Une carte bancaire expirée devrait être inutilisable. Pourtant, des chercheurs viennent de démontrer qu’une ancienne carte peut, dans certaines conditions, être utilisée pour effectuer un paiement sans contact.

Une carte bancaire arrivée à expiration semble, en apparence, être devenue totalement inoffensive. On reçoit une nouvelle carte, l’ancienne est rangée dans un tiroir ou jetée à la poubelle et l’on considère généralement que son histoire est terminée.

Mais une récente étude de chercheurs de l’Université du Massachusetts Amherst vient remettre en question cette idée.

Présentée lors de la conférence USENIX Security 2026, l’étude intitulée « Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments » démontre qu’une carte bancaire expirée peut, dans certaines configurations, être « réanimée » pour effectuer un paiement sans contact.

Les chercheurs parlent de « Zombie Card », ou « carte zombie ».

Et contrairement à ce que pourrait laisser penser le terme, il ne s’agit pas d’un simple dysfonctionnement d’une banque : le problème concerne la manière dont certaines informations sont échangées et vérifiées lors d’un paiement sans contact.

💳 Une carte expirée n’est pas forcément aussi « morte » qu’on le pense

Normalement, lorsqu’une carte arrive à sa date d’expiration, elle doit cesser d’être utilisable.

La date inscrite sur la carte constitue notamment une information utilisée dans le processus de paiement. Dans un fonctionnement classique, un terminal doit pouvoir déterminer que la carte n’est plus valide.

Le problème mis en évidence par les chercheurs vient du fait que la date d’expiration utilisée par le terminal n’est pas suffisamment protégée dans certaines transactions sans contact.

L’étude a montré que, dans certaines configurations Visa, un attaquant placé entre la carte et le terminal peut modifier l’information correspondant à la date d’expiration avant qu’elle n’arrive au terminal.

Le terminal peut alors croire que la carte possède une date d’expiration future.

Le plus inquiétant est que les mécanismes cryptographiques habituels de la carte peuvent malgré tout continuer à fonctionner normalement.

Autrement dit :

La carte est réellement expirée, mais le terminal peut être trompé sur sa date d’expiration.

L’étude de l’USENIX précise que le problème a été observé notamment avec des transactions sans contact utilisant Visa Kernel 3. Les chercheurs indiquent avoir testé différentes configurations, plusieurs terminaux, commerçants et cinq grandes banques américaines.

📱 Deux smartphones peuvent suffire

L’attaque est particulièrement intéressante parce qu’elle ne nécessite pas forcément du matériel extrêmement spécialisé.

Les chercheurs ont construit un système utilisant deux smartphones équipés de capacités NFC, permettant de jouer le rôle d’intermédiaire entre la carte bancaire et le terminal.

Le principe général est celui d’une attaque dite Man-in-the-Middle, ou attaque de l’homme du milieu.

Schématiquement :

Carte bancaire expirée → dispositif intermédiaire → terminal de paiement

L’intermédiaire transmet les informations de la carte au terminal mais peut modifier certaines données avant de les transmettre.

Dans le cas étudié, la date d’expiration présentée au terminal peut être remplacée par une date située dans le futur.

L’Université du Massachusetts Amherst explique que les chercheurs ont réussi à effectuer cette manipulation avec du matériel grand public et que le dispositif pouvait fonctionner dans des conditions de paiement en magasin.

⚠️ Visa particulièrement concerné par les tests

Il est important de ne pas transformer cette découverte en affirmation selon laquelle toutes les cartes bancaires seraient vulnérables.

Les chercheurs ont testé différentes technologies et différents réseaux.

Leurs résultats montrent notamment une vulnérabilité des transactions sans contact Visa dans certaines configurations.

Ils indiquent en revanche que les protections utilisées dans d’autres environnements, notamment Mastercard et Discover dans les configurations testées, empêchaient l’attaque de fonctionner de la même manière.

Cela signifie que :

❌ Ce n’est pas « toutes les cartes bancaires sont piratables ».

