Dans les tiroirs ou les poubelles, des millions de cartes bancaires périmées dorment paisiblement. Leur date d’expiration dépassée devrait les rendre inutilisables. Pourtant, des chercheurs de l’université du Massachusetts Amherst viennent de démontrer qu’une faille critique dans le protocole Visa permet de les ramener à la vie pour effectuer des paiements frauduleux jusqu’à 500 dollars.
Une attaque par relais qui exploite une faiblesse cryptographique
Le mécanisme mis au jour repose sur une technique sophistiquée appelée « relay attack » ou attaque par relais. Concrètement, deux smartphones Android modifiés servent d’intermédiaires entre la carte bancaire expirée et le terminal de paiement. Le premier appareil lit les informations de la carte via NFC, tandis que le second communique avec le terminal du commerçant. Entre ces deux points, les données transitent par Internet, permettant aux attaquants de modifier à la volée certaines informations transmises.
La faille réside dans l’architecture même du protocole Visa. Comme l’expliquent les chercheurs Raja Hasnain Anwar, Gerard DeCunha et Muhammad Taqi Raza dans leur étude : « La date d’expiration n’a rien d’une propriété gravée dans la puce de la carte, c’est une simple case cochée par un terminal ou par une banque, sans lien cryptographique garanti entre les deux. » Contrairement à Mastercard, American Express et Discover, Visa n’intègre pas la date d’expiration dans la signature numérique générée par la puce lors d’une transaction sans contact. Cette omission permet aux pirates de remplacer la date périmée par une date valide sans invalider la signature cryptographique qui authentifie la transaction.
L’attaque ne nécessite aucune modification physique de la carte de crédit elle-même. La puce EMV continue de fonctionner normalement, générant des codes d’authentification valides pour chaque transaction. Seule la date d’expiration transmise au terminal est falsifiée pendant le transit des données.
Des tests en conditions réelles
Pour vérifier leur hypothèse, les trois universitaires ont mené des expérimentations concrètes auprès de cinq grandes banques américaines. Les résultats s’avèrent préoccupants : une institution financière sur cinq a laissé passer des transactions effectuées avec des cartes expirées, pour des montants allant de 1 à 500 dollars.
Les chercheurs ont également identifié une défaillance dans les processus de vérification bancaire. Certains établissements se contentent de contrôler l’existence du compte associé sans valider spécifiquement la carte utilisée pour la transaction.
Visa et ses concurrents : des niveaux de sécurité inégaux
L’étude comparative menée par l’équipe du Massachusetts révèle une différence fondamentale entre les réseaux de paiement. Lorsque les chercheurs tentent d’appliquer la même technique aux cartes Mastercard, American Express ou Discover, l’attaque échoue systématiquement. Ces réseaux intègrent la date d’expiration dans leurs mécanismes de vérification cryptographique, rendant impossible toute modification sans invalider l’ensemble de la transaction.
Cette disparité soulève des questions sur l’évolution des standards de sécurité dans l’industrie du paiement. Alors que le protocole EMV (Europay, Mastercard, Visa) sert de base commune, chaque réseau développe son propre « noyau » avec des choix d’implémentation spécifiques. Les décisions prises par Visa concernant la protection de la date d’expiration apparaissent aujourd’hui comme une erreur de conception qui persiste depuis des années. Les chercheurs soulignent dans leur publication que « nos résultats montrent que les transactions sans contact Visa sont susceptibles d’être altérées par une attaque de l’homme du milieu en raison d’un manque de protection efficace de l’intégrité des données ».
Un silence préoccupant face à l’alerte
Les chercheurs ont contacté Visa dès mai 2025, fournissant un rapport détaillé, une preuve de concept fonctionnelle et des traces techniques complètes. Face à l’absence de réponse, ils ont relancé le réseau de paiement en décembre 2025, élargissant également leurs alertes aux banques concernées. Quinze mois plus tard, en août 2026, aucun correctif n’a été confirmé publiquement par Visa ou les institutions financières testées.
Cette inertie interroge sur la gouvernance de la sécurité dans l’écosystème des paiements électroniques. Contrairement aux vulnérabilités logicielles classiques qui reçoivent rapidement un identifiant CVE et font l’objet de correctifs coordonnés, cette faille protocolaire semble tomber dans un vide réglementaire. Chaque acteur – Visa, les banques émettrices, les fabricants de terminaux – peut supposer que la responsabilité incombe aux autres, créant une situation où personne ne prend véritablement en charge la résolution du problème.
Les chercheurs ont fait preuve de responsabilité en ne publiant pas le code source de leur outil d’exploitation. Néanmoins, la présentation publique à USENIX Security 2026 et la couverture médiatique subséquente, notamment dans Help Net Security, signifient que la vulnérabilité est désormais connue de la communauté des experts en sécurité informatique.
Des risques variables selon les géographies
L’exploitation concrète de cette faille présente des difficultés pratiques qui limitent sa portée immédiate. En France notamment, le plafond de 50 euros par transaction sans contact réduit considérablement l’intérêt financier d’une telle attaque comparé aux 500 dollars possibles aux États-Unis. Par ailleurs, les banques françaises renouvellent systématiquement le numéro de carte lors de l’émission d’une nouvelle carte bancaire, ce qui empêche théoriquement l’utilisation de l’ancienne puce même avec une date modifiée.
Face à cette menace, les experts recommandent aux consommateurs de modifier leurs habitudes concernant les cartes périmées. Jeter une carte bancaire expirée sans la détruire physiquement constitue désormais un risque. La simple découpe en deux ne suffit plus : il convient de cisailler spécifiquement la puce EMV pour la rendre définitivement inutilisable.
