Trois chercheurs de l'université du Massachusetts à Amherst ont réussi à régler pour 3,19 dollars d'achats dans un supermarché avec une carte bancaire périmée !

Leur secret ?

Glisser une app maison entre la carte et le terminal qui trafique la date d'expiration de la carte.

En fait, leur montage relaie les échanges NFC et modifie au passage un champ que personne ne protège : la date d'expiration lue par le terminal. Leur papier s'appelle Zombie Cards Back Online , et a été présenté à USENIX Security 2026.

La mécanique tient en réalité à une bizarrerie du réseau Visa. Une carte annonce sa date d'expiration à deux endroits différents, et sur le kernel Visa, la date que le terminal consulte pour ses contrôles locaux n'est reliée à aucune signature. La banque, elle, regarde l'autre. Les deux devraient être liées cryptographiquement mais elles ne le sont pas.

Pire, ce kernel transmet à la banque un TVR entièrement à zéro. Le TVR, c'est le champ qui raconte ce que le terminal a vérifié et ce qui a coincé. Rempli de zéros, il ne raconte plus rien, du coup, la banque autorise une transaction sans savoir que les contrôles d'en face ont été contournés.

Reste que la portée est plus étroite que le tour de force le laisse croire. Sur cinq banques américaines testées, une seule a validé l'opération de bout en bout dans des conditions de laboratoire, permettant de payer jusqu'à 500 dollars. Une autre a laissé passer le terminal puis refusé côté banque. De leur côté, les kernels Mastercard, American Express et Discover, eux, ont rejeté les modifications.

Il faut aussi avoir la carte expirée à portée de NFC, et que la banque ait réémis la nouvelle avec le même numéro de compte, ce que les auteurs décrivent comme une pratique d'émetteurs américains.

Bref, c'est pas si simple et tous les essais ont eu lieu aux États-Unis donc rien ne dit non plus ce que ça donnerait sur un terminal français, où le sans contact plafonne de toute façon à 50 euros par paiement, 150 euros cumulés et 5 opérations avant que ça ne réclame le code. Puis de toute façon, le numéro de CB change intégralement à chaque renouvellement de carte, donc bon...

Six ans plus tôt, l'équipe de David Basin publiait The EMV Standard: Break, Fix, Verify , une application Android en relais sur du Visa sans contact, ce qui permettait de payer sans saisir de code. C'est vrai que les failles du paiement sans contact ne datent pas d'hier mais ce qui est neuf ici, c'est cette histoire de faiblesse au niveau de la date d'expiration.

Voilà, comme d'hab, Visa a été prévenu en mai 2025, relancé en décembre mais ni Visa ni les banques n'ont annoncé le moindre correctif pour le moment...

Source

Vous connaissez le job de payment engineer ? Ce métier n’existait même pas il y a 3 ans et aujourd’hui, les paiements en ligne sont devenus tellement complexes qu’il existe carrément une nouvelle catégorie de développeurs… Et au centre de cette petite révolution, il y a Hyperswitch , un projet open source qui est en train de servir de base à toute une génération de spécialistes des paiements.

Sorti en 2022, Hyperswitch est une plateforme d’orchestration de paiements écrite en Rust. Le pitch marketing vous dira que c’est le “Linux des paiements”, un outil modulaire, flexible, open source, mais dans les faits, ça permet surtout de connecter votre boutique en ligne à +50 processeurs de paiement différents via une seule API… Stripe, Adyen, PayPal, tout ce que vous voulez.

Le projet est développé par Juspay, une boîte indienne qui gère déjà les paiements de 400 entreprises et traite 175 millions de transactions par jour et quand ils ont décidé d’open-sourcer leur infrastructure, ils ont vraiment tapé dans le mille ! Rien que le dépôt GitHub affiche maintenant plus de 36 000 étoiles, ce qui est assez dingue pour un outil d’infrastructure B2B.

Et cela arrive au bon moment parce que les paiements en ligne sont devenus un cauchemar technique. Entre les différents processeurs, les méthodes de paiement locales (UPI en Inde, WeChat Pay en Chine, Bancontact en Belgique), les réglementations qui changent, les taux d’autorisation qui varient selon les pays, les frais cachés qui s’accumulent et les webhooks qui plantent au pire moment, il faut vraiment être un spécialiste pour s’y retrouver.

C’est un peu ce qui s’est passé avec le terme DevOps il y a 10 ans. J’sais pas si vous vous souvenez, mais au début c’était juste un buzzword. Puis Docker et Kubernetes sont arrivés, la complexité a explosé, et boom, aujourd’hui tout le monde cherche des ingés DevOps. Même délire avec les “data engineers” quand les boîtes ont commencé à avoir des pétaoctets de données à gérer.

