Page 1 sur 4

La carte bancaire sans contact n’est pas sécurisée

14 mai, 2012

En avril 2012, un consultant en sécurité informatique a découvert une incroyable faille dans les

cartes bancaires équipées d’une puce de paiement sans contact. Erreur de conception ou contrôle

qualité hasardeux… nos données bancaires confidentielles peuvent facilement être piratées et

réutilisées sur internet…

Retour sur les faits

Récemment deux grands rendez-vous de la sécurité informatique se sont déroulés à Paris : les “GS

Days 2012″ qui est le colloque des “journées francophones de la sécurité” le 3 avril 2012 ainsi que

la conférence “Hackito Ergo Sum” qui a regroupé du 12 au 14 avril quatre cents hackers

informatiques de 40 nationalités différentes, venus faire le point sur les dernières découvertes dans

le domaine de la sécurité informatique. En ces deux occasions, Renaud Lifchitz, Consultant en

sécurité de l’information au sien de BT Global Services (Société informatique internationale de 37

000 collaborateurs présente dans 173 pays qui propose ses services aux grandes entreprises) a

pointé du doigt une faille logicielle dans le système des cartes bancaires de paiement sans contact

VISA payWave & MasterCard PayPass (utilisant la technologie NFC).

Cette technologie NFC (Near Field Communication) permet de réaliser des achats sans contact

entre le moyen de paiement et une machine réceptrice d’informations. Ce type de solution permet

donc en principe de faciliter et fluidifier les petites transactions du quotidien (inférieures à 20 euros)

en réglant ses achats depuis un périphérique comme une carte bancaire, un Smartphone, une

tablette…

Renaud Lifchitz a démontré, à titre personnel comme “défi technique”, comme il est simple de

pirater une carte de paiement “sans contact” durant une opération bancaire ou simplement en

aspirant ses informations alors qu’elle se trouve dans la poche de son propriétaire.

Il a utilisé une simple clé USB NFC (environ 40 euros) connectée à un ordinateur portable ou bien

à un Smartphone afin de capter les communications. À l’aide d’une petite application développée

pour l’occasion, la clé USB se comporte alors comme un terminal de paiement et permet de capter

et d’interpréter le signal émis par la carte placée juste à côté. Ce dispositif a permis de récupérer à

distance et d’afficher le nom du porteur, le numéro de la carte (16 chiffres du code PAN), la date

d’expiration, ainsi que le détail des 20 dernières transactions sur l’écran de son ordinateur. En outre,

les données contenues dans la bande magnétique de la carte bancaire peuvent être également

consultées par un éventuel pirate. En effet, une copie numérique de cette bande est stockée dans

la puce qui devient de fait interrogeable par NFC. Ainsi il devient possible de cloner la carte bancaire

sans même un lecteur de carte à puce…

Cela sonne mal alors que le marché des NFC est actuellement en pleine expansion

Dans un communiqué de presse du 22 mars 2012, la Fédération Française des Telecom indiquait

Page 2 sur 4

que les opérateurs investissent dans le déploiement harmonieux des services mobiles sans contact,

en France. Le sans contact mobile apparait comme une innovation majeure pour les

consommateurs français. “Cette technologie permet d’offrir aux consommateurs une nouvelle

génération de services à portée de main. Le principe de ces services mobiles sans contact est simple

: d’un geste de la main, en passant son téléphone mobile sur un lecteur adapté, l’utilisateur peut

interagir avec son environnement direct. Les applications actuellement développées sont

extrêmement variées : les collectivités territoriales proposeront des applications autour de la

valorisation du patrimoine culturel (informations sur mobile, billetterie,…), de l’éducation, de la

santé (identification, traçabilité,…), des loisirs ou encore pour faciliter l’accès aux services publics

locaux (bibliothèques, stationnement,…). D’autres usages vont également rapidement se diffuser,

notamment la validation des titres de voyage pour les réseaux de transports publics, mais aussi le

paiement de proximité, les programmes de fidélité, voire, à terme, les services à la personne.

500 000 mobiles permettant d’utiliser ces services sont déjà entre les mains de clients français et

ce chiffre devrait atteindre 2,5 millions à la fin de l’année. Les opérateurs ont la vocation de diffuser

cette technologie à leurs 65 millions de clients sur l’ensemble du territoire français, en

accompagnement des collectivités locales.

Le sans contact mobile, un levier de croissance et un enjeu de compétitivité pour la France : la mise

en œuvre de nouveaux services de proximité via les mobiles dans neuf territoires (Bordeaux, Caen,

Grenoble, Marseille, Mulhouse, Strasbourg Toulon, Toulouse ainsi que le Comité régional du

tourisme (CRT) d’Ile-de-France) devrait permettre à l’ensemble des acteurs français d’accentuer

leur avance dans un domaine d’activités en plein foisonnement partout dans le monde.

En s’appuyant sur la concrétisation de ces projets et à travers la valeur ajoutée ainsi créée, tous les

acteurs impliqués pourront trouver des relais de croissance important pour leurs activités, en France

et à l’étranger, ce qui favorisera l’emploi et la compétitivité des industries françaises. Tous les

secteurs d’activité peuvent être acteurs de cette révolution technologique, en imaginant et

développant avec les opérateurs de nouveaux services sans contact mobile.”

