Cette carte Visa expirée dans votre tiroir peut encore acheter des courses
La plupart des gens coupent un coin de leur carte expirée et la jettent à la poubelle, ou la laissent dans un tiroir parce que jeter une carte bancaire leur paraît mal. Trois chercheurs de l'université du Massachusetts à Amherst viennent d'apporter un argument solide en faveur de sa destruction en bonne et due forme.
Muhammad Taqi Raza, Raja Hasnain Anwar et Gerard DeCunha ont présenté ces travaux, qu'ils appellent l'attaque Zombie Card, au USENIX Security Symposium à Baltimore du 12 au 14 août. Le dispositif consiste en deux téléphones compatibles NFC placés entre la carte et le terminal du magasin. L'un lit la carte, l'autre réécrit la date d'expiration avec une valeur future, et le terminal l'accepte. La raison tient à une faille dans l'implémentation sans contact de Visa, le Kernel 3 : la date d'expiration n'est pas liée aux données que la carte signe cryptographiquement, donc la modifier ne casse rien qui soit vérifié. Selon Anwar, presque n'importe quelle date future fonctionne. La même altération a été tentée sur Mastercard, American Express et Discover, et les trois l'ont refusée.
Il ne s'agissait pas de simples résultats de laboratoire. L'équipe a fait passer des transactions à de vraies caisses, 2,79 dollars chez un détaillant, 3,19 dollars dans une épicerie, ainsi que des montants allant jusqu'à 500 dollars en test. Cela fonctionne tant que le compte associé à la carte reste ouvert sous le même numéro, ce qui est précisément le cas quand votre banque vous envoie une carte de remplacement. Cela nécessite aussi la carte physique, ou un contact prolongé et rapproché avec elle. Les chercheurs ont informé Visa en mai 2025 ; l'équipe rouge de Visa a réussi à reproduire l'attaque, mais aucun correctif n'a été confirmé et aucun CVE n'a été attribué. Personne n'a signalé d'utilisation réelle de cette technique.
Le conseil de Raza est sans détour : jetez toujours une carte expirée, et continuez à surveiller les relevés des comptes que vous avez fermés. Détruisez la puce et la bande magnétique, pas seulement le plastique autour. Rien de tout cela ne touche votre ordinateur, ce qu'il vaut la peine de préciser clairement : le contrôle Confidentialité et comptes de Tendvane couvre les comptes auxquels votre PC est connecté, et une carte dans un tiroir de cuisine n'en fait pas partie.