Faille Zombie Card : votre carte périmée peut encore payer
Vous avez une vieille carte bancaire quelque part.
Dans un tiroir. Au fond d’un sac. Peut-être même découpée en deux, parce que c’est ce qu’on vous a toujours dit de faire.
Vous pensez qu’elle est morte. Inoffensive. Oubliée.
Des chercheurs en sécurité viennent de prouver le contraire.
En août 2026, lors d’une conférence internationale de cybersécurité, ils ont démontré qu’une carte bancaire expirée pouvait encore effectuer des paiements sans contact. Et sans que le titulaire ne soit présent, ni même informé.
Ils ont appelé ça la Zombie Card. Une carte morte qui continue de payer.
Et la faille qui rend ça possible n’a toujours pas de correctif confirmé.
Ce n’est pas une vulnérabilité théorique réservée aux labos. C’est une technique documentée, présentée devant la communauté mondiale de la cybersécurité, qui met en lumière une faiblesse structurelle dans la façon dont certains paiements sans contact sont traités.
Pour les particuliers, c’est une surprise désagréable. Pour les équipes IT qui gèrent des flottes de cartes professionnelles, c’est un angle mort à traiter sans plus attendre.
1-Zombie Cards : comment une carte périmée peut encore effectuer des paiements sans contact
Une carte bancaire périmée, c'est censé être simple.
La date d'expiration passe. La carte est désactivée. Le compte reste ouvert, mais la carte physique ne peut plus être utilisée. C'est la logique qu'on nous a toujours enseignée.
Sauf que cette logique a une faille.
Des chercheurs ont prouvé qu’il était possible de ressusciter des cartes expirées pour effectuer des transactions bien réelles. La méthode repose sur deux smartphones utilisés comme relais NFC (deux appareils qui servent d’intermédiaires pour transmettre les données à distance).
Le premier lit les données de la puce de la carte expirée via la technologie NFC (la technologie qui permet de payer en approchant votre carte d’un terminal). Le second transmet ces données, avec une date d’expiration modifiée, au terminal du commerçant.
Le terminal reçoit ce qu’il attend. Il valide. La transaction passe.
Tout ça sans toucher physiquement à la carte originale. Sans accès au compte bancaire. Sans connaître le code PIN. Juste deux téléphones, une carte expirée, et une faille dans la façon dont certaines données circulent entre la puce et le terminal.
En France, le plafond de 50 euros par transaction sans contact réduit fortement l’intérêt financier de l’attaque. Mais 50 euros par transaction, répétés sur plusieurs cartes expirées récupérées ou volées, c’est une autre histoire.
2-Paiement sans contact : comment fonctionne la faille Zombie Card ?
Pas besoin d'être ingénieur pour comprendre ce qui se passe.
Imaginez que votre carte bancaire est une lettre d’identité. Quand vous payez sans contact, votre carte présente cette lettre au terminal. Le terminal lit la date d’expiration, vérifie que tout est en ordre, et valide.
Le problème, c’est que dans certains protocoles de paiement (l’ensemble des règles qui définissent comment la carte et le terminal échangent des informations), cette date d’expiration circule en clair. Et elle n’est pas liée au reste des données de la carte par une signature numérique.
Ce que ça veut dire simplement : on peut la modifier sans que le reste des données soit invalidé.
C’est exactement ce que les chercheurs ont fait. Ils ont intercepté cette date en transit, remplacé la date expirée par une date valide, et transmis le tout au terminal. Le terminal a vu une carte valide. Il a accepté.
La faille ne se trouve pas dans la technologie NFC elle-même. Elle est dans la façon dont certains protocoles de paiement traitent et vérifient ces données.
Et c’est précisément ce qui la rend difficile à corriger rapidement. Ce n’est pas un bug logiciel qu’un patch résout en 24 heures. C’est une question de spécification de protocole, qui implique les réseaux de paiement, les banques émettrices, et les fabricants de terminaux.
