Un tag NFC peut-il transporter un virus ?
Non, au sens où un tag ne peut ni contenir ni exécuter un programme. C'est une petite quantité de mémoire passive, sans processeur à lui pour faire tourner quoi que ce soit. Ce qu'il peut porter, c'est une adresse, et une adresse qui mène quelque part de nuisible est la version réaliste de cette crainte.
Pourquoi c'est impossible
Un tag est de la mémoire dotée d'une interface. Il n'a pas de processeur qui exécute quoi que ce soit, donc rien sur un tag ne s'exécute.
Ce qui y est écrit est une donnée, retournée quand on la demande. Ce qui se passe ensuite est décidé entièrement par le téléphone et par l'application qui la reçoit.
Un virus au sens ordinaire a besoin d'un endroit où s'exécuter et de quelque chose par quoi se propager. Un tag n'offre ni l'un ni l'autre, et ne peut pas être modifié pour les offrir.
L'argument de la taille aussi
Les tags ordinaires portent de quelques centaines d'octets à quelques kilo-octets. C'est assez pour une adresse, une fiche de contact ou un court texte.
Ce n'est pas assez pour un programme de quelque nature que ce soit, même en laissant de côté le fait que rien ne l'exécuterait.
La réponse tient donc doublement, ce qu'il vaut la peine d'énoncer parce qu'on attend une nuance et qu'il n'y en a pas à ce niveau.
Ce qu'un tag peut réellement faire
Porter une adresse menant à une page conçue pour vous tromper, exactement comme un lien imprimé. C'est la version réaliste, et c'est une attaque sociale plutôt que technique.
Porter un contenu façonné pour provoquer un défaut dans ce qui l'analyse, ce qui est une question sur le logiciel de lecture plutôt que sur le NFC, et se traite à part.
Déclencher sur votre propre téléphone une routine que vous avez configurée, ce qui n'est pas une attaque à moins que quelqu'un d'autre ne l'ait configurée.
Rien de tout cela n'est un virus, et les appeler ainsi masque ce qu'il faut réellement en faire.
L'habitude qui couvre tout cela
Lire les tags inconnus au lieu d'agir dessus, avec une application qui montre le contenu et s'arrête là.
Regarder l'adresse avant de la suivre, en appliquant le jugement que vous appliqueriez à un lien reçu d'un inconnu.
Et considérer que tout ce qui vous demande d'installer quelque chose, de vous connecter ou de saisir des informations est le point où commence le risque réel, parce que c'est le cas.
Prenez NFC Tools. Sur iOS, elle demande un iPhone 7 ou un modèle ultérieur sous iOS 15.6 au minimum, et l'application doit être lancée manuellement. La lecture en arrière plan est disponible à partir de l'iPhone XS et XR.
Questions fréquentes
Un tag peut-il infecter mon téléphone ?
Non. Un tag n'a pas de processeur et porte quelques centaines d'octets. Il n'y a rien dessus qui s'exécute.
Et avec un tag de très grande capacité ?
La taille est l'argument secondaire. Même un grand tag n'a rien qui exécute, donc la réponse ne change pas.
Quel est alors le risque réel ?
Une adresse menant quelque part de conçu pour vous tromper. C'est une attaque sociale, que l'on traite en regardant avant de suivre.
Faut-il analyser les tags avec un antivirus ?
Il n'y a rien à analyser. Lire le contenu et juger l'adresse est l'action équivalente.