NFC : Smartphone et cartes bleues piratées, un mal pour un bien ?

Les Smartphones et les cartes bancaires sans contact utilisant le NFC doivent envahir la France et l'Europe dans les prochaines années. Ce système de paiement est supposé faciliter les transactions financières en permettant le paiement par un simple contact de la carte bleue ou du Smartphone sur le terminal du vendeur (de la même façon qu'avec un pass Navigo). Le NFC doit vous faciliter la vie selon Master Card et VISA. Cette utilisation a été sérieusement remise en question lors du Hackito Ergo Sum, meeting international de hackers réuni les 12, 13 et 14 avril 2012. Un hacker, Renaud Lifchitz, a démontré la faiblesse du système en piratant devant tout le monde sa propre carte de crédit.

A l'aide d'un lecteur NFC USB d'une quarantaine d'euro disponible en ligne il arrive à déchiffrer une carte VISA en la glissant simplement à proximité du lecteur USB. Il obtient alors nom, prénom, numéro de carte, date d'expiration et toutes les dernières transactions réalisées. Selon le hacker il est même possible d'accéder au contenu de la bande magnétique permettant de cloner la carte. La principale défense des émetteurs de carte est de mettre avant la nécessaire proximité entre la carte et le lecteur. Cela ne tient pas selon lui : après avoir transformé son smartphone Android en lecteur de carte, il lui suffit de frôler votre poche. De plus un amplificateur à environ 2000€ ou une antenne à 1000€ caché dans un sac à dos, permettent de lire les informations de la carte de paiement jusqu'à 1,50m (la distance pouvant être multipliée jusqu'à 50 fois selon Renaud Lifchitz) ! Imaginez le métro bondé ou les grands magasins pendant les soldes !

Rassurez-vous le Hackito Ergo Sum est là pour valoriser le travail de ces chercheurs-hackers œuvrant pour la communauté. Par conséquent le hacker propose des solutions. Par exemple se débarrasser de votre carte de crédit par paiement sans contact ! Vous pouvez aussi acheter un portefeuille métallique qui bloquera les ondes et protégera vos données ! Des solutions simples pourraient être mises en place si les organismes de paiement prenaient la peine d'investir. Un pass Navigo est plus sécurisé qu'une carte de paiement à distance car il n'envoie pas de données par lui-même ! Les cartes bancaires sont déjà équipées de cryptoprocesseurs qui pourraient servir à crypter les informations du paiement à distance et éviter le piratage sauvage. Quoi qu'il en soit, le travail du hacker montre de sérieuses lacunes dans la protection des données. Ceci explique peut-être la difficile mise en place du NFC sur les iPhone et autres Smartphones. L'appel est lancé aux organismes de paiement. Et vous seriez vous prêt à payer en NFC malgré ses faiblesses évidentes ?

Pour plus d'informations : http://www.securityvibes.fr/produits-technologies/visa-mastercard-carte-sans-contact/