Attention, votre carte de crédit expirée n'est pas totalement désactivée

Taqi Raza et Raja Hasnain Anwar, chercheurs à l’université du Massachusetts à Amherst, ont démontré qu’une carte de crédit expirée continue de fonctionner dans un portefeuille numérique comme Apple Pay ou Google Pay. Les banques ne protègent la date d’expiration imprimée par aucun mécanisme cryptographique. Votre ancienne carte est donc exploitable tant que sa puce n’est pas détruite.

Le numéro, le nom du titulaire et les données stockées dans la puce d’une carte physique périmée ne changent pas après l’échéance imprimée sur la carte. Ajoutée un jour à Apple Pay ou à Google Pay, cette carte est encore inscrite dans le portefeuille numérique, sans durée de validité automatique, y compris après son remplacement par une carte neuve.

Selon Raja Hasnain Anwar, doctorant au Khwarizmi Lab de l’université du Massachusetts à Amherst, la date d’expiration imprimée et enregistrée sur la carte est le seul moyen, pour le terminal de paiement, de savoir si elle est active ou expirée. Pourtant, elle n’est protégée par aucun mécanisme cryptographique. Une fois glissée dans un tiroir, votre ancienne carte physique est, pour quiconque récupère sa puce, une source de paiements possibles.

Le Khwarizmi Lab étudie les portefeuilles numériques depuis 2024

Taqi Raza avait dirigé, avec Raja Hasnain Anwar, une étude sur les portefeuilles numériques présentée à la conférence USENIX Security 2024. Il fallait seulement connaître le numéro d’une carte volée pour l’ajouter à un tel portefeuille, sans vérification supplémentaire. Les banques bloquaient, dans la plupart des cas, les transactions physiques d'une carte volée après un signalement de fraude, sans bloquer systématiquement les achats effectués depuis un portefeuille numérique lié à cette carte, et réattribuaient un nouveau numéro virtuel après chaque remplacement de carte, sans nouvelle vérification d’identité. Les chercheurs avaient utilisé leurs propres cartes pour ces tests, sans réelle opération frauduleuse.

Deux ans plus tard, le Khwarizmi Lab a présenté une nouvelle étude, cette fois consacrée aux cartes physiques arrivées à expiration.

Les commerçants ne vérifient, avec leurs terminaux de paiement, que la date imprimée sur la carte, sans consulter le statut réel du compte auprès de la banque. Cette date imprimée n'est protégée par aucune signature cryptographique. Un pirate peut donc la modifier avant qu'elle n'atteigne le terminal de paiement. De son côté, le certificat numérique associé à la carte, dans Apple Pay ou Google Pay, expire à une date généralement postérieure à celle imprimée sur le plastique. Une carte physiquement expirée est donc encore active dans votre portefeuille numérique, le temps que ce certificat arrive lui aussi à échéance.

Pour le démontrer, les chercheurs activent d’abord la carte par communication en champ proche, avec un premier téléphone, avant d’en récupérer les données de paiement, dont la date d’expiration imprimée. Avec un second téléphone connecté en intermédiaire sur le réseau Wi-Fi, ils interceptent ces informations, réécrivent la date avec une échéance future, puis les transmettent au terminal de paiement, en laboratoire comme dans des restaurants et des épiceries de proximité.

Détruisez votre puce avant de jeter la carte

Votre carte périmée ne perd sa valeur monétaire qu’après la destruction physique de sa puce. Passez d’abord un aimant sur la bande magnétique, pour effacer les données qu’elle contient. Cassez ensuite la puce avec un marteau ou une paire de ciseaux, avant de découper la carte en plusieurs morceaux, chiffres et lettres en relief compris. Répartissez ces morceaux dans plusieurs poubelles. Cela peut vous paraître extrême, mais lorsqu’on sait les pertes financières possibles, mieux vaut un excès de prudence que de confiance.

Par ailleurs, l’Observatoire de la sécurité des moyens de paiement de la Banque de France estime que la fraude à la carte bancaire coûte 211 millions d’euros pour le premier semestre 2025, un plus bas historique, en baisse de près de 10 % sur un an. Visa et l’institut Wakefield Research ont recensé, de leur côté, une fraude déclarée par 33 % des Français interrogés, le taux le plus élevé d’Europe, devant l’Espagne, l’Allemagne, le Royaume-Uni et l’Italie. Surveillez donc, plusieurs mois après le remplacement d’une carte, les comptes que vous pensiez fermés. Signalez immédiatement toute transaction suspecte à votre banque, pour limiter les contestations tardives.

Pour les cartes métalliques, plus résistantes aux ciseaux domestiques, les chercheurs recommandent malgré tout de contacter directement l’établissement émetteur.