A moins que des problèmes critiques de sécurité ne viennent ralentir ces belles initiatives…

Ce que Renaud Lifchitz a mis en évidence

Le standard international de sécurité EMV (Europay Mastercard Visa) qui est utilisé en France,

depuis fin 2006, par le système national des Cartes Bancaires (CB) et l’ensemble du parc des

terminaux de paiement électroniques (ou TPE) et qui est supposé garantir :

• interopérabilité internationale (quel que soit l’émetteur de la carte et quel que soit le terminal de

paiement)

• vérification et chiffrement de la clé personnelle par la puce

Page 3 sur 4

Par sa démonstration, Renaud Lifchitz remet en question le standard EMV qui selon lui aurait été

utilisé tel quel via la technologie NFC, sans se poser plus de questions sur la sécurité des échanges

entre la carte et le lecteur qui n’est pas cryptée…

Nous avons donc ici une non-conformité aux spécifications techniques internationales PCI DSS*

qui exigent, en autre, le chiffrement de la transmission des données des détenteurs de cartes de

crédit et de l’information confidentielle par le biais des réseaux publics.

En principe, les cartes de paiement affichant le sigle EMV (Europay Mastercard Visa) sont dotées

d’un système de vérification et de cryptage de la clé personnelle par la puce. Certaines d’entre elles

proposent également des moyens d’authentification forte comme le mot de passe unique (OTP,

pour One Time Password). Pourtant, certaines cartes compatibles avec le NFC ne proposent pas ce

type de sécurisation.

Quelles sont les conséquences possibles ?

Les spécifications EMV ne semblent pas avoir été respectées dans la fabrication des cartes de

paiement. Le contre argument avancé par les banques est que d’une part il est impossible

d’intercepter les informations au-delà d’une dizaine de centimètres et d’autre part, le paiement

sans contact est limité pour des petites sommes d’un montant maximum de 20 euros.

Mais de son côté, Renaud Lifchitz a démontré qu’avec du matériel d’environ 2000 euros, il est

possible d’intercepter des transmissions de paiement à plusieurs mètres de distance. En outre, les

informations piratées lors d’une transaction sans contact peuvent très facilement être utilisées pour

réaliser des transactions d’achat sur internet sans authentification du porteur, c’est-à-dire partout

où le code PIN n’est pas demandé, donc à l’étranger (dans les pays “hors EMV” demandant

uniquement le numéro de carte bancaire et la date d’expiration mais pas le cryptogramme des trois

derniers chiffres placés au dos de la carte).

Renaud Lifchitz a alerté sa banque qui l’a remercié pour cette information. Mais il n’a pas eu de

retour d’autres banques. Seuls les organismes publics : ministère des Finances, ministère de

l’Intérieur, ainsi que la CNIL ont été intéressés. Et il communique avec cette dernière “pour mettre

en place un protocole”.

Jean-Marc Bornet Administrateur du GIE Cartes Bancaires a été alerté de cette faille. Il explique

qu’afin d’éviter les risques de perte de données, le groupement collabore étroitement avec les

autorités publiques compétentes et ajoute que désormais, les banques distribuent des étuis

capables d’agir comme des cages de Faraday pour empêcher le piratage électronique … En effet,

cette cage de Faraday permet au moins de se protéger lorsqu’on n’utilise pas sa carte NFC.

Quelles sont les parades possibles pour le paiement sans contact ?

Pour Armand Heslot Ingénieur expert en systèmes d’information à la CNIL, il existe des solutions

assez simples qui pourraient être mises en œuvre :

Page 4 sur 4

- l’emploi d’un code PIN différent pour la partie sans contact (Cf. un rapport de l’observatoire de la

sécurité des cartes de paiement datant de 2009).

- laisser le contrôle complet de cette partie à l’utilisateur, qui pourra donc choisir de la désactiver

(recommandation de la Banque de France).

Renaud Lifchitz indique que pour se protéger la seule solution consiste à utiliser un étui en métal,

faisant office de “cage de Faraday” neutralisant ainsi tout rayonnement électromagnétique.

Néanmoins, une véritable transmission cryptée est nécessaire. Il explique que “des mesures sont

prévues et qu’il suffirait de les activer” d’autant que les cartes sont équipées d’une puce dédiée au

cryptage des données…

On peut légitimement s’interroger sur cette faille informatique dans laquelle la protection des

données personnelles a été négligée.

S’agit-il d’une erreur de conception ? Les procédures de contrôle qualité ont-elle été bâclées ? Pour

Renaud Lifchitz, les protocoles de sécurisation ont été repris à l’identique des cartes de paiement

avec contact, sans adaptation aux contraintes et risques de piratage technique de

télécommunication par radio. “La phase d’industrialisation a peut-être été un peu trop rapide…”

d’après lui.

Gageons que les différents spécialistes œuvrent très rapidement à la correction de cette faille avant

que d’autres acteurs émergents comme les USA ou le Japon ne s’emparent de ce marché en plein

développement…

* La norme Payment Card Industry Data Security Standard (PCI DSS) créée conjointement par

MasterCard et VISA porte sur la sécurisation des données de détenteurs de cartes de crédit. Au

cours d’une transaction, des données sensibles telles que les numéros de cartes de crédit sont

transmises, traitées et parfois conservées pour de brefs instants. Afin de s’assurer que ces données

sensibles sont adéquatement protégées durant toutes les étapes du processus transactionnel, la

norme PCI DSS impose, à l’ensemble des acteurs de l’industrie du paiement, l’adoption de mesures

de sécurité.

La norme PCI DSS a donc pour objectif de protéger les données reliées à l’utilisation des cartes de

crédit. Pour être conformes, les acteurs de l’industrie du paiement qui conservent, traitent ou

transmettent des numéros de cartes de crédit doivent satisfaire aux 12 exigences de bon sens et de

sécurité dont “Protéger les données des détenteurs de cartes de crédit” (protéger les données des

détenteurs de cartes de crédit stockées et chiffrer la transmission des données des détenteurs de

cartes et de l’information confidentielle par le biais des réseaux publics.)

Eric Hansen