Une carte bancaire arrivée à expiration est généralement considérée comme inutilisable. Lorsque la nouvelle carte arrive, l’ancienne finit souvent au fond d’un tiroir ou directement à la poubelle, parfois simplement coupée en deux. Une étude présentée en août 2026 lors de la conférence internationale USENIX Security 2026 vient pourtant remettre en cause cette certitude.
Trois chercheurs de l’Université du Massachusetts Amherst ont démontré qu’une carte Visa sans contact expirée pouvait, dans certaines configurations, être utilisée pour réaliser malgré tout un paiement. Ils ont baptisé cette technique « Zombie Card », ou « carte zombie », puisque la carte que tout le monde pensait morte peut, sous certaines conditions, être artificiellement ramenée à la vie. (usenix.org)
La découverte mérite d’être prise au sérieux, mais également d’être expliquée correctement. Elle ne signifie pas que toutes les cartes périmées continuent spontanément à fonctionner, ni qu’un consommateur peut simplement ressortir son ancienne carte Visa et effectuer ses achats normalement. L’étude révèle une faille dans certaines transactions sans contact, exploitable avec la possession physique de l’ancienne carte et un dispositif technique particulier. (khwarizmilab.github.io)
Pour les consommateurs français, le principal enseignement est finalement très simple : une ancienne carte bancaire ne doit jamais être considérée comme un morceau de plastique sans valeur simplement parce que sa date d’expiration est dépassée.
Une carte périmée ne continue pas normalement à fonctionner
C’est la première erreur qu’il faut corriger dans de nombreux articles consacrés aux « cartes zombies ».
Dans un fonctionnement bancaire normal, une carte arrivée à échéance n’est pas censée continuer à être utilisée librement. Les banques renouvellent généralement la carte avant son expiration et l’ancienne carte doit ensuite être détruite ou éliminée conformément aux recommandations de l’établissement.
L’Institut national de la consommation rappelle que les cartes bancaires disposent d’une durée de validité déterminée et sont généralement renouvelées automatiquement lorsque le contrat se poursuit. (inc-conso.fr)
Le phénomène découvert par les chercheurs américains est donc très différent. Il ne s’agit pas d’un délai de quinze jours pendant lequel la banque aurait « oublié » de désactiver la carte, ni d’une tolérance accordée après la date d’expiration.
Il s’agit d’un scénario de fraude technique permettant, dans certaines configurations, de tromper une partie de la chaîne de paiement sans contact.
Pourquoi une carte expirée n’est-elle pas totalement « morte » ?
Pour comprendre la faille, il faut distinguer la carte physique du compte bancaire auquel elle est associée.
Lorsqu’une carte arrive à expiration, le morceau de plastique devient obsolète, mais le compte du client continue naturellement d’exister. La banque émet généralement une nouvelle carte rattachée au même compte, avec une nouvelle date d’expiration et éventuellement un nouveau numéro.
Cette continuité est d’ailleurs nécessaire au fonctionnement normal du système bancaire. Un remboursement peut par exemple être crédité sur un compte même si la carte utilisée lors de l’achat initial a entre-temps expiré.
Le problème mis en évidence par les chercheurs vient du fait que la vérification de la validité d’une carte est répartie entre plusieurs acteurs : la carte elle-même, le terminal du commerçant, le réseau de paiement et la banque qui a émis la carte. Ces différents acteurs doivent normalement aboutir à la même conclusion : cette carte précise est-elle toujours valide ?
Or l’étude montre que, dans certaines configurations de paiement Visa sans contact testées, cette information n’est pas protégée de manière suffisamment cohérente tout au long de la transaction. (khwarizmilab.github.io)
Ce qu’ont réellement découvert les chercheurs
Les travaux ont été menés par Raja Hasnain Anwar, Gerard DeCunha et Muhammad Taqi Raza, de l’Université du Massachusetts Amherst. Leur étude, intitulée Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments, a été présentée lors du symposium USENIX Security 2026. (umass.edu)
Les chercheurs ont démontré qu’en intervenant sur la communication sans contact entre une carte expirée et un terminal, il était possible, dans la configuration Visa étudiée, de faire apparaître au terminal une date d’expiration différente de celle de la carte.
Le point essentiel n’est pas que la cryptographie de la carte ait été « cassée ». Les mécanismes attestant que la carte est authentique continuaient de fonctionner. La faiblesse provient plutôt du fait que la date d’expiration utilisée par le terminal n’était pas suffisamment liée aux informations authentifiées utilisées par le reste du système. (khwarizmilab.github.io)
Dans certaines configurations bancaires, la transaction pouvait alors être autorisée parce que la banque voyait toujours un compte valide et recevait une transaction présentant par ailleurs des éléments cryptographiques authentiques.
