« Ghost Tap » : un escroc paie à votre place à l’autre bout du monde, sans jamais toucher votre carte

Le geste qui sécurise votre quotidien est aussi celui que des escrocs ont appris à retourner contre vous. Approcher sa carte d’un téléphone, ce réflexe désormais machinal, sert de point d’entrée à une fraude baptisée « Ghost Tap ». Les chercheurs de Group-IB, dont l’analyse a été détaillée par Infosecurity Magazine début 2026, ont identifié plus de 54 applications Android piégées qui relaient en direct les données de votre carte vers un complice situé parfois sur un autre continent. Concrètement, c’est vous qui « tapez » votre carte chez vous, et c’est un inconnu qui paie en magasin à des milliers de kilomètres. Voici comment ce détournement fonctionne, et les quelques gestes qui le rendent inopérant.

Ce que « Ghost Tap » change pour vous

La nouveauté, c’est que le voleur n’a plus besoin de votre carte physique. Les fraudes classiques exigeaient de dérober la carte ou ses numéros. Ici, votre carte reste dans votre poche, et c’est le signal sans-contact lui-même qui voyage. La transaction du complice apparaît alors aux yeux de la banque comme un paiement en personne, parfaitement normal, ce qui la rend difficile à bloquer. Pour vous, le danger n’est plus de perdre un objet, mais de prêter, sans le savoir, le pouvoir d’achat de votre carte à distance.

Cette technique relève d’une famille d’attaques que les spécialistes nomment « relais NFC ». La NFC (Near Field Communication, la communication en champ proche) est la puce qui permet le paiement sans contact. Normalement, elle ne dialogue qu’à quelques centimètres. Le logiciel malveillant, lui, étire artificiellement cette distance jusqu’à l’échelle d’un continent.

Le relais à deux applis, expliqué simplement

Le mécanisme repose sur deux applications qui se passent le relais. La première, installée sur votre téléphone, joue le rôle de lecteur : quand vous approchez votre carte, elle aspire les données de la puce. La seconde, entre les mains du fraudeur, joue le rôle de payeur : elle rejoue ces données sur un terminal de paiement réel, pour acheter des biens ou retirer de l’argent. Entre les deux, un serveur central transporte l’information en quelques instants, selon le rapport de Group-IB.

Dans certains cas, les escrocs se passent même de vous. Ils chargent les cartes volées dans des portefeuilles mobiles, puis des « mules » règlent des achats en boutique dans plusieurs pays. Group-IB a relevé des arrestations en République tchèque, à Singapour, en Malaisie et aux États-Unis, signe que le réseau ne connaît pas de frontière.

Derrière ces chiffres se cache un véritable commerce. Le malware se vend par abonnement sur des messageries, avec support client et versions adaptées par région. Un vendeur, baptisé TX-NFC, revendique à lui seul plus de 21 000 abonnés, et au moins 355 000 dollars de transactions frauduleuses ont été reliés à un seul revendeur de terminaux entre novembre 2024 et août 2025. La fraude au sans-contact est devenue une industrie.

Le déclencheur : un faux message « approchez votre carte »

Tout part presque toujours d’un message piégé. La victime reçoit un faux SMS ou un faux appel, soi-disant de sa banque, qui l’invite à installer une application de « sécurité » ou de « vérification ». Cette appli est en réalité le lecteur malveillant. L’arnaque se referme quand le message demande, sous un prétexte rassurant, d’approcher la carte du téléphone pour « confirmer » ou « activer » quelque chose.

C’est exactement le réflexe acquis avec le paiement quotidien qui est exploité. Cette ingénierie sociale, le smishing par SMS et le vishing par téléphone, n’a rien de neuf, mais elle trouve ici un terrain parfait : nous sommes des centaines de millions à coller notre carte sur un appareil chaque jour. La règle d’or tient en une phrase, aucune banque ne vous demandera jamais d’approcher votre carte d’un téléphone à la suite d’un message.

Pourquoi la France est une cible toute trouvée

Le sans-contact est devenu un automatisme massif, et c’est précisément ce qui en fait une surface d’exposition. Dans la zone euro, le nombre de paiements sans contact a bondi de 15,5 % au second semestre 2024, pour atteindre 29,5 milliards d’opérations, selon les statistiques de la Banque de France. En France, le plafond légal reste fixé à 50 euros par transaction depuis 2020, un garde-fou qui limite la casse sur un paiement isolé, mais qui ne protège en rien des achats à répétition orchestrés par un réseau.

La bonne nouvelle, c’est que les parades sont à votre portée et ne coûtent rien. Activez les notifications de paiement de votre banque, pour voir passer toute opération en temps réel. Surveillez les enregistrements de carte dans vos portefeuilles mobiles, car un ajout que vous n’avez pas demandé est un signal d’alerte. Et n’installez jamais d’application bancaire en dehors des magasins officiels. Le réflexe qui vous protège n’est pas technique, il est mental, garder en tête que votre carte ne se « confirme » jamais auprès d’un message reçu.

Questions courantes

Qu’est-ce que la fraude « Ghost Tap » ?
Une arnaque où un logiciel malveillant installé sur votre téléphone capte les données sans contact de votre carte et les relaie à un complice, qui paie alors en magasin à distance, parfois sur un autre continent, comme s’il s’agissait d’un achat en personne.

Le voleur a-t-il besoin de ma carte physique ?
Non. C’est précisément la nouveauté. Votre carte reste dans votre poche, seul le signal sans contact est copié et rejoué à distance via deux applications qui se relaient.

Comment l’arnaque commence-t-elle ?
Par un faux SMS ou un faux appel imitant votre banque, qui vous pousse à installer une application piégée puis à approcher votre carte du téléphone pour « confirmer » une opération.

Comment m’en protéger concrètement ?
N’approchez jamais votre carte sur demande d’un message, activez les notifications de paiement, surveillez les ajouts de carte dans vos portefeuilles mobiles et n’installez d’applis bancaires que depuis les magasins officiels.

Le plafond de 50 euros me protège-t-il ?
Il limite le montant d’un paiement sans contact isolé en France, mais pas une série d’achats répétés orchestrée par un réseau. Il réduit la casse, il ne la supprime pas.

Article créé en collaboration avec l’IA.