiement du commerçant.
- Les données transitent en temps réel entre les deux appareils, créant un pont virtuel.
Comme le rapporte The Register, l’attaque exploite le protocole EMV sans contact (la norme internationale de sécurisation des cartes bancaires). Dans ce protocole, une partie des informations est transmitted en clair, sans chiffrement préalable, avant d’être soumise plus tard à des contrôles cryptographiques appelés ODA (Offline Data Authentication ou authentification des données hors ligne). Cette zone tampon offre une fenêtre d’intervention pour modifier les données au vol.
Analyse
Les cartes Visa périmées peuvent encore servir à effectuer des achats en magasin sous certaines conditions. En exploitant le protocole de paiement sans contact à l’aide de deux téléphones, des chercheurs ont réussi à modifier la date d’expiration transmise au terminal.
Visa Kernel 3 : la rupture dans la chaîne de vérification
Le nœud du problème réside dans un composant logiciel précis du terminal : le flux Visa Kernel 3, la brique informatique chargée d’interpréter les transactions spécifiques au réseau Visa. Dans ce module, la date d’expiration présentée au lecteur (Application Expiration Date) n’est pas liée de manière cryptographique aux données signées par la carte.
Lors du passage du relais NFC, le téléphone intermédiaire modifie la date d’expiration au format lisible par le terminal pour afficher une date valide dans le futur. Le terminal constate que la date est correcte et poursuit le traitement. Les autres mécanismes de contrôle cryptographique paraissent cohérents, ce qui masque l’altération.
Comme le souligne Wired, cette anomalie déplace la responsabilité du contrôle vers la banque émettrice. La décision d’accepter ou de refuser la transaction dépend alors de l’autorisation en ligne accordée par l’établissement bancaire. Or, les politiques d’autorisation varient d’un établissement à un autre. Un contrôle qui devrait être binaire — une carte expirée est rejetée — devient soumis à des règles d’interprétation hétérogènes.
Pour approfondir le sujet
Protection carte bancaire sans contact : 3 solutions pour votre sécurité
Le paiement NFC expose vos données au sniffing et au clonage à distance. Découvrez les dispositifs concrets pour bloquer les ondes frauduleuses. Lire la suite
Actualités liées
Des cartes de crédit périmées réactivées par des chercheurs pour effectuer des paiements non autorisés
Des chercheurs affiliés à l'Université du Massachusetts à Amherst ont découvert qu'il est possible d'effectuer des paiements avec certaines cartes de crédit sans contact périmées, un procédé détaillé lors de la récente conférence USENIX Security 2026. Raja Hasnain Anwar, Gerard… Lire la suite
Carte zombie : Une carte de crédit Visa expirée peut être utilisée pour des achats
Saviez-vous qu'il existe encore une bonne raison de détruire physiquement votre carte de crédit périmée ?nnnnnnDes recherches scientifiques ont démontré que la date d'expiration utilisée par les terminaux de paiement sur certaines cartes sans contact n'était pas efficacement protégée contre la… Lire la suite
Zéro paywall. Zéro pub.
DCOD reste en accès libre grâce à vos contributions. Chaque café compte.
