« 6 secondes pour pirater une carte Visa » : que reste-t-il de cette attaque ?

En décembre 2016, des chercheurs de l’université de Newcastle publiaient dans la revue IEEE Security & Privacy une démonstration spectaculaire : retrouver la date d’expiration et le cryptogramme d’une carte Visa à partir du seul numéro, en quelques secondes. Dix ans plus tard, l’article mérite d’être repris — non pour entretenir la peur, mais parce que la faille a été traitée, et que ce qui l’a remplacée n’a rien à voir.

L’attaque telle qu’elle fonctionnait

Le principe s’appelait Distributed Guessing Attack — attaque par devinette distribuée. Il repose sur une observation simple : les données à deviner sont peu nombreuses.

• Les premiers chiffres d’un numéro de carte identifient l’émetteur et le type de carte : ils ne se devinent pas, ils se déduisent.
• La date d’expiration tient en quelques dizaines de possibilités : une carte est valide au maximum quelques années.
• Le cryptogramme à trois chiffres n’offre que 1 000 combinaisons.

Un attaquant qui dispose du numéro de carte — vendu en lot sur des places de marché clandestines — n’a donc que quelques centaines d’essais à faire.

La faille exploitée était ailleurs. Chaque site marchand bloque bien les essais répétés, mais uniquement chez lui. En répartissant les tentatives sur des centaines de boutiques différentes, aucun site ne voit plus qu’un ou deux échecs — et le réseau, à l’époque, n’agrégeait pas ces échecs entre commerçants. Les chercheurs notaient d’ailleurs que la même attaque échouait sur le réseau Mastercard, qui corrélait déjà les tentatives et détectait le schéma en moins d’une dizaine d’essais.

Ce qui a changé depuis : l’authentification forte

La réponse n’est pas venue des réseaux mais de la réglementation. La deuxième directive européenne sur les services de paiement (DSP2) a rendu l’authentification forte du client obligatoire pour le paiement en ligne.

Concrètement : un paiement doit être validé par au moins deux facteurs indépendants — quelque chose que vous savez (un code), quelque chose que vous possédez (votre téléphone), ou quelque chose que vous êtes (une empreinte). C’est le rôle du 3-D Secure de deuxième génération, la validation par l’application bancaire ou par biométrie que vous connaissez.

L’effet sur l’attaque de Newcastle est direct : deviner le cryptogramme ne suffit plus. Même complètes, les données de la carte ne permettent pas de valider un paiement sans le second facteur, qui exige un appareil que l’attaquant n’a pas. Voir notre article sur le protocole 3-D Secure.

Les chiffres suivent : au premier semestre 2025, le taux de fraude sur les cartes françaises s’établissait à 0,048 % des montants — son plus bas niveau historique, contre 0,053 % l’année précédente — pour 211 millions d’euros, en recul de 9,8 %.

Ce qui reste vrai

Trois choses, et elles comptent.

Les données de carte circulent toujours. Fuites de bases marchandes, logiciels malveillants, faux sites : le numéro reste une donnée qui s’échange. Ce qu’il permet a simplement changé de nature.

Les exemptions existent. L’authentification forte n’est pas exigée sur tous les paiements : les petits montants et certains marchands bénéficient d’exemptions. C’est là que se concentrent désormais les tentatives automatisées.

La fraude a changé de terrain, pas d’ampleur. C’est le point essentiel : puisque forcer le paiement est devenu difficile, les fraudeurs s’attaquent directement au porteur. La fraude par manipulation — se faire passer pour le conseiller bancaire ou un service public afin d’obtenir la validation de la victime — représente désormais environ 40 % de la valeur totale de la fraude, contre 32 % un ou deux ans plus tôt.

Autrement dit : le pirate ne devine plus votre cryptogramme, il vous appelle pour que vous validiez vous-même l’opération dans votre application. Aucun protocole ne protège contre cela. Voir comment réagir en cas de fraude.

Les protections réellement utiles aujourd’hui

• La carte virtuelle à usage unique : un numéro jetable, propre à un achat ou à un marchand, inutilisable ailleurs. C’est la seule réponse structurelle au vol de numéro. Voir la carte bancaire virtuelle.
• Le compte de paiement cloisonné : un compte sans banque ou une carte prépayée n’expose que la somme qui s’y trouve, jamais l’ensemble de vos avoirs. Ce n’est pas un dispositif anti-fraude — c’est un plafond de dégât.
• La règle absolue : personne, ni votre banque ni un service public, ne vous demandera jamais de valider une opération dans votre application au téléphone. Une demande de ce type est une fraude, sans exception.

Et le droit au remboursement

Il est fixé par le Code monétaire et financier et n’a pas changé : une opération que vous n’avez pas autorisée doit vous être remboursée au plus tard le premier jour ouvrable suivant votre signalement. Vous disposez de 13 mois pour contester une opération. Détails dans notre article fraude à la carte bancaire : le remboursement.

---

Sources : Newcastle University, « Does The Online Card Payment Landscape Unwittingly Facilitate Fraud ? », IEEE Security & Privacy, décembre 2016 ; Observatoire de la sécurité des moyens de paiement (Banque de France), note statistique sur la fraude au premier semestre 2025 ; directive (UE) 2015/2366 (DSP2) et normes techniques sur l’authentification forte ; articles L133-18 et suivants du Code monétaire et financier.