Vol de données RFID : comment ça marche vraiment

Le principe du skimming sans contact

Une carte sans contact est une antenne passive : elle n'a pas de batterie et s'alimente grâce au champ magnétique du lecteur. Elle ne fait aucune différence entre le terminal d'un commerçant et un lecteur pirate. Dès qu'un champ compatible l'atteint, elle répond.

Le matériel nécessaire est en vente libre : lecteur NFC portable, batterie externe, application de capture. L'ensemble tient dans une sacoche, un sac à dos ou une doublure de manteau.

Quelle distance de capture ?

Un terminal de paiement standard lit à 4 centimètres environ. Un lecteur pirate équipé d'une antenne amplifiée peut monter à 20, parfois 50 centimètres selon la puissance et l'orientation.

Cela paraît peu — jusqu'à ce qu'on pense à une rame de métro à l'heure de pointe, à une file d'attente en caisse, à un ascenseur ou à un hall d'aéroport. La proximité nécessaire y est atteinte plusieurs fois par jour.

Ce qui peut être capté

• Le numéro de carte et sa date d'expiration sur certaines cartes anciennes
• L'identifiant unique de la puce, réutilisable pour du profilage et du suivi
• Les données d'identité stockées sur un passeport biométrique ou un badge
• Les identifiants de badges d'accès, clonables pour entrer dans un bâtiment

Pourquoi la fraude est détectée si tard

Les données volées ne sont presque jamais utilisées immédiatement. Elles sont revendues par lots, puis exploitées des semaines plus tard, souvent depuis un autre pays et par petits montants pour passer sous les seuils d'alerte.

Quand la victime fait le lien, elle a rarement le souvenir du lieu ou du moment de la capture — ce qui rend la contestation plus longue et l'enquête presque impossible.

Les signaux qui doivent alerter

• Des micro-débits inexpliqués de 1 à 5 €
• Une tentative de paiement refusée dans un pays où vous n'êtes pas
• Une demande de code de vérification que vous n'avez pas initiée
• Un rejet de paiement en magasin alors que votre solde est suffisant

La parade

Empêcher l'échange dès la source reste la seule protection réellement efficace, puisque tout se joue avant même que la donnée quitte votre poche. C'est exactement le rôle d'une carte brouilleuse comme Wallet Defender : le lecteur reçoit du bruit, et la conversation n'a jamais lieu.

Le déroulé d'une lecture, étape par étape

• Le lecteur émet un champ électromagnétique à 13,56 MHz.
• L'antenne de la carte capte ce champ et s'alimente, sans batterie.
• La puce répond selon le protocole prévu par la norme.
• Une barrière physique proche empêche cette alimentation ou rend la réponse inexploitable.

Distance réelle et scénarios crédibles

Les limites à connaître

• Une protection physique agit sur la lecture sans contact de proximité, pas sur la fraude en ligne.
• Elle ne remplace ni l'opposition en cas de perte, ni la vigilance face aux messages frauduleux.
• Elle ne modifie pas vos plafonds ni vos conditions bancaires.
• Elle se vérifie en dix secondes devant un terminal : ne vous en remettez pas à une promesse commerciale.

Combien de protections prévoir

Une carte couvre un contenant. Portefeuille, sac, sacoche, pochette de voyage, boîte à gants : la plupart des foyers en comptent quatre à six. Le pack de 6 revient à 15,66 € par contenant, le pack de 9 à 15,00 €, contre 46,99 € pour une carte seule.