Dans un monde où les transactions financières numériques sont devenues la norme, la sécurité des paiements sans contact est une préoccupation constante pour les consommateurs comme pour les institutions bancaires. Récemment, une équipe de trois chercheurs de l’Université du Massachusetts à Amherst a mis en lumière une vulnérabilité étonnante au sein du réseau Visa, permettant de réaliser des achats avec une carte bancaire pourtant officiellement périmée. Cette découverte, présentée lors de la prestigieuse conférence USENIX Security 2026 sous le nom évocateur de « Zombie Cards Back Online », secoue les fondations de la confiance numérique et soulève des questions cruciales sur la robustesse des protocoles de paiement actuels. L’exploit, qui a permis de valider des transactions de faible montant dans un supermarché, repose sur une manipulation astucieuse des données échangées entre la carte et le terminal de paiement, exploitant une anomalie cryptographique que l’on pensait impénétrable. Nous allons explorer en détail les mécanismes de cette faille, comprendre pourquoi elle a pu exister et analyser ses implications potentielles pour l’écosystème bancaire mondial.
La mécanique des ‘Zombie Cards’ : Une date d’expiration défaillante
Le cœur de cette prouesse technique réside dans une manipulation ingénieuse de la date d’expiration de la carte bancaire, un champ d’information que l’on croyait sécurisé par des mécanismes cryptographiques robustes. Les chercheurs ont développé une application maison, insérée comme un relais entre la carte physique et le terminal de paiement NFC, dont la fonction principale est d’intercepter et de modifier les échanges de données. Plus précisément, cette application trafique la date d’expiration de la carte telle qu’elle est lue par le terminal, lui présentant une date valide alors que la carte est en réalité périmée. L’astuce fonctionne grâce à une particularité du réseau Visa, où la date d’expiration est annoncée à deux endroits distincts. Le ‘kernel Visa’, qui est le microprogramme du terminal de paiement, consulte une première date pour ses contrôles locaux de validité, mais cette date n’est curieusement pas liée à une signature cryptographique. En parallèle, la banque émettrice consulte une autre date, celle-ci étant censée être la référence officielle. Ce découplage inattendu entre les deux informations est la porte d’entrée de la vulnérabilité.
Normalement, ces deux dates devraient être cryptographiquement liées pour garantir leur intégrité et leur cohérence, mais les chercheurs ont démontré que ce n’est pas le cas sur le réseau Visa. Pire encore, le kernel transmet à la banque un champ appelé TVR (Terminal Verification Results) entièrement rempli de zéros. Le TVR est un indicateur crucial qui informe la banque des vérifications effectuées par le terminal et des éventuels problèmes rencontrés. Un TVR à zéro signifie que le terminal n’a signalé aucune anomalie, contournant de fait les contrôles de sécurité. En conséquence, la banque autorise la transaction sans être informée que les vérifications locales, notamment celle de la date d’expiration, ont été contournées. Cette lacune dans la communication et la vérification des données permet à une carte périmée de simuler une carte valide, du moins aux yeux du terminal de paiement, ouvrant ainsi la voie à des transactions frauduleuses.
Portée et limites de l’exploit : Une vulnérabilité circonscrite mais significative
Bien que la démonstration des ‘Zombie Cards’ soit un tour de force technique indéniable, sa portée réelle et ses implications pratiques sont plus nuancées que le simple fait de payer avec une carte périmée. Les chercheurs ont mené leurs expérimentations sur cinq banques américaines et ont constaté que seule l’une d’entre elles a validé l’opération de bout en bout dans des conditions de laboratoire, permettant des paiements allant jusqu’à 500 dollars. Une autre banque a laissé passer la validation côté terminal mais a refusé la transaction au niveau de son propre système, indiquant que des contrôles additionnels sont parfois en place. En revanche, les ‘kernels’ des réseaux de paiement concurrents comme Mastercard, American Express et Discover ont systématiquement rejeté les modifications de la date d’expiration, démontrant une meilleure robustesse face à ce type d’attaque.
