NFC Ghost Tap : La fraude au paiement sans contact en hausse de 35x en 2025

Poser la carte, prendre son café, repartir. Le paiement sans contact est rapide et pratique, mais il est devenu une cible privilégiée des cybercriminels. Une technique appelée Ghost Tap a connu une augmentation de 35 fois depuis début 2025, transformant des données de cartes volées en achats intraçables à travers le monde.

Qu'est-ce qu'une attaque Ghost Tap ?

Ghost Tap est une attaque par relais NFC. Au lieu de cloner physiquement votre carte, les attaquants capturent les données NFC de votre carte et les relaient en temps réel vers un appareil distant qui effectue des achats en votre nom.

1. Vol des données de la carte — Par phishing, superpositions malveillantes sur les applications bancaires ou ingénierie sociale
2. Liaison au portefeuille mobile — Les données volées sont chargées dans Apple Pay ou Google Wallet sur un téléphone contrôlé par l'attaquant
3. Relais du signal NFC — Un logiciel comme NFCGate relaie le signal NFC vers un réseau de « mules »
4. Achat — Les mules entrent dans des magasins du monde entier et effectuent des paiements sans contact sous le plafond

Le processus ne prend que quelques secondes. Votre carte n'a jamais quitté votre poche, mais quelqu'un dans un autre pays fait des achats avec.

Pourquoi Ghost Tap est difficile à détecter

L'augmentation de 35x : qu'est-ce qui a changé ?

Outils NFC open source

NFCGate, développé comme outil de recherche académique, est devenu largement disponible. Ses capacités de relais NFC sont maintenant documentées dans des tutoriels de fraude sur Telegram et le dark web.

Adoption massive du paiement mobile

Avec l'essor d'Apple Pay, Google Wallet et des cartes bancaires sans contact, la surface d'attaque s'est considérablement agrandie.

Réseaux organisés de mules

Les réseaux criminels recrutent des mules via WhatsApp et les réseaux sociaux, offrant un pourcentage sur chaque achat frauduleux.

Comment vous protéger

Mesures immédiates

1. Activez les notifications de transaction — Alertes en temps réel pour chaque mouvement sur votre carte
2. Fixez un plafond sans contact bas — Beaucoup de banques permettent des plafonds personnalisés
3. Utilisez la vérification biométrique — Face ID ou empreinte digitale pour chaque paiement mobile
4. Ne partagez jamais vos codes — Aucune banque ne vous demandera votre code par téléphone ou SMS
5. Vérifiez vos relevés chaque semaine — Les petits débits frauduleux (5-15€) sont conçus pour passer inaperçus

Protégez vos données sensibles en ligne

Ghost Tap commence par des données volées. Chaque information sensible que vous partagez en ligne est un point d'entrée potentiel.

Quand vous partagez des mots de passe ou des données financières, utilisez des canaux chiffrés plutôt que du texte brut sur WhatsApp. LOCK.PUB vous permet de partager des informations sensibles via des liens protégés par mot de passe et à expiration automatique, évitant que vos données bancaires restent indéfiniment dans l'historique de conversation.

Si vous êtes victime

1. Bloquez votre carte immédiatement via l'application bancaire
2. Contactez le service fraude de votre banque
3. Déposez plainte — Nécessaire pour les demandes de remboursement
4. Vérifiez tous les portefeuilles liés — Apple Pay, Google Pay, Samsung Pay
5. Changez le mot de passe de votre application bancaire

Conclusion

Ghost Tap illustre la tension fondamentale entre commodité et sécurité dans les paiements. Activez les notifications, méfiez-vous de toute demande de code et ne partagez pas d'informations sensibles en clair. Des outils comme LOCK.PUB garantissent que les données sensibles ne persistent pas dans des canaux non protégés.

Le sans contact doit être pratique — mais ce doit toujours être vous qui payez.