Clonage de badges d'accès NFC et RFID
Un badge d'accès sans contact peut être copié ou relayé sans que son porteur s'en aperçoive. Ce que l'on sait, ce que l'on voit et que faire.
En 30 secondes
- Où ça arrive
- À l'entrée des locaux et partout où un badge se présente devant un lecteur. Les sources citées ici ne donnent pas de lieu précis pour la copie elle-même.
- Ce que veut l'attaquant
- Obtenir des identifiants pour accéder aux systèmes, services et ressources réseau1.
- Si c'est déjà fait
- Signalez sans attendre la perte ou le doute à la personne chargée de la sécurité des locaux, qui peut révoquer le badge.
- Le réflexe
- Ne laissez pas un badge sans surveillance, rangez-le quand vous ne l'utilisez pas, et signalez tout appareil inconnu branché ou posé près d'un lecteur ou d'un réseau.
De quoi parle-t-on
Un badge d'accès sert à ouvrir une porte, un tourniquet ou un ascenseur sans rien toucher. Le badge dialogue avec un lecteur à courte distance, et ce dialogue peut en principe être copié ou relayé par un tiers. Cette fiche explique l'idée pour un salarié, et ce qu'il peut faire à son niveau.
Une précision de méthode. Les sources citées ici sont des fiches générales sur le matériel pirate, l'interception de communications et l'authentification forte, plus une recommandation américaine sur les cartes d'accès. Aucune ne décrit en détail le clonage de badges 125 kHz, les faiblesses de MIFARE Classic, ni une démonstration publique avec Proxmark ou Chameleon. Ces points ne sont donc pas affirmés ici.
Questions directes
Puis-je voir qu'on a copié mon badge ?
Les sources citées ici ne le disent pas. Elles décrivent d'autres cas où l'attaque passe par un intermédiaire placé entre deux appareils2. Il faut donc raisonner ainsi : l'absence de signe ne prouve rien.
Un badge récent est-il à l'abri ?
Les sources n'établissent pas qu'un modèle de badge est à l'abri. Le NIST publie des recommandations pour l'usage des cartes PIV, des cartes d'identité professionnelle américaines, dans le contrôle d'accès aux bâtiments. Elles reposent sur une stratégie fondée sur le risque pour choisir le mécanisme d'authentification adapté4. Le choix du mécanisme se décide donc selon le risque du lieu, pas selon une règle unique.
Que faire si je perds mon badge ?
Une fiche MITRE recommande, pour les cartes à puce, de les retirer quand elles ne servent pas1. Pour un badge perdu, le signalement immédiat permet à l'organisation de le désactiver. Cette dernière consigne relève du bon sens de l'organisation et non d'une des sources citées.
1Dans la peau de l'attaquant1 min
Les fiches de MITRE ATT&CK décrivent des attaquants qui visent le moyen d'authentification plutôt que le mot de passe seul. La fiche sur l'interception de l'authentification multifacteur cite les cartes à puce et les générateurs de codes parmi les mécanismes visés1. Elle précise que, pour une carte à puce, un enregistreur de frappe est nécessaire pour obtenir le mot de passe associé pendant l'usage normal1. Avec la carte insérée et ce mot de passe, l'attaquant peut se connecter à une ressource en faisant passer l'authentification par le poste infecté1.
Une logique voisine existe pour les communications : se placer entre deux appareils pour collecter des informations ou agir à leur place2. L'idée de relais en temps réel entre un badge et une porte distante relève de cette famille d'attaques, mais les sources citées ici ne l'appliquent pas aux badges d'accès.
2Ce que vous voyez à l'écran1 min
Pour un badge, il n'y a en général pas d'écran. Ce que les sources décrivent, ce sont des signes côté réseau et poste de travail pour les ajouts de matériel : un nouvel appareil externe reconnu par le système, suivi de processus lancés dans la même session, ou une nouvelle interface réseau qui obtient une adresse3. Ces signes concernent les équipes informatiques, qui les recherchent dans les journaux3.