C’est précisément ce décalage entre plusieurs contrôles qui donne naissance à la « carte zombie ».
Visa a été concerné lors des tests, pas toutes les cartes bancaires
C’est une nuance fondamentale.
Les chercheurs ont testé plusieurs réseaux de cartes avec des cartes provenant de cinq grandes banques américaines. Dans leur expérimentation, la configuration Visa sans contact étudiée a pu être vulnérable, tandis que les configurations Mastercard, American Express et Discover testées ont rejeté la modification. (khwarizmilab.github.io)
Même parmi les banques testées, le comportement n’était pas identique. Certaines ont refusé les transactions, tandis que d’autres ont pu les autoriser. Les chercheurs soulignent eux-mêmes que leurs résultats ne permettent donc pas d’affirmer que toutes les cartes Visa ou toutes les banques sont vulnérables.
Il serait également trop rapide de conclure que toutes les cartes Visa émises en France sont aujourd’hui concernées.
L’étude a été réalisée avec des cartes et des banques américaines. Les règles appliquées par l’établissement émetteur, le terminal utilisé, les paramètres de sécurité et les exigences locales peuvent modifier le résultat.
Au 21 août 2026, il n’existe donc pas de preuve publique permettant d’affirmer que toutes les cartes Visa françaises expirées peuvent être exploitées de cette manière.
La vulnérabilité est réelle, mais son périmètre exact ne doit pas être exagéré.
Les distributeurs automatiques ne sont pas concernés par l’étude
L’ancien article évoquait également la possibilité d’effectuer des retraits avec une carte expirée.
Ce n’est pas ce qu’ont démontré les chercheurs.
Leur étude concerne spécifiquement des transactions Visa sans contact. Ils n’ont pas établi que le même problème permettait de retirer de l’argent dans un distributeur automatique ni qu’il fonctionnait de la même manière lorsqu’une carte est insérée dans un terminal avec sa puce. (khwarizmilab.github.io)
Cette distinction est importante, car les procédures de validation peuvent être différentes selon qu’une carte est utilisée en sans-contact, insérée dans un terminal ou utilisée dans un distributeur.
Il faut donc éviter de transformer une vulnérabilité précise en affirmation générale selon laquelle « toutes les cartes périmées fonctionnent encore ».
Ce serait faux.
Pourquoi le risque existe-t-il même après réception de la nouvelle carte ?
C’est probablement la partie la plus inquiétante de la découverte.
Lorsqu’un client reçoit une nouvelle carte, il peut naturellement penser que l’ancienne ne présente plus aucun intérêt pour un fraudeur. Il la laisse alors dans un tiroir, la jette entière dans une poubelle ou la découpe insuffisamment.
Or les chercheurs montrent qu’une carte expirée peut encore contenir les éléments permettant de participer à une transaction authentifiée.
Le simple remplacement de la carte ne signifie donc pas nécessairement que l’ancien support physique soit devenu totalement inoffensif.
Pour qu’une « carte zombie » soit exploitée dans le scénario étudié, l’attaquant doit toutefois avoir accès à la carte physique expirée. Il ne s’agit donc pas d’une attaque permettant de vider à distance le compte bancaire de millions de personnes uniquement à partir de leur numéro de carte. (khwarizmilab.github.io)
Cette limitation réduit considérablement le risque pour le grand public, mais elle donne une nouvelle importance à la manière dont les anciennes cartes sont détruites.
Faut-il arrêter d’utiliser le paiement sans contact ?
Non.
Les chercheurs sont eux-mêmes très clairs sur ce point : leur découverte ne signifie pas que les consommateurs doivent arrêter d’utiliser leur carte en sans-contact. (khwarizmilab.github.io)
L’attaque nécessite une combinaison particulière de conditions et la possession d’une carte physique expirée. Elle ne correspond donc pas au type de fraude le plus simple ou le plus répandu auquel les consommateurs sont quotidiennement exposés.
Les risques liés au phishing, aux faux conseillers bancaires, au vol des identifiants ou aux escroqueries par manipulation restent beaucoup plus courants.
La découverte constitue surtout un avertissement destiné aux banques, aux réseaux de cartes et aux fabricants de terminaux : la date d’expiration doit être contrôlée de manière cohérente et sécurisée sur l’ensemble de la chaîne de paiement, et non uniquement par certains éléments du système.
