Trois chercheurs de l'université du Massachusetts à Amherst ont réussi à régler pour 3,19 dollars d'achats dans un supermarché avec une carte bancaire périmée !

Leur secret ?

Glisser une app maison entre la carte et le terminal qui trafique la date d'expiration de la carte.

En fait, leur montage relaie les échanges NFC et modifie au passage un champ que personne ne protège : la date d'expiration lue par le terminal. Leur papier s'appelle Zombie Cards Back Online , et a été présenté à USENIX Security 2026.

La mécanique tient en réalité à une bizarrerie du réseau Visa. Une carte annonce sa date d'expiration à deux endroits différents, et sur le kernel Visa, la date que le terminal consulte pour ses contrôles locaux n'est reliée à aucune signature. La banque, elle, regarde l'autre. Les deux devraient être liées cryptographiquement mais elles ne le sont pas.

Pire, ce kernel transmet à la banque un TVR entièrement à zéro. Le TVR, c'est le champ qui raconte ce que le terminal a vérifié et ce qui a coincé. Rempli de zéros, il ne raconte plus rien, du coup, la banque autorise une transaction sans savoir que les contrôles d'en face ont été contournés.

Reste que la portée est plus étroite que le tour de force le laisse croire. Sur cinq banques américaines testées, une seule a validé l'opération de bout en bout dans des conditions de laboratoire, permettant de payer jusqu'à 500 dollars. Une autre a laissé passer le terminal puis refusé côté banque. De leur côté, les kernels Mastercard, American Express et Discover, eux, ont rejeté les modifications.

Il faut aussi avoir la carte expirée à portée de NFC, et que la banque ait réémis la nouvelle avec le même numéro de compte, ce que les auteurs décrivent comme une pratique d'émetteurs américains.

Bref, c'est pas si simple et tous les essais ont eu lieu aux États-Unis donc rien ne dit non plus ce que ça donnerait sur un terminal français, où le sans contact plafonne de toute façon à 50 euros par paiement, 150 euros cumulés et 5 opérations avant que ça ne réclame le code. Puis de toute façon, le numéro de CB change intégralement à chaque renouvellement de carte, donc bon...

Six ans plus tôt, l'équipe de David Basin publiait The EMV Standard: Break, Fix, Verify , une application Android en relais sur du Visa sans contact, ce qui permettait de payer sans saisir de code. C'est vrai que les failles du paiement sans contact ne datent pas d'hier mais ce qui est neuf ici, c'est cette histoire de faiblesse au niveau de la date d'expiration.

Voilà, comme d'hab, Visa a été prévenu en mai 2025, relancé en décembre mais ni Visa ni les banques n'ont annoncé le moindre correctif pour le moment...

Source

Jordan Fulghum, un super papa des amériques, a trouvé un moyen pour que ses enfants puissent écouter de la musique dématérialisée de manière ludique et tangible, comme on le faisait avant avec par un CD ou une cassette.

Pour cela, il a mis au point des cartes à collectionner avec des puces NFC qui lancent un album complet d’un simple tap. Ce sont donc des cartes physiques façon Pokémon, avec un artwork d’albums dessus et une puce NFC collée au dos. Son fils pose alors une carte sur son téléphone, et hop, l’album démarre automatiquement sur les enceintes de la maison via PlexAmp . Pas d’écran à regarder, pas de menu où naviguer, et surtout pas de choix à faire parmi 100 millions de titres.

Pour fabriquer ses cartes, Jordan utilise de l’IA pour étendre les pochettes d’albums au format carte à jouer et il imprime ça sur du papier autocollant afin de les coller sur des cartes vierges avec des tags NFC intégrés, et voilà ! Et comme PlexAmp a justement une fonction pour programmer ces tags NFC avec un lien direct vers un album spécifique, c’est assez facile à faire.

Sa première collection s’appelle “Albums That Dad Wants You to Listen To”, et ça lui permet d’imposer une sélection de 30 albums aux gamins qui comme ça, ne se retrouvent pas noyés dans 100 millions de choix. Jordan a même imprimé en 3D un présentoir pour ranger les cartes, histoire que ça ressemble vraiment à une vraie collection et ses enfants peuvent choisir un album exactement comme on choisissait un CD à l’époque.