Hé bien les paiements suivent la même trajectoire. Vous ne pouvez plus juste intégrer Stripe et oublier le problème. Si vous faites du volume, vous devez optimiser vos coûts (car les frais peuvent varier de 1 à 3% selon le processeur), améliorer vos taux d’autorisation (parfois 5 à 10 points de différence entre processeurs), gérer le retry intelligent quand une carte est refusée, faire de la réconciliation automatique…etc.

Bref, vous avez besoin d’un spécialiste.

Et c’est exactement ce que fait Hyperswitch qui indirectement forme des ingénieurs en paiement, car quand vous passez 6 mois à bidouiller Hyperswitch , à comprendre comment fonctionne le routing intelligent ou la réconciliation automatique, vous devenez au bout d’un moment spécialiste des paiements.

C’est un peu le même coup qu’a fait Red Hat avec Linux, ou HashiCorp avec Terraform. Vous créez une communauté de gens qui connaissent votre outil à fond, et les membres de cette communauté deviennent ensuite vos meilleurs ambassadeurs et des experts d’un domaine qui recrute à tour de bras. Hyperswitch surfe donc sur cette vague en proposant son outil en self hosting pour l’auto-hébergement ou du managé qu’ils gèrent pour vous. Et c’est clairement un business model qui a fait ses preuves.

Bref, si vous êtes développeur et que vous cherchez une niche où vous spécialiser, les paiements c’est visiblement un secteur qui monte. Et comme Hyperswitch est open source, vous pouvez vous former gratuitement en installant leur stack. Au pire, vous aurez appris quelques trucs utiles et au mieux, vous découvrirez un nouveau métier…

Vous gagnez combien avec la pub sur votre site ??

On est d’accord, c’est dérisoire, et pendant ce temps, Google et Facebook se gavent en revendant votre contenu et l’attention de vos lecteurs à leurs clients. Le modèle est cassé, tout le monde le sait , mais personne n’avait de solution viable… enfin, jusqu’à maintenant.

Matthew Prince, CEO de Cloudflare, vient en effet d’annoncer le lancement du Net Dollar , un stablecoin adossé au dollar américain conçu pour les micropaiements instantanés. Son objectif c’est donc de tuer le modèle publicitaire et le remplacer par du pay-per-use généralisé. Comme ça, terminé le “gratuit financé par la pub”, et bonjour le web à 0,01 euro l’article.

1 Net Dollar = 1 dollar US, puisque c’est un stablecoin adossé au dollar. Il n’y a donc pas la volatilité de Bitcoin et pas de spéculation. C’est vraiment fait pour les transactions, pas l’investissement.

Ainsi, chaque fois qu’un agent IA accède à votre contenu, il paie automatiquement quelques centimes de manière instantanée et cela peu importe où vous vous trouvez… Par exemple, vous êtes en France, un agent IA lit votre article au Japon, et hop vous recevez 0,01 dollar dans la seconde.

On évite ainsi les virements qui mettent du temps, les commissions abusives (coucou Paypal), les seuils minimums avant de prendre le pognon et si ça nous amuse, on peut même facturer 0,0001 dollar par requête API ce qui ne serait pas exemple pas possible avec Visa qui de toute façon prend 0,30 dollars de frais fixes. Là avec Net Dollar, on va pouvoir descendre à des fractions de centimes…

Par exemple, si je me tape dans le mois 50 000 agents IA qui viennent lire un de mes articles, et que je leur facture 0,01 euro par lecture, ça me fait 500 euros dans la poche. Et pour les dev, c’est pareil. Vous pouvez proposer une API gratuitement sans crouler sous les requêtes abusives. Là vous enclenchez un micro-paiement à 0,0001 dollar par requête, comme ça, chacun peut payer à la hauteur de sa consommation. Même chose pour les photographes ou les graphistes, quand une IA utilisera votre photo pour illustrer une de ces réponses….etc.

Bref, c’est plutôt cool pour les créateurs.

Maintenant reste à savoir qui va vraiment payer car ce n’est pas vraiment très clair ? Est ce uniquement les IA de OpenAI, Anthropic, Google qui vont passer à la caisse ? Ou est ce qu’à terme, les humains vont devoir créditer leur navigateur pour pouvoir surfer sur les sites web ? Honnêtement, je n’en sais rien mais si on tombe dans un monde où chaque site exige quelques centimes, je pense que chacun va y réfléchir à deux fois avant de cliquer sur un lien.

Et comme on est sur de la blockchain privée, je vous laisse imaginer le flot de données que ça va apporter à Cloudflare. Ils sauront exactement quel article vous avez lu, ou quel API vous avez utilisé. C’est pas forcement très cool.

Bref, je ne sais pas si le Net Dollar va révolutionner le web, finir de l’achever ou terminer comme toutes ces initiatives qui n’ont jamais décollé, mais à un moment, faudrait qu’on se pose la question de savoir si on préfère se farcir des bannières de pub ou payer 1 centime pour lire un article…

Source