Que se passe-t-il si vous présentez votre carte à un terminal inconnu ?
La carte répond, parce qu'elle n'a aucun moyen de juger ce à quoi elle parle. La protection se situe une étape plus loin : un échange ne devient un paiement que s'il atteint une banque acquéreur par un commerçant que cette banque a agréé. Un appareil qui capte l'échange a capté quelque chose qu'il ne peut pas dépenser.
La carte répond à tout
Une carte n'a aucune notion de qui l'interroge. Elle est alimentée, elle est adressée, et elle participe à l'échange auquel elle a été construite pour participer.
Un appareil en forme de terminal, ou aucun terminal du tout, obtient donc une réponse. Il n'y a pas d'authentification du lecteur par la carte au sens où on l'imagine.
Cela paraît alarmant et ne l'est pas, parce que la réponse ne vaut quelque chose que pour qui peut la présenter à une banque.
Où se situe la protection
Un paiement n'est pas un message venu d'une carte. C'est une opération soumise par un commerçant, par l'intermédiaire d'une banque acquéreur qui a accepté ce commerçant, dans le cadre de règles que le commerçant a acceptées.
Un échange capté par un appareil étranger à cette chaîne n'a nulle part où être soumis. Qui le détient détient la trace d'une interaction.
La conséquence est que l'attaquant intéressant n'est pas celui qui dispose d'un lecteur dissimulé. C'est celui qui a obtenu un agrément de commerçant, ce qui est une fraude contre le système bancaire plutôt que contre le NFC.
La façon dont un agrément est accordé et retiré, et les contrôles qu'applique un réseau de paiement, relèvent des réseaux de paiement plutôt que d'un guide général.
La version réelle de ce risque
Un terminal qui affiche un montant et en soumet un autre, ou un commerçant qui débite deux fois. Les deux sont des litiges ordinaires et se règlent auprès de la banque plutôt que par une propriété de la carte.
Un terminal dans un lieu où vous ne choisiriez pas de payer, ce qui est un jugement sur le commerçant et non sur la technologie.
Et une carte présentée par mégarde à un terminal que vous n'aviez pas l'intention d'employer, raison pour laquelle un paiement affiche normalement une confirmation et un montant.
Aucun de ces cas ne se règle en refusant de présenter sa carte. Ils se règlent en regardant le montant et en lisant son relevé.
Que faire devant un terminal
Regarder le montant avant de présenter la carte, seul contrôle que la technologie ne peut pas faire à votre place.
Garder la carte dans sa propre main plutôt que de la tendre, puisque les risques ordinaires autour d'une carte sont physiques plutôt que radio.
Préférer le téléphone quand le montant est inhabituel, parce que l'étape de confirmation se trouve sur votre appareil et non sur le leur.
Et si quelque chose ne va pas, le recours est la banque, rapidement. C'est là que cette catégorie de problème se règle réellement.
Questions fréquentes
Un faux terminal peut-il débiter ma carte ?
Il peut mener un échange à son terme et ne peut pas le transformer en argent, puisque soumettre une opération réclame un agrément auprès d'une banque acquéreur.
Ma carte contrôle-t-elle le terminal ?
Non. La carte répond à ce qui l'adresse. Le contrôle se situe plus loin dans la chaîne, pas au niveau de la carte.
Quel est le risque réaliste devant un terminal ?
Un montant différent de celui convenu, ou un double débit. Les deux sont des litiges, réglés auprès de la banque.
Faut-il éviter de payer sans contact à certains endroits ?
Le jugement porte sur le commerçant plutôt que sur la technologie. Regarder le montant et lire son relevé ensuite.