Nouveau piège NFC : des escrocs vous font installer un faux tech support et clonent votre carte en direct — Comment éviter l’arnaque en 5 gestes simples

Une nouvelle campagne de fraude mobile combine ingénieusement ingénierie sociale et logiciels malveillants pour voler les données de cartes bancaires via le NFC. Les experts de Group‑IB ont décrit une attaque ciblant les smartphones Android où les cybercriminels persuadent la victime d’installer un RAT (Remote Access Trojan) nommé SpyNote, puis déploient à son insu un module baptisé WindRelay qui lit les informations du paiement sans contact. Le procédé est rapide, efficace et terriblement simple à exécuter pour l’attaquant : l’ensemble de l’opération se déroule en temps réel, durant une conversation téléphonique d’une dizaine de minutes.

Le scénario d’attaque : social engineering, sideloading et NFC

Le point d’entrée est classique mais redoutable : une conversation téléphonique. L’attaquant se fait passer pour un employé de la banque, prétextant un problème sur la carte de la victime. Il convainc alors cette dernière d’installer une application pour « résoudre » l’incident. L’application fournie n’est pas disponible sur le Play Store ; il s’agit d’un APK à sideloader manuellement — une manipulation que l’attaquant guide pas à pas. L’APK en question est SpyNote, un cheval de Troie d’accès à distance. Une fois SpyNote installé, l’opérateur télécharge discrètement WindRelay sur l’appareil.

WindRelay exploite ensuite la puce NFC du smartphone. Sous couvert d’une procédure de vérification, l’attaquant demande à la victime de rapprocher sa carte bancaire du téléphone et d’entrer le code PIN. En réalité, la lecture via NFC capture les données nécessaires à la clonage de la carte, qui sont instantanément exfiltrées vers un serveur distant contrôlé par les fraudeurs. Ceux‑ci peuvent alors effectuer paiements et retraits au nom de la victime.

Ce que permet SpyNote — et pourquoi c’est dangereux

SpyNote est un RAT capable d’un large éventail d’actions : vol de mots de passe et cookies, interception de SMS, keylogging, activation du micro et de la caméra, traçage de position. Dans cette attaque, sa fonction principale est d’ouvrir une porte d’accès à l’appareil et de permettre l’installation silencieuse de WindRelay. Grâce à SpyNote, les attaquants peuvent contrôler le smartphone à distance, surveiller les étapes et s’assurer que la procédure d’exfiltration se déroule sans accroc.

Les conséquences réelles pour les victimes

Vol des données bancaires et clonage de carte : les informations NFC et le PIN permettent des transactions frauduleuses ;

Usurpation d’identité numérique : accès aux comptes Google, Facebook, mails, etc., pouvant servir à des attaques secondaires ;

Atteinte à la vie privée : enregistrements audio, photos, géolocalisation ;

Compromission des fournisseurs : l’enquête montre que certains prestataires du secteur public ont aussi été touchés, multipliant l’impact potentiel.

Pourquoi cette technique est‑elle si efficace ?

Plusieurs facteurs expliquent la réussite de ces campagnes :

la confiance : la manipulation se joue sur la crédulité de la victime et sur la légitimité apparente d’une procédure fournie « par la banque » ;

la personnalisation : les APK peuvent être nommés ou personnalisés à partir d’informations publiques (réseaux sociaux), ajoutant du réalisme à la démarche ;

l’automatisation et le timing : l’attaque, orchestrée en temps réel pendant l’appel, réduit le délai de réaction de la victime et limite les chances d’alerter un tiers ;

la faiblesse des protections côté utilisateur : le sideloading et l’activation de paramètres permissifs sur Android ouvrent la porte aux malwares.

Mesures de prévention : ce que doivent savoir les usagers

La bonne nouvelle, c’est que ce type d’attaque reste essentiellement basé sur l’erreur humaine et peut être largement réduit par des gestes simples :

ne jamais installer une application demandée au téléphone, surtout si elle nécessite le sideloading ;

vérifier directement avec sa banque via un numéro officiel (non fourni par l’appelant) avant d’exécuter une quelconque procédure ;

désactiver le sideloading et maintenir son système Android à jour ;

activer l’authentification forte (2FA) sur les comptes importants ;

ne pas rapprocher une carte bancaire d’un appareil sur demande d’un interlocuteur non vérifié ;

surveiller ses relevés bancaires et signaler immédiatement toute transaction suspecte.

Recommandations pour les banques et les acteurs de la sécurité

Les institutions financières doivent intensifier leurs actions de prévention et d’accompagnement :

sensibiliser massivement leurs clients aux scénarios d’ingénierie sociale et aux procédures officielles ;

ne jamais demander l’installation d’applications via sideloading comme procédure de vérification ;

doter les services de détection des fraudes de capacités d’analyse comportementale pour repérer des usages anormaux (géolocalisation des paiements, montants, fréquence) ;

travailler avec les opérateurs et les constructeurs pour limiter les possibilités d’exploitation NFC non autorisée ;

mettre en place des procédures de réassurance rapide et efficaces pour les victimes (blocage de cartes, remboursements, prise en charge juridique).

Enjeux plus larges : le paysage des menaces mobiles évolue

Cette campagne illustre une transformation préoccupante : la disponibilité d’outils puissants (RATs, modules NFC) rend les attaques sophistiquées abordables et évolutives. Les criminels combinent aujourd’hui techniques traditionnelles (ingénierie sociale) et exploitation technique (malware, NFC) pour maximiser le rendement. Face à cela, la riposte doit être multidimensionnelle : éducation des usagers, durcissement des pratiques bancaires, surveillance technique renforcée et coopération entre acteurs publics et privés.

Pour l’instant, l’alerte est lancée : la vigilance individuelle reste la première ligne de défense. Mais la diffusion de telles méthodes impose aussi une réaction structurelle pour limiter la capacité d’opération de ces groupes et protéger des milliers de victimes potentielles.