En août 2026, aucun correctif n’avait été confirmé publiquement.
3- Pourquoi certains réseaux de paiement sont concernés et pas d’autres?
C'est la question qui vient naturellement.
Si la faille existe, pourquoi Mastercard, American Express et Discover ne sont-ils pas touchés ?
La réponse tient dans un détail technique qui fait toute la différence.
Chez certains réseaux de paiement, la date d’expiration est incluse dans la signature cryptographique de la carte (une empreinte numérique qui garantit que les données n’ont pas été modifiées). Quand le terminal reçoit les données, il vérifie que tout le paquet est cohérent et non modifié. Si quelqu’un tente de changer la date d’expiration en transit, la signature ne correspond plus. La transaction est rejetée.
Dans le protocole concerné par la faille Zombie Card, la date d’expiration affichée au terminal n’est pas incluse dans cette signature. Elle circule séparément. Elle peut être modifiée sans invalider le reste.
C’est une différence de conception. Pas une erreur évidente, pas une négligence grossière. Une spécification qui semblait acceptable à l’époque où elle a été écrite, et qui révèle aujourd’hui une faiblesse exploitable.
Les chercheurs ont observé des comportements différents selon les banques émettrices. Certaines transactions ont été refusées. D’autres ont été acceptées. La décision finale dépend des contrôles supplémentaires que chaque banque applique de son côté.
Ce qui veut dire que le niveau de protection varie d’une banque à l’autre, sans que le titulaire de la carte puisse le savoir.
Et c'est peut-être l'aspect le plus inconfortable de cette surface d'attaque : elle ne dépend pas de ce que vous faites. Elle dépend de décisions prises par des acteurs que vous ne contrôlez pas.
4- Sécurité des paiements en entreprise : ce que la faille Zombie Card change pour vos équipes IT
Pour un particulier, la réaction naturelle c'est de vérifier ses relevés et de détruire ses vieilles cartes.
Pour une équipe IT, le sujet est plus large.
Les cartes bancaires professionnelles font partie de l’infrastructure de l’entreprise. Des collaborateurs en ont. Des cartes arrivent à expiration, sont remplacées, et les anciennes sont parfois jetées sans protocole précis. Dans certaines organisations, des dizaines de cartes périmées traînent dans des tiroirs, des archives, des enveloppes oubliées.
Chacune d’entre elles est potentiellement une Zombie Card.
Et il n’y a pas que les cartes physiques. Les appareils mobiles configurés pour le paiement sans contact stockent des données de cartes. Un smartphone d’entreprise perdu ou volé, avec une carte professionnelle enregistrée, représente exactement le même type de risque.
La gestion des paiements numériques en entreprise ne se limite plus aux fraudes en ligne ou aux tentatives de phishing bancaire. Elle inclut désormais la gestion du cycle de vie des cartes physiques et la sécurité des appareils qui les émulent.
Deux questions concrètes à se poser maintenant.
Avez-vous un processus de destruction sécurisée des cartes professionnelles périmées ?
Et savez-vous quelles cartes sont enregistrées sur les appareils mobiles de vos collaborateurs ?
Si la réponse à l’une des deux est floue, c’est un angle mort à corriger.
La faille Zombie Card ne cible pas les systèmes IT directement. Mais elle passe par les objets que vos collaborateurs portent dans leurs poches. Et ça, ça concerne bien les équipes IT.
5-Protection paiement sans contact : cinq mesures concrètes à appliquer maintenant?
La bonne nouvelle, c'est que les mesures de protection sont simples et actionnables maintenant.
5.1- Détruire physiquement les cartes périmées.
Pas juste les découper en deux. La puce NFC reste fonctionnelle même sur une carte coupée en deux dans la mauvaise direction. Il faut couper directement à travers la puce, ou utiliser un destructeur de documents équipé d'une fente pour cartes bancaires. Comme le rappelle Le Tribunal du Net, la règle a changé : découper la carte en deux ne suffit plus.
