Attention, votre carte de crédit expirée n'est pas totalement désactivée

Taqi Raza et Raja Hasnain Anwar, chercheurs à l’université du Massachusetts à Amherst, ont démontré qu’une carte de crédit expirée continue de fonctionner dans un portefeuille numérique comme Apple Pay ou Google Pay. Les banques ne protègent la date d’expiration imprimée par aucun mécanisme cryptographique. Votre ancienne carte est donc exploitable tant que sa puce n’est pas détruite.

Le numéro, le nom du titulaire et les données stockées dans la puce d’une carte physique périmée ne changent pas après l’échéance imprimée sur la carte. Ajoutée un jour à Apple Pay ou à Google Pay , cette carte est encore inscrite dans le portefeuille numérique, sans durée de validité automatique, y compris après son remplacement par une carte neuve.

Selon Raja Hasnain Anwar, doctorant au Khwarizmi Lab de l’université du Massachusetts à Amherst, la date d’expiration imprimée et enregistrée sur la carte est le seul moyen, pour le terminal de paiement, de savoir si elle est active ou expirée. Pourtant, elle n’est protégée par aucun mécanisme cryptographique. Une fois glissée dans un tiroir, votre ancienne carte physique est, pour quiconque récupère sa puce, une source de paiements possibles.

Taqi Raza avait dirigé, avec Raja Hasnain Anwar, une étude sur les portefeuilles numériques présentée à la conférence USENIX Security 2024. Il fallait seulement connaître le numéro d’une carte volée pour l’ajouter à un tel portefeuille, sans vérification supplémentaire. Les banques bloquaient, dans la plupart des cas, les transactions physiques d'une carte volée après un signalement de fraude, sans bloquer systématiquement les achats effectués depuis un portefeuille numérique lié à cette carte, et réattribuaient un nouveau numéro virtuel après chaque remplacement de carte, sans nouvelle vérification d’identité. Les chercheurs avaient utilisé leurs propres cartes pour ces tests, sans réelle opération frauduleuse.

Deux ans plus tard, le Khwarizmi Lab a présenté une nouvelle étude , cette fois consacrée aux cartes physiques arrivées à expiration.

Les commerçants ne vérifient, avec leurs terminaux de paiement, que la date imprimée sur la carte, sans consulter le statut réel du compte auprès de la banque. Cette date imprimée n'est protégée par aucune signature cryptographique. Un pirate peut donc la modifier avant qu'elle n'atteigne le terminal de paiement. De son côté, le certificat numérique associé à la carte, dans Apple Pay ou Google Pay, expire à une date généralement postérieure à celle imprimée sur le plastique. Une carte physiquement expirée est donc encore active dans votre portefeuille numérique, le temps que ce certificat arrive lui aussi à échéance.

Pour le démontrer, les chercheurs activent d’abord la carte par communication en champ proche, avec un premier téléphone, avant d’en récupérer les données de paiement, dont la date d’expiration imprimée.