Pour un salarié, le signal utile est souvent physique. Un boîtier inconnu ou un petit ordinateur branché à une prise murale : la fiche sur les ajouts de matériel parle de dispositifs connectés physiquement à l'environnement de l'organisation3. Un tel objet se signale, on ne le débranche pas soi-même.
3Sous le capotÉquipes IT2 min
La fiche MITRE sur les ajouts de matériel indique que des accessoires, du matériel réseau ou d'autres appareils peuvent être introduits physiquement dans un système ou un réseau pour s'y donner accès3. Elle ajoute que les références publiques d'usage par des acteurs malveillants sont rares, alors que de nombreuses équipes d'intrusion autorisées s'en servent pour l'accès initial3. Les capacités citées incluent l'écoute passive du réseau, la modification du trafic, l'injection de frappes au clavier et l'ajout de points d'accès sans fil3.
La fiche sur l'attaquant au milieu décrit le principe du relais : forcer un appareil à communiquer par un système contrôlé par l'attaquant pour collecter des informations ou agir2. Elle cite aussi les attaques par rétrogradation, qui négocient une version plus faible ou obsolète d'un protocole ou d'un algorithme de chiffrement2. Pour le chiffrement du trafic, la même fiche recommande de s'assurer que tout le trafic filaire et sans fil est chiffré correctement2. Le parallèle avec des badges anciens ou non chiffrés est une analogie du rédacteur : il n'est pas établi par ces sources.
Côté défense, la fiche sur les ajouts de matériel recommande de bloquer les appareils et accessoires inconnus par la configuration des postes et de contrôler l'accès au réseau avec des certificats d'appareil et la norme 802.1x3. La recommandation du NIST, publiée en juin 2018, traite elle du choix des mécanismes d'authentification des cartes PIV pour l'accès aux bâtiments, selon le risque4.
4AutopsiesCas réels1 min
DarkVishnya, banques attaquées par connexion directe (référence datée du 6 décembre 2018)
La fiche MITRE sur les ajouts de matériel cite le groupe DarkVishnya. Il a connecté physiquement un Bash Bunny, un Raspberry Pi, des netbooks et des ordinateurs portables bon marché à l'environnement de l'organisation visée, afin d'accéder à son réseau local3. La publication de référence, de S. Golovanov, est intitulée « DarkVishnya: Banks attacked through direct connection to local network » et date du 6 décembre 20183.
Ce cas ne concerne pas un badge cloné. Il montre qu'une personne présente dans les locaux, ou ayant pu y entrer, peut poser du matériel peu coûteux qui ouvre l'accès au réseau interne3. C'est une raison de plus de surveiller qui entre et ce qui est branché.
Les sources citées ici ne contiennent aucune démonstration datée de clonage de badge HID Prox, ni de relais NFC contre des cartes de paiement ou des clés. Cette fiche n'en présente donc pas.
Fiche
- Identifiant
- CP-086
- Aile
- 1. Attaques et techniques
- Compétence Brain
- Sécuriser ses appareils (secure_devices)
- Réflexe Brain
- cr-053
- Schéma
- G3 · Coupe Anatomique
- Langues
- de, en, fr
- Sources
- 4 sources vérifiées le 3 novembre 2026
Sources4 sources
- MITRE ATT&CK, « Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1111/ (consulté le 3 novembre 2026)
- MITRE ATT&CK, « Adversary-in-the-Middle, Technique T1557 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1557/ (consulté le 3 novembre 2026)
- MITRE ATT&CK, « Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1200/ (consulté le 3 novembre 2026)
- NIST, « SP 800-116 Rev. 1, Guidelines for the Use of PIV Credentials in Facility Access | CSRC », 29 juin 2018. https://csrc.nist.gov/pubs/sp/800/116/r1/final (consulté le 3 novembre 2026)
Citer cet article
Brain, « Clonage de badges d'accès NFC et RFID », Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp086_fr_2026,
author = {Brain},
title = {Clonage de badges d'accès NFC et RFID},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/fr/articles/clonage-badges-acces-nfc-rfid/},
note = {CC BY 4.0}
}