Alerte au « toucher fantôme », l’arnaque sans contact qui vide votre carte bancaire

Les cybercriminels ont trouvé le moyen d’intercepter les données de la technologie NFC pour effectuer des achats à l’insu de la victime. Nous vous expliquons comment vous protéger contre cette fraude.

Le paiement sans contact, cette fonctionnalité qui permet d’effectuer un achat en approchant simplement votre carte ou votre téléphone portable d’un terminal de paiement, est l’un des moyens les plus pratiques pour effectuer une transaction dans les magasins, les cafés ou les transports publics.

Mais derrière cette commodité, une nouvelle menace en matière de cybersécurité s’est fortement développée ces dernières semaines. Il s’agit du « toucher fantôme », une arnaque numérique capable de vider votre compte bancaire en quelques secondes sans que vous vous en rendiez compte.

Cette technique exploite la technologie NFC (Near Field Communication), présente dans la plupart des téléphones et cartes modernes, pour effectuer des paiements par proximité. En théorie, il s’agit d’un système sécurisé : chaque transaction génère un code unique ou jeton qui expire presque immédiatement.

Cependant, les cybercriminels ont trouvé le moyen d’intercepter ce code et de le retransmettre à un autre appareil qui effectue un faux achat, comme s’il s’agissait de la carte originale de la victime.

Ce phénomène n’est pas négligeable. Selon une récente étude de Kaspersky, la fraude fonctionne de deux manières principales : l’une en personne, qui nécessite que les criminels soient physiquement proches de la victime, et l’autre à distance, qui s’appuie sur des tactiques d’ingénierie sociale.

Dans la version en personne, les fraudeurs utilisent deux téléphones portables connectés entre eux. L’un d’eux s’approche de la victime, dans une file d’attente, dans les transports ou dans un bar, pour capturer le jeton du paiement sans contact. En temps réel, ce code est envoyé à un autre téléphone, qui est placé devant un terminal de paiement et effectue la transaction frauduleuse. Tout se passe en quelques secondes, sans que la victime ne s’en aperçoive et sans qu’aucun logiciel n’ait été installé sur son appareil.

La variante à distance commence par une arnaque téléphonique classique : un soi-disant employé de la banque ou de la société émettrice de la carte convainc la victime d’installer une fausse application afin, soi-disant, de valider la carte. Lorsque la personne approche sa carte du téléphone portable, l’application intercepte le jeton et le renvoie à l’appareil du fraudeur, qui l’utilise immédiatement pour effectuer un paiement sur un autre terminal.

« Cette arnaque montre à quel point les criminels connaissent bien les faiblesses du système pour l’exploiter à leur avantage et créer une fraude sans avoir à pirater d’autres appareils », a expliqué Anderson Leite, chercheur en sécurité chez Kaspersky. « Notre analyse a démontré que, même avec les couches de sécurité existantes, la créativité des attaquants leur a permis d’intercepter et de renvoyer les données des cartes. »

Des tutoriels et des vidéos expliquant comment configurer les applications malveillantes utilisées dans ce type de fraude circulent déjà sur les canaux Telegram. Certains montrent même des transactions réelles effectuées avec des cartes afin d’attirer un public criminel international sous prétexte d’offrir des outils pour les paiements à distance.

Comment se protéger du « toucher fantôme »

Les spécialistes de Kaspersky ont partagé avec TN Tecno une série de mesures pour éviter d’être victime de cette arnaque :

• Utilisez des portefeuilles ou des étuis avec verrouillage NFC, qui empêchent un pirate de lire les données de votre carte sans contact.
• Vérifiez fréquemment vos mouvements bancaires et signalez immédiatement toute opération suspecte.
• Activez les alertes et notifications de l’application de votre banque, de votre portefeuille virtuel ou de votre carte pour chaque opération effectuée sur votre compte.
• Évitez de télécharger des applications en dehors des boutiques officielles et vérifiez toujours le nom et la réputation du développeur. Ne téléchargez et n’installez jamais d’applications envoyées ou recommandées par une autre personne via des messages, les réseaux sociaux ou WhatsApp.
• Disposez d’une solution de sécurité fiable, capable de détecter et de bloquer les applications malveillantes qui tentent d’exploiter la communication NFC.