❌ Ce n’est pas non plus « une carte expirée fonctionne normalement ».

✅ Il s’agit d’une faiblesse dans certaines configurations de paiement sans contact permettant de contourner la vérification de la date d’expiration.

Cette nuance est essentielle.

🔐 Pourquoi la cryptographie ne suffit-elle pas ?

C’est probablement la partie la plus intéressante de cette découverte.

On pourrait penser qu’une carte bancaire EMV est entièrement protégée cryptographiquement et qu’il serait donc impossible de modifier une information sans que la banque s’en rende compte.

Mais les systèmes de paiement sont beaucoup plus complexes.

Plusieurs acteurs interviennent :

Carte → terminal → réseau de paiement → banque du commerçant → réseau bancaire → banque du client

Toutes les informations ne sont pas nécessairement protégées de la même manière.

Selon les chercheurs, le problème vient notamment du fait que certaines données utilisées par le terminal ne sont pas liées de manière suffisamment forte aux données authentifiées par la carte.

Dans les configurations étudiées, le terminal peut donc prendre une décision concernant la date d’expiration alors que cette information n’est pas suffisamment protégée contre une modification en cours de transmission.

C’est un excellent rappel d’une règle fondamentale en cybersécurité :

Une donnée n’est réellement fiable que si toute la chaîne qui la transporte permet d’en garantir l’intégrité.

🧟‍♂️ Le vrai danger : l’ancienne carte que vous avez jetée

C’est ici que le sujet devient particulièrement concret pour le grand public.

Imaginez :

Vous recevez une nouvelle carte bancaire.
Votre ancienne carte expire.
Vous la considérez comme inutilisable.
Vous la jetez sans la détruire correctement.
Quelqu’un la récupère.
Dans une configuration vulnérable, cette personne peut potentiellement tenter l’attaque.

Les chercheurs soulignent même qu’un attaquant n’aurait pas nécessairement besoin de connaître la date d’expiration de la nouvelle carte.

Dans leur démonstration, une date future arbitraire pouvait être présentée au terminal.

C’est précisément ce qui rend la découverte préoccupante.

✂️ Première règle : ne jetez jamais une ancienne carte entière

Même si elle est expirée, détruisez-la correctement.

Ne vous contentez pas de la couper en deux.

Il est préférable de rendre inutilisables :

la puce ;
la bande magnétique ;
le numéro de carte ;
le cryptogramme visuel (CVV/CVC) ;
la date d’expiration.

Une méthode simple consiste à découper la carte en plusieurs morceaux, en veillant notamment à traverser la puce et la bande magnétique.

Certaines banques donnent leurs propres consignes de destruction : dans ce cas, suivez-les en priorité.

L’objectif est simple :

qu’une personne qui récupère les morceaux ne puisse pas reconstituer une carte exploitable.

📱 Activez les notifications bancaires

C’est probablement l’une des protections les plus efficaces pour un particulier.

Activez les notifications pour :

chaque paiement ;
chaque retrait ;
chaque paiement en ligne ;
chaque opération inhabituelle ;
les connexions à votre espace bancaire lorsque votre banque le permet.

Ainsi, vous pouvez repérer rapidement une opération que vous n’avez pas effectuée.

Cybermalveillance.gouv.fr recommande justement de vérifier régulièrement son compte bancaire afin d’identifier rapidement les débits suspects.

🔒 Utilisez les fonctions de verrouillage de votre banque

De nombreuses applications bancaires permettent aujourd’hui de contrôler directement la carte.

Selon la banque, vous pouvez parfois :

bloquer temporairement la carte ;
désactiver le paiement sans contact ;
désactiver les paiements en ligne ;
limiter les retraits ;
modifier certains plafonds ;
recevoir une alerte pour chaque opération.

Lorsque vous n’utilisez pas régulièrement votre carte, ces fonctions peuvent constituer une couche de protection supplémentaire.

