Ce que dit l'actualité

Dans une tribune publiée le 21 octobre 2026, Steven Commander, directeur Consultants et Régulations chez HID, l'un des principaux fabricants mondiaux de badges et de lecteurs, défend une idée simple : le contrôle d'accès doit être modernisé en fonction du risque, et non de l'âge des équipements. Son constat : un système peut fonctionner parfaitement tout en reposant sur une technologie dépassée, par exemple un lecteur qui se contente de lire le numéro de série d'une carte, sans authentification cryptographique.

Il s'appuie sur le rapport State of Security and Identity 2026 de HID, selon lequel :

• 73 % des professionnels placent la gestion des identités parmi leurs priorités stratégiques ;
• 75 % des organisations ont déployé ou envisagent activement une solution d'identité unifiée ;
• les freins principaux restent le budget (51 %), la complexité d'intégration (37 %) et le manque d'expertise interne (34 %).

Qu'est-ce que la « dette de sécurité » ?

Le terme est emprunté à la « dette technique » des développeurs. Chaque fois qu'on laisse en place une technologie dont on sait qu'elle a été dépassée, on contracte une dette : rien ne se voit au quotidien, mais l'écart entre le niveau de protection réel et les menaces actuelles se creuse année après année.

Dans le contrôle d'accès, cette dette prend généralement trois formes :

1. Des badges copiables. Les cartes 125 kHz ou MIFARE Classic, encore très répandues, peuvent être dupliquées avec du matériel bon marché. Nous détaillons ces techniques dans notre article sur le clonage de badge RFID.
2. Des droits qui s'accumulent. Prestataires partis, salariés qui ont changé de poste, badges jamais restitués : chaque accès non révoqué est une porte laissée entrouverte.
3. Des liaisons non protégées. Entre le lecteur et le contrôleur, certains protocoles anciens circulent en clair et peuvent être interceptés ou rejoués.

Le piège, c'est que tout fonctionne. Aucune alarme ne signale qu'un badge a été copié : la porte s'ouvre simplement pour la mauvaise personne.

Pourquoi le sujet devient urgent : l'industrialisation des attaques par relais

Un autre signal vient du monde du paiement. Selon Kaspersky, les attaques NFC visant les smartphones Android ont bondi de 188 % entre janvier et avril 2026 par rapport à la même période de 2025, avec plus de 35 600 attaques bloquées. Les outils utilisés (NGate, SuperCard X, PhantomCard, dérivés de NFCGate) sont désormais proposés « en tant que service ».

En août 2026, Group-IB a décrit une nouvelle famille, WindRelay : une application malveillante qui lit la carte bancaire de la victime posée contre son propre téléphone, puis transmet ses échanges en temps réel vers le téléphone du fraudeur, qui l'émule devant un terminal de paiement.

Ces campagnes visent les cartes bancaires, pas les badges d'accès. Mais le principe technique est exactement celui de l'attaque par relais : prolonger à distance un échange radio censé ne se faire qu'à quelques centimètres. Quand ces outils deviennent faciles à obtenir pour la fraude bancaire, ils le deviennent aussi pour quiconque veut ouvrir une porte protégée par un badge sans contact ou un badge virtuel transmis par radio. C'est une raison de plus pour ne pas considérer le simple passage au smartphone comme une garantie de sécurité, comme nous l'expliquions dans notre guide sur le badge virtuel.

Moderniser par le risque : une méthode en cinq étapes

Rembourser une dette de sécurité ne veut pas dire tout remplacer d'un coup. La démarche recommandée par les acteurs du secteur est progressive :

1. Inventorier. Lister les portes, les lecteurs, les technologies de badges et les protocoles de communication réellement en service.
2. Classer les zones par criticité. Une salle serveurs, un laboratoire ou une réserve de matériel n'appellent pas le même niveau de protection qu'une salle de réunion.
3. Traiter d'abord les points faibles des zones critiques. Badges copiables, liaisons non chiffrées, lecteurs qui ne vérifient qu'un identifiant fixe.
4. Assainir les droits. Revoir qui a accès à quoi, supprimer les accès orphelins et mettre en place une révocation immédiate.
5. Choisir des briques ouvertes et chiffrées (par exemple le protocole OSDP entre lecteur et contrôleur), pour pouvoir faire évoluer le système sans repartir de zéro.

Enfin, sécurité physique et sécurité informatique doivent travailler ensemble : un badge est une identité, et il mérite la même gouvernance qu'un compte informatique.

L'approche AuthFlash : supprimer la dette à la source

AuthFlash, une solution BatyTech, a été conçue pour éviter les deux faiblesses au cœur de cette actualité : l'identifiant fixe qu'on peut copier et le canal radio qu'on peut relayer. Au moment du passage, le flash du smartphone transmet une clé cryptographique éphémère, reçue par un lecteur optique uniquement en ligne de vue. Le serveur valide ensuite le code et refuse toute tentative de rejeu.

Les droits se gèrent depuis une plateforme centrale et une API, ce qui permet de révoquer un accès immédiatement, l'un des leviers cités pour réduire la dette de sécurité. La technologie fait l'objet d'un brevet en cours, et un déploiement est prévu sur les campus de l'EFREI Paris de novembre 2026 à mars 2027 (estimation). Vous pouvez l'essayer dans notre démonstration interactive.

