Une vulnérabilité technique identifiée par des chercheurs de l'université du Massachusetts à Amherst met en lumière une faille dans le protocole de paiement sans contact EMV. Cette brèche permet, sous certaines conditions, d'effectuer des transactions avec des cartes bancaires officiellement expirées, soulevant des questions sur l'arbitrage entre fluidité des paiements et sécurité des données.
Le mécanisme de la faille Zombie Cards
Présentée lors de la conférence USENIX Security 2026, l'attaque baptisée « Zombie Cards Back Online » exploite une faiblesse dans la gestion des données transmises entre la carte et le terminal. Le protocole EMV, dans sa configuration Visa testée par les chercheurs, ne lie pas cryptographiquement la date d'expiration lue par le terminal à la signature numérique de la carte. En utilisant deux smartphones comme relais NFC, il est possible de modifier cette date à la volée, rendant la carte « active » aux yeux du terminal de paiement.
La priorité donnée à la rapidité des transactions
Si les configurations Mastercard, American Express et Discover se sont montrées résistantes lors des tests, la vulnérabilité persiste chez Visa. Selon Raja Hasnain Anwar, l'un des auteurs de l'étude, cette faille résulte d'un choix délibéré du secteur : pour garantir une expérience utilisateur fluide et une compatibilité avec les terminaux anciens, seule une partie des mécanismes de sécurité disponibles est réellement activée lors d'une transaction. Bien que Visa ait été alerté dès mai 2025, aucun correctif n'a été confirmé à ce jour.
Risques réels et mesures de précaution
Bien qu'aucune fraude massive n'ait été documentée, cette démonstration souligne l'importance de la gestion physique des moyens de paiement. L'attaque nécessite un accès direct à la carte, ce qui rend les cartes expirées conservées dans des tiroirs ou jetées sans précaution particulièrement vulnérables. La destruction physique de la puce et de l'antenne demeure, à ce stade, la protection la plus efficace.
Le contexte de la fraude bancaire
En France, le cadre sécuritaire limite l'impact de telles failles grâce au plafonnement des transactions sans contact à 50 euros et aux dispositifs de remboursement en cas de fraude. L'Observatoire de la sécurité des moyens de paiement de la Banque de France note un taux de fraude global inférieur à 0,05 % au premier semestre 2025. Toutefois, les experts rappellent que les portefeuilles mobiles, qui génèrent des données dynamiques à chaque transaction, offrent une sécurité supérieure à celle de la carte plastique traditionnelle, dont les données restent statiques.