🌐 Attention aux achats en ligne

La fraude ne passe pas uniquement par le sans-contact.

Une fuite de données peut également permettre à des cybercriminels de récupérer :

numéro de carte ;
date d’expiration ;
cryptogramme ;
nom du titulaire.

Cybermalveillance.gouv.fr rappelle que les coordonnées bancaires peuvent notamment être récupérées par phishing, piratage d’un compte en ligne, compromission d’un appareil informatique ou fuite de données d’un site marchand.

Il est donc préférable de ne pas enregistrer sa carte sur tous les sites marchands.

Pour un achat ponctuel, si une solution de paiement sécurisée est disponible, elle peut être préférable à l’enregistrement permanent de la carte.

🎣 Méfiez-vous surtout des faux messages de votre banque

Une découverte comme celle-ci peut malheureusement devenir un prétexte parfait pour les escrocs.

On pourrait par exemple recevoir :

« Une faille de sécurité concerne votre carte bancaire. Cliquez ici pour sécuriser votre compte. »

Ou :

« Votre carte doit être réactivée suite à une mise à jour de sécurité. »

Ou encore :

« Votre ancienne carte présente une vulnérabilité. Confirmez vos coordonnées bancaires. »

Ne cliquez pas.

Les cybercriminels utilisent régulièrement le phishing pour récupérer des coordonnées bancaires.

Cybermalveillance.gouv.fr indique que l’hameçonnage reste l’un des principaux modes opératoires utilisés pour voler des informations personnelles et bancaires.

🚨 Votre banque ne vous demandera jamais votre code de sécurité

Un faux conseiller bancaire peut vous téléphoner et prétendre qu’une fraude est en cours.

Il peut connaître :

votre nom ;
votre banque ;
une partie de votre numéro de compte ;
une ancienne transaction ;
parfois même certaines informations personnelles.

Cela ne signifie absolument pas qu’il s’agit de votre banque.

Le ministère de l’Économie rappelle qu’un conseiller bancaire ne vous demandera jamais votre code, votre mot de passe ou vos identifiants, ni de valider une opération financière simplement pour « annuler » une fraude.

Ne communiquez donc jamais :

votre mot de passe bancaire ;
votre code secret de carte ;
un code reçu par SMS ;
un code de validation affiché dans votre application bancaire ;
votre cryptogramme à une personne qui vous appelle ;
vos identifiants de banque en ligne.

📲 Une notification bancaire ne signifie pas forcément qu’il faut accepter

Autre piège classique.

Vous recevez une notification :

« Confirmez-vous cette opération ? »

Si vous n’êtes pas à l’origine du paiement :

❌ Ne validez surtout pas.

Ne vous dites pas :

« Je vais valider pour montrer à la banque que ce n’est pas moi. »

Cette technique est justement utilisée par certains escrocs.

Cybermalveillance.gouv.fr recommande d’être particulièrement vigilant face aux demandes de validation que vous n’avez pas initiées.

🔑 Sécurisez également votre téléphone et votre messagerie

Votre compte bancaire n’est pas le seul élément à protéger.

Un pirate qui prend le contrôle de votre boîte mail peut parfois accéder à :

vos confirmations de paiement ;
vos factures ;
vos comptes marchands ;
vos informations personnelles ;
des liens de récupération de comptes.

Activez donc la double authentification lorsque celle-ci est disponible.

Utilisez également un mot de passe unique et suffisamment robuste pour votre messagerie.

Et surtout :

ne réutilisez pas le même mot de passe partout.

🛡️ Gardez vos appareils à jour

Téléphone, ordinateur, navigateur et applications bancaires doivent être régulièrement mis à jour.

Les mises à jour corrigent notamment des vulnérabilités qui pourraient permettre à un attaquant de prendre le contrôle d’un appareil ou de récupérer des informations sensibles.

Cybermalveillance.gouv.fr recommande notamment de maintenir à jour le système d’exploitation, les logiciels et les applications, ainsi que d’effectuer régulièrement une analyse antivirus.

