Carte bancaire expirée : l’attaque ‘Zombie Cards Back Online’ expliquée

Imaginez un monde où votre carte bancaire expirée, rangée depuis des années dans un tiroir poussière, pourrait soudainement être utilisée pour un achat sans que vous ne vous en rendiez compte. C’est précisément ce que permet l’attaque nommée ‘Zombie Cards Back Online’, découverte par des chercheurs de l’université du Massachusetts à Amherst. Cette vulnérabilité, dévoilée lors de la conférence USENIX Security 2026, met en lumière une faille technique insoupçonnée dans le protocole EMV, qui sous-tend les paiements sans contact.

L’attaque repose sur un mécanisme ingénieux : le relais NFC. Les chercheurs ont montré qu’en plaçant deux smartphones entre la carte expirée et le terminal de paiement, il est possible de modifier la date d’expiration en temps réel. Le protocole EMV, bien que conçu pour sécuriser les transactions, laisse une partie des données circuler en clair. Cela permet à un intermédiaire de masquer la date d’expiration lue par le terminal, tout en laissant les vérifications de la carte apparaître comme normales. Pour Visa, cette faille est une réalité depuis mai 2025, mais aucun correctif n’a été confirmé à ce jour. Une situation qui laisse le secteur de la banque face à un dilemme : sécurité vs. fluidité.

Quel est le risque concret pour les utilisateurs ? Rassurez-vous, l’attaque n’est pas encore exploitée à grande échelle. Elle nécessite un accès physique à la carte, ce qui limite la portée. Cependant, si une carte expirée traîne dans un tiroir ou une brocante, elle devient une cible potentielle. La solution la plus simple reste la déstruction totale de la carte, puce et antenne incluses. En France, le plafond de 50 euros par transaction sans contact agit comme un bouclier supplémentaire, limitant les pertes potentielles. Et si la France affiche un taux de fraude inférieur à 0,05 % en 2025, le secteur reste vigilant face à des menaces émergentes.

Les avancées technologiques offrent pourtant une lueur d’espoir. Les portefeuilles mobiles, qui génèrent des données de transaction dynamiques, sont bien plus résistants à ce type d’attaque. Contrairement aux cartes plastiques, qui répètent les mêmes informations, les smartphones renouvellent constamment les codes de sécurité. Alors que Visa tarde à réagir, les utilisateurs doivent rester prudents : détruire les cartes expirées et privilégier les solutions numériques. La prochaine étape ? Un correctif technique de Visa, ou peut-être une évolution du protocole EMV. En attendant, la paire de ciseaux reste un allié inattendu dans la lutte contre la fraude. Et vous, seriez-vous déjà passé à la carte virtuelle ?

Sources

• Source 1

À très vite sur l’EternoStation.