5.2- Surveiller vos relevés de compte après l’expiration d’une carte
Si une transaction apparaît sur un compte dont la carte est expirée, c'est un signal d'alerte immédiat. Contactez votre banque. En France, tout paiement non autorisé doit être remboursé par l'émetteur dans les meilleurs délais.
5.3- Mettre en place un protocole de fin de vie pour les cartes professionnelles
Récupération systématique des cartes périmées auprès des collaborateurs, destruction sécurisée, et inventaire des cartes enregistrées sur les appareils mobiles d'entreprise. Ce protocole n'existe pas encore dans la plupart des organisations. C'est le moment de le créer.
5.4- Désactiver le NFC sur les appareils mobiles quand il n’est pas utilisé
Un appareil dont le NFC est actif en permanence est lisible à distance sans que son propriétaire le sache. Cette mesure simple réduit la surface d'exposition, en entreprise comme à titre personnel. Et elle rejoint les bonnes pratiques de sécurité des cartes SIM et des appareils mobiles que les équipes IT commencent à intégrer dans leurs politiques.
5.5- Ne pas attendre un correctif externe
En octobre 2026, aucun correctif n'a été confirmé publiquement. La protection repose sur vos habitudes et vos processus, pas sur un patch qui viendra résoudre le problème à votre place.
Conclusion
Une carte périmée dans un tiroir. Deux smartphones. Cinquante euros.
C’est tout ce qu’il faut pour exploiter la faille Zombie Card.
Ce qui rend cette découverte particulièrement inconfortable, ce n’est pas sa complexité technique. C’est sa simplicité. Pas de logiciel malveillant. Pas de tentative de phishing. Pas d’accès à vos systèmes. Juste une puce qu’on pensait morte, et un protocole qui ne vérifie pas assez.
La faille a été signalée en mai 2025. En octobre 2026, aucun correctif n’a été confirmé.
Dans l’intervalle, la protection ne vient pas d’un patch. Elle vient de vos habitudes.
Détruire correctement vos cartes. Surveiller vos relevés. Encadrer le cycle de vie des cartes professionnelles. Désactiver le NFC quand il ne sert à rien.
Des gestes simples. Mais qui font la différence entre une carte vraiment morte et une carte zombie.
FAQ
Qu'est-ce qu'une Zombie Card ?
C'est le nom donné par des chercheurs en sécurité à une carte bancaire expirée qui peut encore effectuer des paiements sans contact. La faille exploite une faiblesse dans certains protocoles de paiement, où la date d'expiration n'est pas protégée par une signature numérique et peut donc être modifiée en transit.
Toutes les cartes Visa sont-elles concernées ?
Pas toutes au même niveau. La vulnérabilité touche certains protocoles de paiement sans contact. Certaines banques émettrices appliquent des contrôles supplémentaires qui peuvent rejeter la transaction. Mais ces contrôles varient d'une banque à l'autre, sans que le titulaire puisse le savoir.
Pourquoi certains réseaux ne sont-ils pas touchés ?
Ces réseaux incluent la date d'expiration dans la signature numérique de la carte. Toute modification en transit invalide la signature et la transaction est rejetée automatiquement. C'est une différence de conception entre protocoles de paiement.
Comment détruire correctement une carte bancaire périmée ?
Il faut couper directement à travers la puce NFC, généralement située dans le coin supérieur gauche de la carte. Ou utiliser un destructeur de documents équipé d'une fente pour cartes bancaires. Découper la carte en deux dans sa longueur ne suffit plus.
Que faire si une transaction suspecte apparaît sur un compte dont la carte est expirée ?
Contacter immédiatement votre banque et signaler la transaction comme non autorisée. En France, l'émetteur est tenu de vous rembourser dans les meilleurs délais. Conservez une trace écrite de votre signalement.