Le SMS arrive un mardi matin, sobre et inquiétant : « Opération suspecte détectée sur votre compte. Appelez immédiatement le 01 XX XX XX XX. » La victime rappelle, tombe sur une voix posée qui se présente comme conseiller bancaire, et suit chaque instruction avec soin — parce que tout paraît parfaitement officiel. Quelques minutes plus tard, elle approche sa carte du dos de son téléphone pour une « vérification de sécurité ». C’est à ce moment précis que la fraude est consommée.
En 2025, les analystes de la société de cybersécurité Cleafy ont documenté un logiciel malveillant Android baptisé SuperCard X, capable de lire les données d’une carte bancaire via la puce NFC du smartphone, puis de les retransmettre en temps réel à un complice situé à des kilomètres de là. La question n’est plus de savoir si votre carte peut être volée sans quitter votre portefeuille — elle l’est déjà.
SuperCard X : un malware qui transforme votre téléphone en lecteur de carte
Jusqu’ici, les chevaux de Troie bancaires s’attaquaient aux identifiants de connexion : ils captaient un mot de passe, interceptaient un code SMS, puis tentaient de se connecter à l’espace client. SuperCard X adopte une logique radicalement différente. Il ne vole pas vos codes — il vole votre carte elle-même, en extrayant les données stockées sur sa puce sans contact.
Le logiciel n’a besoin que d’une seule autorisation sur le téléphone Android de la victime : l’accès au module NFC. Cette discrétion le rend quasi invisible pour la majorité des antivirus, qui scrutent en priorité les applications réclamant de nombreuses permissions. Une fois installé, il reste silencieux jusqu’à ce que la carte soit présentée à moins de quatre centimètres du téléphone.
Le scénario du faux conseiller bancaire : comment le piège se referme
L’attaque repose sur une manipulation en plusieurs étapes, chacune conçue pour paraître anodine. Le rapport de Cleafy, publié début 2025, en décrit la mécanique avec précision.
- Étape 1 — L’alerte initiale : un SMS ou un message WhatsApp usurpe l’identité de la banque et signale une transaction suspecte.
- Étape 2 — L’appel au faux conseiller : la victime rappelle et tombe sur un escroc qui connaît certains détails de son compte, ce qui renforce la crédibilité.
- Étape 3 — La collecte du code PIN : sous prétexte de « bloquer » l’opération frauduleuse, le faux conseiller obtient le code de la carte et pousse la victime à relever ses plafonds de paiement.
- Étape 4 — L’installation du logiciel : une application présentée comme un outil de sécurité bancaire est téléchargée hors du Google Play Store officiel.
- Étape 5 — La capture NFC : le conseiller demande d’approcher la carte du téléphone pour une « vérification ». La puce dialogue avec la carte en moins de 3 secondes et transmet les données aux serveurs des pirates.
La victime ne ressent rien d’anormal. Elle pense simplement avoir confirmé que sa carte fonctionne correctement. La fraude est déjà en cours.
À lire aussi
Le relais NFC : comment l’argent disparaît à des kilomètres de vous
De l’autre côté du dispositif, un complice dispose d’un second smartphone équipé d’une application jumelle. Son téléphone se comporte comme si c’était la carte de la victime : il la « rejoue » devant un terminal de paiement sans contact ou un distributeur de billets. Le terminal ne détecte aucune anomalie — il voit une carte valide, avec le bon code PIN, et valide l’opération.
Cette technique, connue sous le nom de relais NFC, détourne un outil initialement développé par des chercheurs de l’université technique de Darmstadt pour tester la robustesse des systèmes de paiement sans contact. Entre de mauvaises mains, il permet des retraits ou des achats en quelques minutes, bien avant que la victime ne remarque quoi que ce soit sur son relevé de compte. Les escrocs fractionnent souvent les opérations en plusieurs petits montants pour rester sous les radars des algorithmes de détection bancaire.
NGate et SuperCard X : deux outils, un seul modèle commercial criminel
SuperCard X n’est pas apparu de nulle part. Les chercheurs de Cleafy ont relevé des similarités de code avec NGate, un logiciel malveillant identifié environ un an plus tôt et qui exploitait déjà le même principe de relais NFC. Les deux programmes partagent une architecture commune, ce qui suggère une filière organisée plutôt que des attaques isolées.
SuperCard X franchit un cap supplémentaire : il se commercialise selon le modèle du Malware-as-a-Service, c’est-à-dire qu’il est loué clé en main à d’autres groupes criminels, comme un abonnement logiciel. N’importe quelle organisation malveillante peut ainsi acheter l’accès à l’infrastructure sans avoir à développer l’outil. Détectée en premier lieu en Italie, cette fraude présente toutes les conditions pour se diffuser dans les pays où le paiement sans contact est massivement adopté — dont la France, où plus de 70 % des transactions en point de vente se font désormais sans contact, selon les données de la Banque de France.
Ce que vous pouvez faire concrètement pour ne pas être piégé
La bonne nouvelle, si l’on peut dire, c’est que SuperCard X ne fonctionne pas de façon autonome : il a besoin que vous fassiez le travail à sa place. Supprimer la manipulation sociale, c’est supprimer l’attaque.
Aucune banque française — ni le Crédit Agricole, ni la BNP Paribas, ni votre néobanque — ne vous demandera jamais d’approcher votre carte physique contre votre téléphone sur instruction d’un conseiller, quelle que soit la raison invoquée. Ce geste n’existe pas dans les procédures bancaires légitimes. Si un interlocuteur vous le demande, raccrochez immédiatement et appelez votre banque via le numéro figurant au dos de votre carte.
Par ailleurs, n’installez jamais d’application en dehors du Google Play Store sur instruction téléphonique, et vérifiez systématiquement l’origine d’un SMS d’alerte avant de rappeler : les numéros usurpés sont courants. En cas de doute, la plateforme Info Escroqueries du ministère de l’Intérieur est accessible au 0 805 805 817 (numéro gratuit).
Android dans le viseur, mais la vigilance reste le seul antivirus efficace
SuperCard X cible exclusivement les appareils Android, parce que ce système autorise certaines applications tierces à piloter directement la puce NFC — une architecture plus ouverte qu’iOS, qui verrouille cet accès. Cela ne signifie pas qu’un iPhone protège de toutes les formes d’ingénierie sociale, mais le vecteur spécifique du relais NFC y est aujourd’hui inopérant.
Pour les utilisateurs Android, désactiver le NFC lorsqu’il n’est pas utilisé réduit mécaniquement la fenêtre d’exposition, même si ce n’est pas une protection absolue. La mise à jour régulière du système d’exploitation et l’activation de Google Play Protect constituent des barrières supplémentaires. Aucune de ces mesures ne remplace cependant la règle d’or : un conseiller bancaire qui vous demande d’approcher votre carte de votre téléphone est un escroc.
Les autorités françaises n’ont pas encore publié de bilan chiffré propre à SuperCard X sur le territoire national, mais la direction générale de la Concurrence, de la Consommation et de la Répression des fraudes (DGCCRF) suit l’évolution de ces techniques depuis la montée en puissance de NGate — ce qui laisse penser qu’un avertissement officiel pourrait intervenir prochainement.
Votre avis nous aide
La conversation continue
Commentaires