Les chercheurs n’en sont pas restés à la théorie. Ils ont testé leur méthode avec de vraies cartes expirées chez cinq grandes banques américaines, sur des terminaux de commerce et d’épicerie, avec des montants allant jusqu’à 500 dollars. Le succès n’a pas été au rendez-vous à chaque fois. Tout dépend de la banque émettrice. Certaines vérifient uniquement que le numéro de compte est actif, sans se soucier de savoir si la carte précise utilisée est bien celle en cours de validité, et laissent alors passer le paiement frauduleux. D’autres, plus prudentes, rejettent la transaction en constatant l’incohérence.

L’attaque, baptisée « Zombie Card », repose sur deux smartphones placés en intermédiaires invisibles. Le premier est collé contre la carte périmée, le second contre le terminal de paiement. Les deux appareils communiquent entre eux et relaient fidèlement les informations, sauf que les chercheurs modifient au passage la date d’expiration de la carte, qu’ils remplacent discrètement par une date encore valide. Pire, le noyau Visa transmet à la banque un TVR entièrement à zéro. Le TVR, c’est le champ qui raconte ce que le terminal a vérifié et ce qui a coincé. Rempli de zéros, il ne raconte plus rien, du coup la banque autorise une transaction sans savoir que les contrôles d’en face ont été contournés.

Les chercheurs précisent avoir alerté Visa dès mai 2025, avec un rapport détaillé incluant preuve de concept et traces techniques. Le dossier serait en cours d’examen, mais ni Visa ni les banques concernées n’ont, à ce jour, confirmé de correctif. Le code de leur outil n’a pas été publié, jugé trop directement réutilisable à des fins frauduleuses. Leur recommandation reste simple en attendant : détruire réellement ses anciennes cartes, plutôt que de les laisser pour mortes.

En France, la portée pratique reste limitée. Le sans contact plafonne à 50 euros par paiement, 150 euros cumulés et cinq opérations avant de réclamer le code. Surtout, le numéro de carte change intégralement à chaque renouvellement, ce qui rend l’attaque inopérante dans la plupart des cas. La faille n’en reste pas moins une illustration saisissante de la manière dont un détail technique, l’absence de signature cryptographique sur un champ critique, peut ouvrir une brèche que personne n’avait pensée à vérifier.

Sources : Numerama, Korben, Les Numériques