Ouvrir le menu principal

iGeneration

Recherche

Apple Pay : une faille du mode Express avec les cartes Visa

Félix Cattafesta

jeudi 30 septembre 2021 à 14:05 • 42

Services

Une faille d'Apple Pay permettant d'effectuer des paiements sans contact non autorisés a été repérée par des universitaires britanniques. Elle concerne le mode Express qui sert dans les transports en commun. La carte de paiement n’a pas besoin d’authentification (avec Face ID, Touch ID ou un code) ce qui permet de valider rapidement son trajet en approchant le téléphone ou la montre du lecteur, comme avec une carte normale. Les chercheurs ont réussi à abuser ce système « en faisant croire à un iPhone qu'il parlait à un portail de transports en commun », rapporte ZDNet.

Le problème ne concerne que les cartes Visa configurées dans ce mode express. Il est lié à l'utilisation d'un code unique (« Magic bytes ») destiné à déverrouiller Apple Pay qui est diffusé par les portiques des différentes entreprises de transport en commun. La fraude consiste à se servir d’un équipement radio pour faire croire à l'iPhone qu'il communique avec un de ces portiques. Derrière, un téléphone Android embarque une app spécifique pour rediriger le signal vers un terminal de paiement. L’iPhone pense avoir à faire à un portique, il n'est pas nécessaire qu'il soit déverrouillé et le paiement est validé à l’insu de l’utilisateur.

Une vidéo plus détaillée est disponible ici et l'on peut voir un paiement de 1 000 £ effectué à tort. Le modèle de téléphone ne change pas, l'expérience ayant été effectuée avec un iPhone 7 et un iPhone 12, la faille de sécurité est liée au réseau de paiement Visa. Visa comme Apple sont au courant du problème depuis plusieurs mois et les deux entreprises ont reconnu la faille, sans toutefois l’avoir corrigée à ce jour.

La Pomme rejette la faute sur Visa, qui se défend en expliquant que différents schémas de fraude sans contact ont été étudiés en laboratoire pendant « plus d'une décennie » sans qu'ils ne se montrent forcément réalisables en pratique. Les chercheurs déplorent qu'aucune des deux entreprises ne prenne la responsabilité (même partielle) du problème et n'ait diffusé de correctif. Visa rappelle cependant que si un paiement de ce type se produisait, les clients restent protégés par sa politique de responsabilité.

ZDNet observe que si cette attaque peut faire peur, elle n'est pas vraiment applicable à grande échelle. Les chercheurs en sécurité ont testé plusieurs combinaisons et seules les cartes Visa configurées en paiement express dans Apple Pay sont concernées, ce n’est pas le cas des cartes Mastercard ou American Express. Ils ont aussi testé avec Samsung Pay, sans succès.

Source :

Rejoignez le Club iGen

Soutenez le travail d'une rédaction indépendante.

Rejoignez la plus grande communauté Apple francophone !

S'abonner

Promo : iPad Air M3 à 713 € (-176 €), iPad A16 à 495 € (-84 €)

09:05

• 6


Prenez-vous des photos avec votre iPad ?

05/04/2025 à 15:00

• 59


Sortie de veille : Apple Intelligence finalement dispo, l’attente récompensée ?

05/04/2025 à 12:17

• 14


Mon écran d'accueil : Pierre et ses trois pages d’apps qu’il n’utilise « pas »

05/04/2025 à 11:00

• 5


Starlink passe à 29 €/mois avec une connexion moins prioritaire

05/04/2025 à 10:48

• 114


La Switch 2 est déjà disponible en précommande chez certains revendeurs, avec des promos 🆕

04/04/2025 à 23:25

• 74


Corning présente le Gorilla Glass Ceramic, encore plus résistant que le Gorilla Glass standard

04/04/2025 à 21:00

• 10


App Store : cinq VPN liés à une entreprise chinoise sur liste noire sont accessibles aux États-Unis

04/04/2025 à 20:30

• 5


Grâce à la Nintendo Switch 2, les cartes (micro)SD Express arrivent enfin

04/04/2025 à 19:30

• 10


Nintendo retarde les précommandes de la Switch 2 aux États-Unis, à cause de Donald Trump

04/04/2025 à 17:33

• 63


Google propose des jeux pour Android Auto

04/04/2025 à 16:15

• 0


Qualcomm abandonne la 5G mmWave avec son Snapdragon 8s Gen 4, comme Apple avec son modem C1

04/04/2025 à 15:30

• 5


iOS 18.4 : les navigateurs tiers peuvent désormais installer des extensions

04/04/2025 à 13:50

• 16


Silence : une application pour bloquer les appels indésirables sans abonnement

04/04/2025 à 12:30

• 100


Certains utilisateurs rencontrent des difficultés avec CarPlay depuis leur passage à iOS 18.4

04/04/2025 à 11:00

• 38


Test de l’iPhone 16e : pour tout le monde, ou presque

04/04/2025 à 09:26

• 33