Une carte bancaire peut-elle être clonée au contact ?
Non. Une carte sans contact ne remet aucun secret réutilisable. Chaque transaction fait intervenir une valeur calculée pour cette transaction, donc capter un échange donne à un attaquant quelque chose de déjà dépensé. C'est la propriété autour de laquelle tout le dispositif est bâti, et c'est pourquoi le clonage de cartes est parti ailleurs.
Pourquoi un enregistrement ne vaut rien
Le principe de conception est que la carte ne se répète jamais. Chaque transaction porte une valeur propre à cette transaction, et une valeur déjà employée est une valeur qui sera refusée.
Un attaquant qui enregistre un échange complet détient donc la transcription de quelque chose qui a eu lieu. La rejouer ne produit pas un second paiement.
Le mécanisme précis relève des spécifications EMV sans contact publiées par EMVCo, plutôt que d'un guide général.
Ce qui est utile ici, c'est la forme de la réponse, parce qu'elle explique pourquoi toute une catégorie d'attaques redoutées ne fonctionne pas : le clonage repose sur la répétition, et les cartes de paiement ont été conçues pour ne pas se répéter.
Ce qu'un lecteur peut obtenir
Moins qu'on ne l'imagine et plus que rien. Une application sur un téléphone peut en général obtenir une partie de ce qui est imprimé sur la face de la carte.
C'est une information que la carte montre à quiconque la regarde, ce qu'il vaut la peine de rappeler avant de conclure que la lire constitue une brèche.
Ce qui n'est pas obtenu, c'est ce qui autoriserait un paiement, puisque c'est précisément ce que la conception retient.
Le guide sur ce que reçoit un terminal détaille ce qui traverse réellement pendant un achat.
Où la vraie fraude est allée
Loin de la carte. Quand dupliquer l'objet physique a cessé de fonctionner, la fraude s'est déplacée vers des voies qui n'en ont jamais besoin : des données saisies sur un site, des comptes détournés, des personnes convaincues d'autoriser elles-mêmes.
C'est pourquoi les conseils pratiques sur la fraude à la carte ne portent presque jamais sur la carte que vous avez en poche.
C'est aussi pourquoi l'inquiétude autour du sans contact est mal dirigée. Le contact est le maillon le plus solide de la chaîne et il attire le plus d'inquiétude.
Ce qui vaut la peine
Vérifier ses relevés, ce qui attrape tout quelle qu'en soit l'origine, et signaler rapidement ce qu'on ne reconnaît pas.
Comprendre qu'une carte dans un portefeuille à côté d'autres cartes risque de ne pas fonctionner plutôt que d'être en danger, ce qui est un problème d'interférence et non de sécurité.
Traiter les produits de blindage comme répondant à une menace faible. Ils fonctionnent, la question est de savoir si la menace les justifie.
Et garder la carte en vue pendant un paiement, ce qui répond aux risques ordinaires, ceux qui n'ont rien à voir avec la radio.
Questions fréquentes
Peut-on enregistrer ma carte et la rejouer ?
Non. La valeur échangée est propre à cette transaction, donc un rejeu présente quelque chose de déjà employé.
Une application peut-elle lire ma carte ?
Elle peut en général obtenir une partie de ce qui est imprimé sur sa face, information que la carte affiche déjà.
Faut-il un portefeuille blindé ?
Il fonctionne, contre une menace faible. Décider sur cette base plutôt que sur la force du discours commercial.
Pourquoi tant d'inquiétude alors ?
Parce que le contact paraît passif. En pratique le contact est le maillon le plus solide, et la fraude s'est déplacée vers des voies qui ne touchent jamais la carte.