Le principe du skimming sans contact
Une carte sans contact est une antenne passive : elle n'a pas de batterie et s'alimente grâce au champ magnétique du lecteur. Elle ne fait aucune différence entre le terminal d'un commerçant et un lecteur pirate. Dès qu'un champ compatible l'atteint, elle répond.
Le matériel nécessaire est en vente libre : lecteur NFC portable, batterie externe, application de capture. L'ensemble tient dans une sacoche, un sac à dos ou une doublure de manteau.
Quelle distance de capture ?
Un terminal de paiement standard lit à 4 centimètres environ. Un lecteur pirate équipé d'une antenne amplifiée peut monter à 20, parfois 50 centimètres selon la puissance et l'orientation.
Cela paraît peu — jusqu'à ce qu'on pense à une rame de métro à l'heure de pointe, à une file d'attente en caisse, à un ascenseur ou à un hall d'aéroport. La proximité nécessaire y est atteinte plusieurs fois par jour.
Ce qui peut être capté
- Le numéro de carte et sa date d'expiration sur certaines cartes anciennes
- L'identifiant unique de la puce, réutilisable pour du profilage et du suivi
- Les données d'identité stockées sur un passeport biométrique ou un badge
- Les identifiants de badges d'accès, clonables pour entrer dans un bâtiment
Pourquoi la fraude est détectée si tard
Les données volées ne sont presque jamais utilisées immédiatement. Elles sont revendues par lots, puis exploitées des semaines plus tard, souvent depuis un autre pays et par petits montants pour passer sous les seuils d'alerte.
Quand la victime fait le lien, elle a rarement le souvenir du lieu ou du moment de la capture — ce qui rend la contestation plus longue et l'enquête presque impossible.
Les signaux qui doivent alerter
- Des micro-débits inexpliqués de 1 à 5 €
- Une tentative de paiement refusée dans un pays où vous n'êtes pas
- Une demande de code de vérification que vous n'avez pas initiée
- Un rejet de paiement en magasin alors que votre solde est suffisant
La parade
Empêcher l'échange dès la source reste la seule protection réellement efficace, puisque tout se joue avant même que la donnée quitte votre poche. C'est exactement le rôle d'une carte brouilleuse comme Wallet Defender : le lecteur reçoit du bruit, et la conversation n'a jamais lieu.