Après avoir levé 113 millions de dollars en mai dernier, Alex Atallah, le cofondateur d’OpenRouter, avait décrit son entreprise comme « l’équivalent de Stripe pour l’IA » : sa plateforme permet aux développeurs d’accéder, depuis une interface unique, à des centaines de modèles proposés par différents fournisseurs, là où Stripe joue le rôle d’intermédiaire entre les entreprises et les infrastructures de paiement.
Trois chercheurs de l'université du Massachusetts à Amherst ont réussi à régler pour 3,19 dollars d'achats dans un supermarché avec une carte bancaire périmée !
Leur secret ?
Glisser une app maison entre la carte et le terminal qui trafique la date d'expiration de la carte.
En fait, leur montage relaie les échanges NFC et modifie au passage un champ que personne ne protège : la date d'expiration lue par le terminal. Leur papier s'appelle Zombie Cards Back Online , et a été présenté à USENIX Security 2026.
La mécanique tient en réalité à une bizarrerie du réseau Visa. Une carte annonce sa date d'expiration à deux endroits différents, et sur le kernel Visa, la date que le terminal consulte pour ses contrôles locaux n'est reliée à aucune signature. La banque, elle, regarde l'autre. Les deux devraient être liées cryptographiquement mais elles ne le sont pas.
Pire, ce kernel transmet à la banque un TVR entièrement à zéro. Le TVR, c'est le champ qui raconte ce que le terminal a vérifié et ce qui a coincé. Rempli de zéros, il ne raconte plus rien, du coup, la banque autorise une transaction sans savoir que les contrôles d'en face ont été contournés.
Reste que la portée est plus étroite que le tour de force le laisse croire. Sur cinq banques américaines testées, une seule a validé l'opération de bout en bout dans des conditions de laboratoire, permettant de payer jusqu'à 500 dollars. Une autre a laissé passer le terminal puis refusé côté banque. De leur côté, les kernels Mastercard, American Express et Discover, eux, ont rejeté les modifications.
Il faut aussi avoir la carte expirée à portée de NFC, et que la banque ait réémis la nouvelle avec le même numéro de compte, ce que les auteurs décrivent comme une pratique d'émetteurs américains.
Bref, c'est pas si simple et tous les essais ont eu lieu aux États-Unis donc rien ne dit non plus ce que ça donnerait sur un terminal français, où le sans contact plafonne de toute façon à 50 euros par paiement, 150 euros cumulés et 5 opérations avant que ça ne réclame le code. Puis de toute façon, le numéro de CB change intégralement à chaque renouvellement de carte, donc bon...
Six ans plus tôt, l'équipe de David Basin publiait The EMV Standard: Break, Fix, Verify , une application Android en relais sur du Visa sans contact, ce qui permettait de payer sans saisir de code. C'est vrai que les failles du paiement sans contact ne datent pas d'hier mais ce qui est neuf ici, c'est cette histoire de faiblesse au niveau de la date d'expiration.
Voilà, comme d'hab, Visa a été prévenu en mai 2025, relancé en décembre mais ni Visa ni les banques n'ont annoncé le moindre correctif pour le moment...
En sélectionnant 36 entreprises sur plus de 50 candidatures reçues, la Banque Centrale européenne (BCE) aborde une nouvelle phase du projet d’euro numérique. Aux côtés de géants bancaires comme Deutsche Bank ou UniCredit, et de la banque en ligne Revolut, figurent BPCE et Worldline,seul pure player du paiement français dans la liste.
Huit ans après sa création et rentable depuis 2025, Alma change de dimension. La fintech française, spécialisée dans le paiement fractionné à l’origine d’une solution permettant d’échelonner le paiement d’un achat de deux à douze fois, revendique désormais plus de 25 000 commerçants partenaires dans une dizaine de pays de l’Europe de l’Ouest, un résultat net positif depuis 2025 et 114 millions de revenus annuels récurrents (ARR).
Connexion