Les chercheurs avaient prévenu Visa avant la publication
Autre élément important : la découverte n’a pas été publiée sans avertissement préalable.
Les chercheurs indiquent avoir informé Visa ainsi que les banques concernées dès mai 2025, puis avoir repris contact en décembre de la même année. Ils ont transmis aux acteurs concernés les informations techniques permettant de reproduire le problème. (khwarizmilab.github.io)
Au moment de la publication de l’étude en août 2026, les chercheurs indiquaient toutefois que ni Visa ni les banques averties ne leur avaient confirmé qu’une correction définitive avait été mise en place.
Pour cette raison, ils ont notamment choisi de ne pas publier le logiciel permettant de reproduire directement l’attaque, afin de ne pas faciliter son utilisation frauduleuse. (khwarizmilab.github.io)
Il s’agit d’un point important : la recherche vise ici à permettre aux acteurs du paiement de corriger une faiblesse, et non à fournir un outil utilisable facilement par des fraudeurs.
Apple Pay et Google Pay sont-ils concernés ?
Les chercheurs ont également examiné les portefeuilles numériques.
Leur conclusion est plutôt rassurante. Apple Pay et Google Pay disposent d’une gestion plus centralisée du cycle de vie des moyens de paiement, notamment grâce à l’utilisation de jetons numériques pouvant être mis à jour à distance.
Lors de leurs tests, cette architecture réduisait le risque qu’un ancien identifiant de paiement physique reste utilisable après expiration. Les chercheurs ne prétendent toutefois pas que tous les portefeuilles numériques sont par définition invulnérables. (khwarizmilab.github.io)
Cela montre surtout l’intérêt de la tokenisation : le smartphone n’utilise pas simplement une copie brute des informations inscrites sur la carte physique.
Les paiements mobiles disposent donc de mécanismes de gestion différents de ceux du morceau de plastique conservé dans un portefeuille.
Ne pas confondre « carte zombie » et abonnement qui continue après expiration
Il existe par ailleurs un autre phénomène qui peut donner l’impression qu’une ancienne carte continue de fonctionner.
Lorsqu’une carte est enregistrée auprès d’un service de streaming, d’un opérateur téléphonique ou d’un autre commerçant pour des paiements récurrents, le prélèvement peut parfois continuer après le renouvellement de la carte sans que le client communique lui-même son nouveau numéro.
Ce fonctionnement est volontaire.
Visa exploite notamment Visa Account Updater, un service permettant aux banques participantes de transmettre automatiquement certaines nouvelles informations d’une carte aux commerçants auprès desquels elle était déjà enregistrée. Le système peut communiquer une nouvelle date d’expiration ou, dans certaines circonstances, un nouveau numéro de carte afin d’éviter l’interruption d’un abonnement. (visa.com)
Mastercard dispose également d’un mécanisme comparable appelé Automatic Billing Updater pour les paiements récurrents et les cartes conservées par des commerçants. (mastercard.fr)
Un abonnement Netflix ou un autre service continuant à être payé après le renouvellement d’une carte n’est donc pas nécessairement le signe qu’une carte périmée reste active.
C’est un mécanisme totalement différent de la faille « Zombie Card ».
Comment détruire correctement une ancienne carte ?
La découverte apporte finalement une recommandation très concrète : ne jamais jeter une ancienne carte intacte, même lorsqu’elle est expirée depuis plusieurs années.
Il ne suffit pas nécessairement de couper un coin ou de sectionner uniquement le numéro imprimé. L’objectif est de rendre inutilisables les principaux éléments physiques de la carte, en particulier la puce et la bande magnétique.
Les chercheurs recommandent de détruire physiquement la puce et la bande, ou de restituer l’ancienne carte à sa banque lorsque celle-ci propose un dispositif de récupération. (umass.edu)
Pour une carte métallique, beaucoup plus difficile à découper, il est préférable de demander à l’établissement émetteur la procédure de retour ou de destruction prévue.
Cette précaution paraît élémentaire, mais elle devient beaucoup plus logique après cette découverte : expiration ne signifie pas nécessairement disparition de toutes les capacités techniques du support.
Et si une transaction frauduleuse apparaît en France ?
Pour un client français, les règles relatives aux paiements non autorisés restent applicables.
Le Code monétaire et financier prévoit qu’en cas d’opération de paiement non autorisée signalée dans les conditions prévues, le prestataire de paiement doit en principe rembourser immédiatement l’opération et au plus tard à la fin du premier jour ouvrable suivant, sauf notamment s’il dispose de raisons fondées de soupçonner une fraude du client. (legifrance.gouv.fr)
La DGCCRF rappelle également qu’une opération frauduleuse doit être signalée rapidement à la banque et que l’établissement doit empêcher toute nouvelle utilisation de la carte après avoir été informé de sa perte, de son vol ou de son utilisation détournée. (economie.gouv.fr)
Cela ne dispense pas de surveiller régulièrement son compte.
