Trois chercheurs de l'université du Massachusetts à Amherst ont réussi à régler pour 3,19 dollars d'achats dans un supermarché avec une carte bancaire périmée !
Leur secret ?
Glisser une app maison entre la carte et le terminal qui trafique la date d'expiration de la carte.
En fait, leur montage relaie les échanges NFC et modifie au passage un champ que personne ne protège : la date d'expiration lue par le terminal. Leur papier s'appelle Zombie Cards Back Online , et a été présenté à USENIX Security 2026.
La mécanique tient en réalité à une bizarrerie du réseau Visa. Une carte annonce sa date d'expiration à deux endroits différents, et sur le kernel Visa, la date que le terminal consulte pour ses contrôles locaux n'est reliée à aucune signature. La banque, elle, regarde l'autre. Les deux devraient être liées cryptographiquement mais elles ne le sont pas.
Pire, ce kernel transmet à la banque un TVR entièrement à zéro. Le TVR, c'est le champ qui raconte ce que le terminal a vérifié et ce qui a coincé. Rempli de zéros, il ne raconte plus rien, du coup, la banque autorise une transaction sans savoir que les contrôles d'en face ont été contournés.
Reste que la portée est plus étroite que le tour de force le laisse croire. Sur cinq banques américaines testées, une seule a validé l'opération de bout en bout dans des conditions de laboratoire, permettant de payer jusqu'à 500 dollars. Une autre a laissé passer le terminal puis refusé côté banque. De leur côté, les kernels Mastercard, American Express et Discover, eux, ont rejeté les modifications.
Il faut aussi avoir la carte expirée à portée de NFC, et que la banque ait réémis la nouvelle avec le même numéro de compte, ce que les auteurs décrivent comme une pratique d'émetteurs américains.
Bref, c'est pas si simple et tous les essais ont eu lieu aux États-Unis donc rien ne dit non plus ce que ça donnerait sur un terminal français, où le sans contact plafonne de toute façon à 50 euros par paiement, 150 euros cumulés et 5 opérations avant que ça ne réclame le code. Puis de toute façon, le numéro de CB change intégralement à chaque renouvellement de carte, donc bon...
Six ans plus tôt, l'équipe de David Basin publiait The EMV Standard: Break, Fix, Verify , une application Android en relais sur du Visa sans contact, ce qui permettait de payer sans saisir de code. C'est vrai que les failles du paiement sans contact ne datent pas d'hier mais ce qui est neuf ici, c'est cette histoire de faiblesse au niveau de la date d'expiration.
Voilà, comme d'hab, Visa a été prévenu en mai 2025, relancé en décembre mais ni Visa ni les banques n'ont annoncé le moindre correctif pour le moment...
Trois chercheurs ont démontré qu'une carte bancaire périmée peut, dans certaines conditions, redevenir opérationnelle en paiement sans contact.
Tous nos articles sont aussi sur notre profil Google : suivez-nous pour ne rien manquer !
Un petit geste pour Frandroid ? Abonnez-vous à Frandroid sur Google pour ne manquer aucun de nos articles.
C’est à l’occasion de son évènement annuel, à San Francisco, que Visa a annoncé un accord avec OpenAI pour permettre des paiements sécurisés au sein du commerce dit « agentique » ; ces environnements où des agents IA agissent de façon autonome pour le compte des utilisateurs.
Concrètement, les achats réalisés via ChatGPT ou d’autres interfaces OpenAI pourront s’appuyer sur le réseau Visa. Les transactions s’effectueront dans le cadre de permissions, de politiques et de contrôles définis par l’utilisateur comme les plafonds de dépenses, les catégories de marchands autorisées ou les approbations obligatoires. Elles utiliseront des « identifiants Visa tokenisés », assortis d’une autorisation en temps réel et d’une surveillance anti-fraude.
Au-delà de la transaction pure, les deux acteurs explorent une gamme d’applications pour les entreprises, notamment des expériences orientées développeurs alimentées par Codex, l’assistant de codage d’OpenAI, ainsi que des flux de travail plus automatisés et conversationnels.
Le tout s’inscrit dans l’initiative Visa Intelligent Commerce, le programme du groupe visant à étendre ses capacités de paiement sécurisé aux nouveaux environnements numériques.
Pour Jack Forestell, directeur produit et stratégie de Visa, l’enjeu est historique : « L’IA transformera le commerce plus profondément qu’Internet ou le mobile ne l’ont jamais fait. »
Cet a intervient alors qu’OpenAI a déposé confidentiellement un dossier d’introduction en Bourse.
The post Commerce agentique : OpenAI signe avec Visa appeared first on Silicon.fr.
Connexion