Le jour où un YouTuber a prouvé qu’on pouvait vider ton compte Apple Pay sans toucher ton téléphone

Imaginez poser votre iPhone éteint sur un bureau et voir 10 000 dollars s’envoler sans un seul geste. C’est ce qui est arrivé au YouTubeur tech MKBHD lors d’une démonstration choc réalisée par la chaîne Veritasium. Cette expérience révèle une vulnérabilité persistante dans Apple Pay combinée au réseau Visa, exploitée via une manipulation NFC sophistiquée.

La démonstration qui interpelle les geeks tech

Dans une vidéo récente de Veritasium, le créateur Henry van Dyck invite MKBHD à placer son iPhone verrouillé près d’un setup ingénieux : un boîtier Proxmark connecté à un MacBook et un smartphone Android servant de relais. Sans toucher l’appareil, une notification de paiement surgit pour un montant astronomique, validé instantanément. MKBHD, stupéfait, lâche : « C’est juste vert. Approuvé. Wow, ça a marché. Sans déverrouiller mon téléphone, c’est fou. »

Cette scène, filmée en conditions contrôlées, s’appuie sur des recherches menées dès 2021 par Ioana Boureanu de l’université de Surrey et Tom Chothia de Birmingham, qui ont analysé les échanges NFC dans les transports londoniens. En 2025, ces experts ont étendu leurs travaux aux faiblesses des paiements sans contact modernes, confirmant des brèches similaires. Malgré sa viralité récente, aucune exploitation massive n’a été signalée à ce jour.

Le piratage NFC décortiqué étape par étape

L’attaque repose sur une interception man-in-the-middle des signaux NFC. Le Proxmark, piloté par un script Python, mime un terminal de métro pour activer le mode Express Transit d’Apple Pay, qui autorise des paiements sans authentification Face ID ou code, idéal pour les usagers pressés.

Ensuite, un bit binaire dans les données – 1 pour transaction élevée, 0 pour faible – est inversé pour faire passer 10 000 dollars pour un petit achat. Enfin, un autre flag est falsifié pour convaincre le terminal que l’iPhone a validé l’opération. Les données NFC, non chiffrées pour compatibilité universelle, facilitent cette reroutage via l’Android vers le terminal réel.

Ce montage contourne trois sécurités clés, mais exige proximité physique et matériel spécialisé, rendant l’attaque peu pratique en rue bondée. Les chercheurs notent que seule la combo Apple Pay-Visa est touchée, pas Mastercard ni les wallets Android comme Google Pay, plus restrictifs sur les Express modes.

Pourquoi cette brèche résiste et comment vous protéger

Découverte en 2021, la faille demeure active en 2026, ni Apple ni Visa n’ayant déployé de correctif global. Apple pointe du doigt le système Visa, tandis que ce dernier argue d’un risque faible, avec remboursement bancaire assuré en cas de fraude. Pourtant, le taux de fraude Apple Pay reste bas à 0,01 %, contre une hausse des incidents mobiles à 75 % des fraudes digitales mondiales en 2025.

Pour les utilisateurs, la parade est simple : allez dans Réglages > Portefeuille et Apple Pay > Carte Transit Express, et désactivez-la ou remplacez Visa par une autre. Cette astuce annule le risque sans altérer l’usage quotidien. Au final, cette vulnérabilité rappelle que même les forteresses tech comme l’iPhone ont leurs failles, invitant à une vigilance geek accrue face aux commodités modernes.

Dans un monde où les paiements mobiles explosent, ces démos servent d’alarme : la sécurité avance, mais les attaquants innovent. Vérifiez vos réglages, et restez connectés pour les prochaines actus tech qui façonnent notre quotidien numérique.