Les cartes zombies sont de retour en ligne
Trois chercheurs ont démontré qu’une carte bancaire périmée peut, dans certaines conditions, redevenir opérationnelle en paiement sans contact.
Une carte censée être morte, l’est-elle réellement ? C’est à cette question qu’ont voulu répondre Raja Hasnain Anwar, Gerard DeCunha et Muhammad Taqi Raza, chercheurs à l’université du Massachusetts Amherst. Ils ont testé ce qui se passe réellement lorsqu’on tente de payer avec une carte officiellement expirée.
Ils partent d’un postulat simple : la date d’expiration n’est pas une propriété gravée dans la puce de la carte, mais une simple case cochée par un terminal ou par une banque, sans lien cryptographique garanti entre les deux. Baptisée « Zombie Card », cette méthode, présentée à la conférence USENIX Security à Baltimore mi-août, repose sur deux smartphones agissant comme intermédiaires invisibles. Le premier est collé contre la carte périmée, le second contre le terminal de paiement en boutique. Les deux appareils communiquent entre eux pour relayer les informations.
Les chercheurs modifient la date d’expiration de la carte, la remplaçant par une date encore valide, sans toucher aux autres informations échangées.
Le paiement sans contact repose sur le protocole EMV, décliné selon les réseaux : Visa, Mastercard, Discover et American Express. Lors d’une transaction, la date d’expiration apparaît à deux reprises : une première fois dans un champ que lit le terminal, et une seconde fois dans les données transmises à la banque émettrice pour l’autorisation finale.
Chez Mastercard, Discover et American Express, ces deux occurrences sont vérifiées par des mécanismes cryptographiques qui détectent la moindre altération, entraînant l’échec de la transaction. En revanche, chez Visa, la date lue par le terminal n’est pas incluse dans la signature numérique de la carte. Un attaquant peut donc la remplacer par une date future, permettant ainsi à la transaction de passer.
Les chercheurs ont testé leur méthode avec de vraies cartes expirées, chez cinq grandes banques américaines, sur des terminaux de commerce et d’épicerie, avec des montants allant jusqu’à 500 dollars. Le succès n’a pas été constant, dépendant de la banque émettrice. Certaines vérifient uniquement que le numéro de compte est actif, tandis que d’autres rejettent la transaction en constatant une incohérence.
Les chercheurs ont alerté Visa dès mai 2025, avec un rapport détaillé incluant preuve de concept et traces techniques. Le dossier est en cours d’examen, mais ni Visa ni les banques concernées n’ont confirmé de correctif à ce jour. Ils n’ont pas publié le code de leur outil, jugé trop facilement réutilisable à des fins frauduleuses, et recommandent de détruire réellement ses anciennes cartes.
Source : Numerama
