Paiement sans contact : pourquoi vous devriez vous méfier de vos vieilles cartes bancaires

Vous pensiez votre ancienne carte bancaire définitivement inutilisable une fois sa date d’expiration dépassée ? La réalité s’avère un peu plus complexe.

Des chercheurs de l’Université du Massachusetts ont découvert que certaines cartes périmées permettaient encore d’effectuer des paiements sans contact. Leurs travaux ont été présentés lors de la conférence USENIX Security 2026, un symposium sur la sécurité organisé du 12 au 14 août 2026 à Baltimore, dans le Maryland.

Une découverte suffisamment étonnante pour que les scientifiques américains donnent un nom à ces moyens de paiement qui refusent en quelque sorte de mourir : les « zombie cards » (« cartes zombies », en français).

Expirée, mais toujours reliée à votre compte

Pour comprendre le problème, il faut distinguer la carte bancaire elle-même du compte en banque auquel elle est associée. Lorsque la date imprimée sur votre carte est dépassée, votre compte bancaire ne disparaît pas. Certaines opérations, comme un remboursement, peuvent d’ailleurs encore être associées à votre ancienne carte.

Les chercheurs sont partis de cette particularité pour explorer une autre possibilité : si des sommes peuvent encore être créditées par l’intermédiaire des références d’une carte bancaire expirée, est-il possible de faire fonctionner le mécanisme dans l’autre sens, et de s’en servir pour payer ?

Leurs tests ont montré que la réponse pouvait être positive. Mais pas avec n’importe quelle carte bancaire, ni dans n’importe quelles conditions.

Deux smartphones pour tromper le terminal de paiement

L’expérience menée par l’équipe américaine repose sur la technologie NFC, utilisée lorsque vous approchez votre carte bancaire ou votre téléphone portable d’un terminal de paiement chez un commerçant pour régler un achat sans contact.

À l’aide de deux smartphones, les chercheurs sont parvenus à intervenir dans les informations échangées au moment de la transaction. Leur dispositif permet notamment de présenter au terminal une date de validité différente de celle réellement associée à la carte expirée.  Autrement dit, la carte est bel et bien périmée, mais l’information reçue par le système de paiement peut laisser penser le contraire.

Visa concerné, mais pas Mastercard ni Amex

Les chercheurs ont observé le problème dans une configuration utilisant le réseau Visa. Selon leurs travaux, la donnée correspondant à la date d’expiration ne bénéficiait pas, dans le scénario étudié, d’une protection cryptographique suffisante pour empêcher sa modification avant sa vérification.

Il ne faut toutefois pas en conclure que toutes les cartes bancaires expirées peuvent reprendre du service. Les systèmes testés chez Mastercard, American Express et Discover ont, quant à eux, détecté l’anomalie et refusé les transactions lorsque la date de validité avait été falsifiée.

Votre banque constitue aussi une ligne de défense

Le réseau de paiement n’est pas le seul élément susceptible de bloquer l’opération. La banque qui a délivré votre carte joue également un rôle dans l’autorisation finale de la transaction.

Et, là encore, les résultats obtenus par les chercheurs n’ont pas été uniformes. Certains établissements testés (uniquement des banques américaines) ont laissé passer les paiements effectués pendant l’expérience, tandis qu’un autre les a rejetés après avoir repéré la manipulation.

Les scientifiques ont indiqué avoir communiqué leurs conclusions à Visa ainsi qu’aux banques concernées dès 2025. Toutefois, au moment de la présentation publique de leurs travaux en août dernier, aucun correctif n’avait été mis en place.

Une bonne raison de ne plus collectionner vos cartes périmées

Cette étude ne signifie pas que quelqu’un peut facilement récupérer votre vieille carte bancaire et faire ses courses avec. L’exploitation décrite nécessite un dispositif et des conditions techniques particulières.

Elle remet néanmoins en cause un réflexe assez répandu : considérer qu’une carte bancaire périmée ne fonctionne plus dès que vous avez reçu sa remplaçante. Si vous conservez encore des anciennes cartes, mieux vaut donc vous en débarrasser correctement. Les chercheurs recommandent de les rendre totalement inutilisables, en découpant à la fois la puce et la bande magnétique avec des ciseaux.

À lire également : Frais bancaires : vous payez un peu plus cher vos paiements et retraits à l’étranger