Des chercheurs américains viennent de mettre en lumière un comportement pour le moins surprenant. Il apparaît que certaines cartes bancaires expirées, notamment des Visa, resteraient utilisables pour des paiements sans contact dans des conditions bien précises. L’information bouscule une conviction largement partagée d’une carte arrivée à échéance devient immédiatement inactive. Derrière ce qui ressemble à une « bizarrerie » technique se cachent de vraies questions de sécurité pour les millions de porteurs de cartes qui conservent négligemment leurs anciens plastiques au fond d’un tiroir.
Une découverte qui contredit l’intuition commune
Jusqu’à présent, l’idée était simple. Une carte bancaire a une durée de validité, généralement de deux à trois ans, et une fois la date d’expiration dépassée, elle ne doit plus être acceptée nulle part. Or, des travaux menés par des chercheurs de l’Université du Massachusetts Amherst, suggèrent que la réalité est plus nuancée. Dans certains scénarios, une carte Visa périmée depuis plusieurs mois a pu être utilisée sans encombre pour un paiement sans contact.
Les chercheurs ont baptisé cette attaque « Zombie Card » (cartes zombies). Le terme désigne ces cartes théoriquement mortes, mais qui conservent une forme d’activité résiduelle, comme si elles refusaient de disparaître tout à fait.
Pourquoi une carte périmée peut-elle encore fonctionner en sans contact ?
Le cœur du problème réside dans le fait que, dans la configuration Visa sans contact, la date d’expiration lue par le terminal n’est pas protégée par la signature cryptographique de la carte. Un attaquant placé en « man-in-the-middle » peut donc la remplacer par une date future quelconque. La carte continue de fournir des réponses cryptographiques valides, et certaines banques (qui se contentent de vérifier que le compte est actif) autorisent alors la transaction.
Il ne s’agit pas d’une faille généralisée car tous les terminaux ne se comportent pas de la même manière, et toutes les cartes ne sont pas concernées. Les chercheurs ont notamment pointé du doigt des cartes Visa, mais le phénomène pourrait dépendre de multiples facteurs comme l’émetteur, le type de terminal, le montant, voire le pays. Ce qui est sûr, c’est que le mythe de la carte expirée immédiatement neutralisée mérite d’être fortement relativisé.
Un risque concret pour les consommateurs distraits
En France, le paiement sans contact est plafonné à 50 euros par opération, ce qui limite déjà le préjudice immédiat en cas d’utilisation frauduleuse. Mais imaginez une personne qui jette une carte périmée sans la détruire, ou qui la laisse traîner dans une boîte à gants. Si cette carte tombe entre de mauvaises mains avec une date d’expiration falsifiée en amont.et que le terminal accepte la transaction, le titulaire pourrait se retrouver à devoir contester des débits qu’il croyait impossibles.
Les recommandations des experts convergent : il faut physiquement détruire les anciennes cartes bancaires. Couper la puce, sectionner la bande magnétique, voire rendre le plastique totalement inutilisable. Car même si le sans contact ne lit pas la bande, une carte « zombie » reste un objet sensible.
Vers une clarification des émetteurs et des banques
Il est plus que probable que les banques et les réseaux de paiement réagissent rapidement. Certaines pourraient renforcer les contrôles côté terminaux, d’autres clarifier leur communication sur le cycle de vie des cartes. Les porteurs de cartes ont tout intérêt à adopter des réflexes plus rigoureux. Conserver moins longtemps les anciennes cartes, les neutraliser dès leur remplacement, et privilégier les portefeuilles mobiles comme Apple Pay ou Google Pay, qui réduisent l’exposition du plastique physique.
Cette affaire aura au moins eu le mérite de rappeler que la sécurité des paiements repose aussi sur la vigilance de chacun. Alors, la prochaine fois que votre banque vous enverra une nouvelle carte, ne rangez pas l’ancienne « au cas où » mais détruisez-la complètement. Votre tranquillité d’esprit en dépend.