En résumé

Un contrôle d'accès qui fonctionne n'est pas forcément un contrôle d'accès sûr. Entre des badges copiables encore très répandus et des outils de relais radio qui s'industrialisent, la dette de sécurité se creuse en silence. La bonne réponse n'est ni l'immobilisme ni le remplacement total, mais une modernisation guidée par le risque, en commençant par les zones les plus sensibles. Pour faire le point sur votre installation, contactez l'équipe AuthFlash.

Sources

• « Le contrôle d'accès doit être piloté par le risque, pas par l'obsolescence », Steven Commander (HID), 21 octobre 2026
• Kaspersky : hausse de 188 % des attaques par relais NFC sur smartphone (juin 2026, en anglais)
• The Hacker News : WindRelay, un malware Android qui transforme le téléphone en relais NFC (août 2026, en anglais)

What the news says

In an opinion piece published on October 21, 2026, Steven Commander, Director of Consultants and Regulations at HID, one of the world's leading badge and reader manufacturers, makes a simple case: access control should be modernized based on risk, not on the age of the equipment. His point: a system can work perfectly while relying on outdated technology, for example a reader that simply reads a card's serial number, without any cryptographic authentication.

He draws on HID's State of Security and Identity 2026 report, which finds that:

• 73% of professionals rank identity management among their strategic priorities;
• 75% of organizations have deployed or are actively considering a unified identity solution;
• the main obstacles remain budget (51%), integration complexity (37%) and lack of in-house expertise (34%).

What is "security debt"?

The term borrows from developers' "technical debt". Every time a technology known to be outdated is left in place, a debt is incurred: nothing shows day to day, but the gap between the actual level of protection and current threats widens year after year.

In access control, this debt usually takes three forms:

1. Copyable badges. 125 kHz or MIFARE Classic cards, still very widespread, can be duplicated with inexpensive hardware. We cover these techniques in our article on RFID badge cloning.
2. Rights that pile up. Contractors who have left, employees who changed roles, badges never returned: every unrevoked access is a door left ajar.
3. Unprotected links. Between the reader and the controller, some legacy protocols travel in clear text and can be intercepted or replayed.

The trap is that everything works. No alarm signals that a badge has been copied: the door simply opens for the wrong person.

Why it is becoming urgent: relay attacks go industrial

Another signal comes from the payments world. According to Kaspersky, NFC attacks targeting Android smartphones jumped 188% between January and April 2026 compared with the same period in 2025, with more than 35,600 attacks blocked. The tools involved (NGate, SuperCard X, PhantomCard, NFCGate derivatives) are now offered "as a service".

In August 2026, Group-IB described a new family, WindRelay: a malicious app that reads the victim's bank card held against their own phone, then streams the exchange in real time to the fraudster's phone, which emulates it at a payment terminal.

These campaigns target bank cards, not access badges. But the technique is exactly that of a relay attack: extending over a distance a radio exchange that is supposed to happen within a few centimeters. When such tools become easy to obtain for payment fraud, they also become easy to obtain for anyone who wants to open a door protected by a contactless badge or a virtual badge transmitted over radio. One more reason not to treat a simple move to the smartphone as a guarantee of security, as we explained in our guide to the virtual badge.

Modernizing by risk: a five-step method

Paying off security debt does not mean replacing everything at once. The approach recommended by industry players is gradual:

1. Take inventory. List the doors, readers, badge technologies and communication protocols actually in use.
2. Rank areas by criticality. A server room, a laboratory or an equipment store does not call for the same level of protection as a meeting room.
3. Fix the weak points of critical areas first. Copyable badges, unencrypted links, readers that only check a fixed identifier.
4. Clean up access rights. Review who has access to what, remove orphaned access and set up immediate revocation.
5. Choose open, encrypted building blocks (for example the OSDP protocol between reader and controller), so the system can evolve without starting from scratch.

Finally, physical security and IT security must work together: a badge is an identity, and it deserves the same governance as an IT account.

The AuthFlash approach: removing the debt at the source

AuthFlash, a BatyTech solution, was designed to avoid the two weaknesses at the heart of this news: the fixed identifier that can be copied and the radio channel that can be relayed. When passing through, the smartphone's flash transmits an ephemeral cryptographic key, received by an optical reader in line of sight only. The server then validates the code and rejects any replay attempt.

Rights are managed from a central platform and an API, so access can be revoked immediately, one of the levers cited for reducing security debt. The technology is patent pending, and a rollout is planned on the EFREI Paris campuses from November 2026 to March 2027 (estimate). You can try it in our interactive demo.

In short

Access control that works is not necessarily access control that is secure. Between copyable badges that are still widespread and radio relay tools that are going industrial, security debt grows silently. The right answer is neither standing still nor replacing everything, but risk-driven modernization, starting with the most sensitive areas. To review your installation, contact the AuthFlash team.

Sources

• "Access control must be driven by risk, not obsolescence", Steven Commander (HID), October 21, 2026 (in French)
• Kaspersky: NFC relay attacks on smartphones surged by 188% in 2026 (June 2026)
• The Hacker News: WindRelay Android malware turns victims' phones into NFC relays (August 2026)