🏦 Et si vous constatez une opération frauduleuse ?

Il faut agir immédiatement.

1️⃣ Faites opposition

Contactez votre banque dès que possible.

En France, le serveur interbancaire d’opposition est également disponible 24h/24 et 7j/7 au 0 892 705 705.

2️⃣ Contactez votre banque

Signalez les opérations que vous n’avez pas réalisées et demandez la procédure de contestation/remboursement.

3️⃣ Conservez les preuves

Gardez :

captures d’écran ;
SMS ;
e-mails ;
relevés bancaires ;
notifications ;
numéro de dossier ;
échanges avec la banque.

4️⃣ Signalez la fraude

Pour certaines fraudes à la carte bancaire, le dispositif Perceval permet de signaler les opérations frauduleuses.

Le signalement ne remplace toutefois pas nécessairement un dépôt de plainte.

🚨 Ne paniquez pas : ce n’est pas une raison pour changer de carte immédiatement

Il faut également remettre cette découverte dans son contexte.

Les chercheurs n’ont pas démontré que toutes les cartes Visa expirées peuvent être utilisées par n’importe qui.

L’attaque nécessite notamment :

une carte physique ;
une transaction sans contact ;
un dispositif intermédiaire ;
une proximité avec la carte ;
une configuration de paiement vulnérable.

L’étude concerne donc un scénario d’attaque relativement spécifique.

Elle n’implique pas que votre ancienne carte va soudainement se mettre à effectuer des achats toute seule.

L’objectif de cette découverte est surtout de montrer qu’une hypothèse considérée comme évidente — « une carte expirée est automatiquement inutilisable » — n’est pas suffisamment fiable comme mécanisme de sécurité.

💡 Ce qu’il faut retenir

🟢 Pour les particuliers

Une carte expirée doit quand même être considérée comme une donnée sensible.

Ne la conservez pas inutilement.

Ne la jetez pas entière.

Détruisez-la correctement.

Surveillez régulièrement votre compte.

Activez les notifications bancaires.

Utilisez la double authentification.

Ne communiquez jamais vos codes.

Et méfiez-vous des SMS, appels et e-mails prétendant provenir de votre banque.

🧠 La cybersécurité ne s’arrête pas lorsque la carte expire

Cette découverte rappelle une chose essentielle : un objet physique peut être arrivé en fin de vie sans que toutes les informations qui lui sont associées disparaissent pour autant.

Une ancienne carte peut toujours contenir :

un numéro de carte ;
une puce ;
des informations permettant certaines interactions avec les terminaux ;
des données liées à un compte bancaire toujours actif.

C’est pourquoi une carte bancaire ne devrait jamais être considérée comme un simple morceau de plastique une fois expirée.

Elle doit être traitée comme une ancienne clé d’accès à détruire correctement.

🔎 Et maintenant ?

Les chercheurs recommandent notamment de renforcer la protection des informations liées à la date d’expiration et d’assurer une vérification cohérente de l’état de la carte tout au long de la chaîne de paiement.

L’étude montre également que la sécurité ne repose pas uniquement sur la banque ou le réseau Visa : le terminal, le logiciel de paiement, la carte et l’établissement bancaire doivent tous appliquer correctement les contrôles de sécurité.

Au moment de la publication de cette actualité, aucune information publique ne permet d’affirmer qu’un correctif généralisé a déjà été déployé pour toutes les configurations concernées.

🛡️ La règle d’or

Carte expirée ≠ carte à jeter n’importe comment.

Coupez-la correctement, détruisez la puce et la bande magnétique, surveillez vos comptes et ne communiquez jamais vos informations bancaires à quelqu’un qui vous contacte spontanément.

Et surtout, si quelqu’un vous appelle en prétendant vouloir vous protéger contre cette faille :

raccrochez et contactez vous-même votre banque avec le numéro officiel.

C’est probablement le meilleur moyen d’éviter qu’une faille technique ne se transforme en véritable fraude.