Par ailleurs, l’exploit nécessite plusieurs conditions spécifiques pour être réalisable. Il faut d’abord avoir la carte expirée physiquement à portée de la technologie NFC pour pouvoir relayer et modifier les communications. Ensuite, il est nécessaire que la banque ait réémis la nouvelle carte avec le même numéro de compte que l’ancienne, une pratique que les auteurs de l’étude décrivent comme courante chez certains émetteurs américains. Ces contraintes limitent la généralisation de l’attaque et la rendent moins simple à exécuter à grande échelle. Il est également important de noter que toutes les expérimentations ont eu lieu aux États-Unis, et il n’y a aucune garantie que le même scénario se produirait sur un terminal de paiement français, où les règles du sans contact sont différentes, avec des plafonds de 50 euros par paiement, 150 euros cumulés et un nombre limité de cinq opérations avant la demande du code PIN. De plus, en France, le numéro de carte bancaire change intégralement à chaque renouvellement, ce qui rend cette faille moins pertinente dans ce contexte spécifique.
Un historique des failles du paiement sans contact
La découverte des ‘Zombie Cards’ n’est pas la première faille à ébranler la confiance dans le paiement sans contact, une technologie pourtant plébiscitée pour sa rapidité et sa commodité. Il y a six ans, l’équipe de David Basin avait déjà publié une étude intitulée « The EMV Standard: Break, Fix, Verify », démontrant comment une application Android agissant comme un relais sur une carte Visa sans contact pouvait permettre de réaliser des paiements sans avoir à saisir de code PIN. Cette précédente vulnérabilité soulignait déjà les complexités et les compromis inhérents à la conception des protocoles EMV (Europay, Mastercard, Visa), qui régissent la sécurité des cartes à puce et des terminaux de paiement. Ces travaux successifs mettent en lumière la difficulté de concevoir des systèmes de paiement entièrement sécurisés face à l’ingéniosité des chercheurs en sécurité et des acteurs malveillants.
Ce qui distingue la faille des ‘Zombie Cards’ des précédentes, c’est précisément son ciblage de la date d’expiration, un élément jusqu’alors considéré comme un contrôle de sécurité fondamental. Alors que les précédentes attaques se concentraient sur le contournement du code PIN ou d’autres mécanismes d’authentification, cette nouvelle vulnérabilité démontre que même les informations de base de la carte peuvent être manipulées si les protocoles cryptographiques ne sont pas mis en œuvre avec une rigueur absolue. Cela rappelle l’importance d’une vérification constante et d’une mise à jour régulière des standards de sécurité pour anticiper et contrer les menaces émergentes dans un paysage technologique en constante évolution.
Bilan et perspectives
La révélation des ‘Zombie Cards’ par les chercheurs de l’Université du Massachusetts à Amherst constitue un avertissement sérieux pour l’industrie du paiement et, plus spécifiquement, pour le réseau Visa. Bien que la portée pratique de l’exploit soit circonscrite par des conditions spécifiques, elle met en évidence une faiblesse fondamentale dans l’architecture de sécurité des transactions sans contact, notamment l’absence de liaison cryptographique entre les différentes vérifications de la date d’expiration et la transmission d’un TVR non informatif à la banque. Les chercheurs ont agi de manière responsable en informant Visa de cette vulnérabilité dès mai 2025, avec une relance en décembre, mais aucune annonce de correctif n’a été faite à ce jour par Visa ou les banques concernées. Cette inertie est préoccupante et souligne la nécessité d’une réactivité accrue face aux menaces de sécurité.
Cette situation rappelle que la course à l’innovation dans les services financiers doit s’accompagner d’une vigilance constante en matière de cybersécurité. Les consommateurs dépendent de la robustesse de ces systèmes pour la protection de leurs actifs, et les institutions bancaires ont la responsabilité de garantir cette sécurité. À l’avenir, il sera essentiel que les protocoles EMV soient réévalués et renforcés pour éliminer ces ‘angles morts’ cryptographiques. La confiance dans le paiement numérique repose sur l’assurance que même les informations les plus basiques, comme la date d’expiration d’une carte, sont infalsifiables. L’épisode des ‘Zombie Cards’ est un rappel brutal que cette assurance est parfois mise à mal par des détails techniques qui, bien que complexes, peuvent avoir des conséquences significatives sur la sécurité des transactions mondiales.
