Un chercheur suisse révèle une faille majeure sur le terminal de paiement Yomani XR : un accès root non protégé, exploitable en quelques secondes.
Vous avez sûrement déjà utilisé ce terminal de paiement : une petite machine noire, posée sur le comptoir de votre supermarché ou chez votre garagiste. Il s’agit du modèle Yomani XR, très répandu en Suisse. Il est censé garantir une sécurité maximale pour vos paiements.
Mais Stefan Gloor, étudiant curieux et passionné de cybersécurité, a réussi à en prendre le contrôle total. Sans piratage complexe. Juste en démontant le terminal et en analysant ce qu’il contient.
Des protections solides… mais une porte laissée ouverte
Le terminal est bien protégé physiquement. Si on essaie de l’ouvrir, il se bloque automatiquement et affiche un message rouge : « TAMPER DETECTED ». C’est une bonne chose.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Mais le chercheur a découvert qu’il existait un port de connexion caché à l’arrière, que l’on peut atteindre sans démonter l’appareil. Ce port, normalement utilisé en usine pour des tests, n’a pas été désactivé sur certains terminaux. En s’y branchant avec un simple câble, il a pu accéder à l’interface du système d’exploitation embarqué.
Il a alors tenté de se connecter avec l’identifiant « root » – qui donne tous les droits sur le système – sans entrer de mot de passe. Et cela a fonctionné. Le terminal l’a laissé entrer sans aucune vérification. Cela signifie qu’un individu malintentionné pourrait, en moins d’une minute, s’y connecter, installer un logiciel espion ou modifier le fonctionnement du terminal. Une faille aussi grave qu’inattendue, comparable à une porte blindée laissée grande ouverte par oubli.
Ce qu’on trouve à l’intérieur : un vieux système Linux
Le terminal fonctionne avec deux cerveaux :
- Un processeur principal, qui gère les mises à jour et les connexions internet. Il tourne sur un vieux système Linux (de 2010 !) peu sécurisé.
- Un coprocesseur sécurisé, qui lui s’occupe des éléments critiques : lecture de carte, saisie du code PIN, affichage, etc.
La bonne nouvelle ? Le cœur des paiements semble bien protégé et séparé du système vulnérable.
Est-ce vraiment dangereux ? Oui et non.
- Oui, car cet accès non sécurisé aurait pu permettre l’installation d’un programme malveillant si quelqu’un avait physiquement accès à la machine.
- Non, car les données sensibles (votre numéro de carte, votre code PIN) ne passent pas par le système vulnérable.
Cela reste une faille critique de conception : ce genre d’accès devrait être désactivé avant que les terminaux ne soient déployés dans les commerces.
Un rappel important pour tout le secteur
Le chercheur a alerté le fabricant Worldline dès novembre 2024. L’entreprise a reconnu le problème, mais aucune annonce publique n’a été faite. L’article de Gloor a été publié début juin 2025.
Ce cas montre qu’on ne peut pas se fier uniquement aux certifications. Même un appareil réputé sûr peut avoir des failles graves si les mises à jour logicielles ne suivent pas ou si des fonctionnalités de test sont oubliées.
Pour en savoir plus
Ce chercheur a cracké tous les terminaux bancaires de Suisse et c’est flippant !
Vous voulez savoir comment un simple étudiant en informatique a réussi à transformer un terminal de paiement en passoire pour hackers ? Stefan Gloor a en effet réussi à obtenir un accès root complet sur le terminal Worldline Yomani…
Root Shell sur le terminal de carte de crédit
Dans ce projet, j’ai commencé à faire de la rétro-ingénierie sur des terminaux de cartes de paiement, car ils semblaient constituer une cible intéressante pour la recherche en sécurité, compte tenu des enjeux importants. Même si je ne connaissais pas grand-chose à ce secteur au départ, je m’attendais à…
(Re)découvrez également:
Les systèmes de reconnaissance faciale d’aéroport et de paiement trompés par des masques et des photos
Des masques et de simples photographies suffisent aujourd’hui à tromper certaines technologies de reconnaissance faciale
3 moyens de protéger sa carte bancaire sans-contact
Les cartes bancaires sont équipées par défaut aujourd’hui d’une puce RFID/NFC et sont donc vulnérables à des « vols à distance » mais des protections existent
Serveurs, API, outils de veille.
DCOD est un projet indépendant sans revenu. L'infra a un coût. Participez aux frais.