Une carte expirée conservée dans un tiroir depuis un an est précisément le type de support auquel son propriétaire ne pense plus. Une transaction inhabituelle liée à ce moyen de paiement pourrait donc passer plus facilement inaperçue si les relevés ne sont jamais contrôlés.
Faut-il faire opposition sur toutes ses anciennes cartes ?
La découverte ne justifie pas de paniquer et de faire opposition rétroactivement sur toutes les cartes bancaires que l’on a possédées.
Une ancienne carte correctement détruite ne peut plus être exploitée selon le scénario décrit par les chercheurs. Le risque concerne principalement les cartes physiques expirées qui existent encore et qui pourraient tomber entre de mauvaises mains. (khwarizmilab.github.io)
Si une ancienne carte est perdue et non simplement expirée, la situation est différente. Il est alors raisonnable de contacter son établissement bancaire afin de vérifier son statut et les mesures à prendre.
Le principal changement de comportement est finalement simple : il faut traiter une carte périmée avec la même prudence qu’une carte encore valide jusqu’à ce qu’elle ait été correctement détruite.
La faille est-elle inquiétante pour les banques françaises ?
Il est encore trop tôt pour répondre précisément.
L’étude démontre une faiblesse réelle dans certaines configurations Visa sans contact, mais les essais ont été réalisés avec cinq grandes banques américaines. Les chercheurs indiquent explicitement que les résultats ne peuvent pas être généralisés à toutes les cartes ou à tous les établissements. (khwarizmilab.github.io)
Pour déterminer l’exposition réelle du marché français, il faudrait connaître la manière dont les banques françaises contrôlent le statut exact des cartes lors de l’autorisation, ainsi que les configurations utilisées par les terminaux et le réseau Visa en Europe.
Il serait donc irresponsable d’affirmer aujourd’hui que « des millions de Français peuvent payer avec leur ancienne carte ».
Mais il serait tout aussi excessif d’ignorer la découverte au motif que les essais ont été réalisés aux États-Unis.
Le problème identifié concerne une architecture de paiement internationale et mérite donc logiquement l’attention de l’ensemble des acteurs du secteur.
Ce qu’il faut retenir
Les « cartes zombies » ne correspondent pas à des cartes bancaires que les banques auraient simplement oublié de désactiver après leur date d’expiration.
Il s’agit d’une vulnérabilité de sécurité découverte par trois chercheurs de l’Université du Massachusetts Amherst et présentée lors d’USENIX Security 2026. Ils ont montré que certaines cartes Visa sans contact expirées pouvaient être utilisées dans une attaque technique permettant à un terminal de les considérer comme encore valides. (usenix.org)
La vulnérabilité n’est cependant ni générale ni automatique. Les configurations Mastercard, American Express et Discover testées ont résisté à la manipulation, et même parmi les banques utilisant Visa, certaines transactions ont été refusées. Les essais ont par ailleurs concerné des banques américaines et ne permettent pas d’affirmer que l’ensemble des cartes Visa françaises sont touchées. (khwarizmilab.github.io)
L’étude n’a pas non plus démontré qu’une carte expirée pouvait normalement continuer à être utilisée dans un distributeur ou lors d’un paiement classique avec insertion de la puce.
La principale leçon pour les consommateurs est beaucoup plus simple : une carte expirée ne doit jamais être jetée intacte.
Il faut détruire correctement la puce et la bande magnétique, ou retourner la carte à sa banque lorsqu’un dispositif de récupération existe. Il est également conseillé de continuer à surveiller régulièrement ses opérations bancaires et de signaler immédiatement toute transaction inconnue.
La découverte des « Zombie Cards » révèle surtout une évolution importante de la sécurité des paiements modernes. Une transaction par carte ne dépend plus d’un seul système, mais d’une succession de contrôles effectués par la carte, le terminal, le commerçant, le réseau de paiement et la banque.
Lorsqu’un seul élément considère qu’un autre a déjà effectué la vérification, une faille peut apparaître.
Dans le cas des cartes zombies, ce n’est donc pas réellement une vieille carte qui ressuscite toute seule. C’est l’ensemble du système de paiement qui, dans certaines circonstances, peut être amené à croire qu’elle n’est jamais vraiment morte.
Recent Comments