Zombie Cartes : Des chercheurs exploitent une faille EMV pour payer sans contact avec des cartes bancaires périmées

Les cartes bancaires périmées ne finissent pas toutes au fond d’un tiroir. L’attaque, baptisée Zombie Cards Back Online, a été présentée lors de la conférence USENIX Security 2026 et met en lumière une brèche dans la façon dont les transactions sont authentifiées.

Le protocole EMV et la faille des cartes zombies

Le paiement sans contact repose sur le protocole EMV, un standard de sécurité mondial qui n’authentifie qu’une partie des échanges entre la banque, le terminal et la puce. Au cours de la transaction, certaines données circulent en clair. Les chercheurs sont parvenus à glisser deux smartphones en relais NFC au milieu de cette conversation pour réécrire la date d’expiration à la volée.

Dans la configuration Visa testée par l’équipe universitaire, la date lue par le terminal de paiement échappe à la signature numérique de la carte. L’émetteur du paiement vérifie une autre date, tirée d’un champ complètement différent, et aucun lien cryptographique ne unit ces deux informations. Un intermédiaire peut donc maquiller ce que perçoit le terminal pendant que les contrôles internes de la carte restent parfaitement normaux.

Toutes les marques de cartes ne réagissent pas de la même manière face à ce scénario. Les configurations Mastercard, American Express et Discover ont résisté aux essais menés par les chercheurs. Le verdict final dépend ensuite de la politique de chaque établissement bancaire : certains ont validé les transactions, tandis que d’autres les ont bloquées. Visa a été prévenue de cette faille en mai 2025, puis relancée en décembre de la même année, sans qu’aucun correctif officiel n’ait encore été confirmé.

Quels risques réels pour les utilisateurs en France ?

Malgré la sophistication de la démonstration, la menace immédiate reste mesurée. L’attaque exige un accès physique direct à la carte plastique, à quelques centimètres seulement, pendant toute la durée de la transaction. Le danger principal concerne donc les cartes expirées abandonnées dans des tiroirs, jetées à la poubelle ou chinées dans des brocantes, dès lors que le compte bancaire associé demeure actif.

En France, plusieurs filets de sécurité limitent la portée de ce type de vulnérabilité. Le paiement sans contact par carte plastique est plafonné à 50 euros par transaction, et les opérations non autorisées font l’objet d’un remboursement après un signalement auprès de la banque, une démarche réalisable pendant treize mois. L’Observatoire de la sécurité des moyens de paiement de la Banque de France a enregistré, pour le premier semestre 2025, un taux de fraude à la carte passé pour la première fois sous la barre des 0,05 %, bien que la fraude globale aux moyens de paiement ait atteint 618 millions d’euros sur la même période.

Face à la persistance de telles failles et en l’absence de correctif de la part des réseaux de paiement, les experts rappellent qu’une méthode physique reste infaillible : détruire entièrement la carte à l’aide d’une paire de ciseaux, en s’assurant de couper à la fois la puce et l’antenne intégrée.

Une recrudescence des arnaques ciblées sur les documents de santé

Dans un registre connexe où les escrocs tentent de capitaliser sur la confiance des usagers envers les services officiels, une vaste campagne de phishing sévit depuis le début de l’année.

L’adresse de l’expéditeur, bien que rédigée sous la forme [email protected], constitue le premier piège puisqu’elle utilise une extension en .com, alors que les services officiels d’Ameli emploient systématiquement le domaine en .fr. Le texte pousse l’internaute à Commander votre nouvelle carte vitale au prétexte fallacieux que sa validité touche à sa fin.

Pourtant, un principe fondamental demeure : une carte Vitale ne comporte aucune date de fin de validité, même si un changement de situation personnelle peut parfois motiver l’édition d’un nouvel exemplaire. Pour crédibiliser leur démarche, les messages frauduleux affichent des mentions telles que Votre carte Vitale 2026 est prête à être expédiée, la nouvelle carte Vitale 2026 est disponible, ou affirment qu’elle intègre les dernières technologies de sécurité pour protéger vos données de santé.

Le piège intègre même une fausse section intitulée Questions fréquentes, comprenant des interrogations aberrantes telles que Ma carte actuelle est-elle toujours valable, à laquelle il est répondu Oui, jusqu’à sa date d’expiration. En cliquant sur le lien fourni, les victimes sont redirigées vers un site miroir qui réclame des coordonnées personnelles et bancaires, sous couvert de frais de port ou de mise à jour. L’Assurance maladie rappelle qu’elle ne demande jamais de telles informations financières par message.