Actualité : "C'est un problème lié au système Visa" : un iPhone verrouillé a été débité de 10 000 dollars en quelques secondes

En avril 2026, la chaîne Veritasium a mis en scène une démonstration saisissante. Marques Brownlee, alias MKBHD et ses 20 millions d'abonnés, pose son iPhone face contre table, écran éteint. Quelques secondes plus tard, 10 000 dollars quittent son compte. Aucune interaction, aucune validation biométrique. Le téléphone est resté verrouillé du début à la fin.

L'attaque exploite Express Transit, une fonction d'Apple Pay conçue pour accélérer le passage aux portiques de transport en commun. Pour éviter de ralentir la file, l'iPhone autorise les paiements NFC sans déverrouillage devant les terminaux de métro et de bus. Le problème : le téléphone fait aveuglément confiance au signal envoyé par le lecteur pour classifier la transaction comme anodine.

Les professeurs Ioana Boureanu (Université de Surrey) et Tom Chothia (Université de Birmingham), auteurs de la découverte initiale en 2021, ont reproduit l'attaque en direct. Avec du matériel NFC disponible dans le commerce et un smartphone Android rooté, ils interceptent la communication entre l'iPhone cible et un terminal de paiement légitime, puis altèrent deux bits du flux : l'un déguise 10 000 dollars en somme dérisoire, l'autre certifie que le porteur a validé l'opération. La banque approuve sans broncher.

La faille requiert des conditions précises : Express Transit activé, carte Visa associée, et proximité physique avec la cible. Mastercard et American Express restent hors d'atteinte grâce à une couche de vérification cryptographique supplémentaire, qui invalide toute altération en transit. Côté Android, Samsung refuse les transactions à montant non nul en mode transport, ce qui bloque net le stratagème.

Visa, de son côté, considère le risque négligeable en conditions réelles et met en avant sa politique de remboursement. Cinq ans que la vulnérabilité est documentée, aucun correctif à l'horizon. Dès 2021, la chercheuse qui a mis au jour la faille résumait l'impasse :

Quand deux acteurs industriels partagent une part de responsabilité, aucun des deux ne veut l'assumer ni déployer un correctif, et ce sont les utilisateurs qui restent exposés indéfiniment.

Pour les possesseurs d'iPhone, la parade tient en dix secondes : dans Réglages > Cartes et Apple Pay > Carte de transport express, sélectionner "Aucune" ou y associer une carte Mastercard.

Envie de faire encore plus d'économies ? Découvrez nos codes promo sélectionnés pour vous.