La banque ouverte à l’épreuve de la sécurité

Pendant plusieurs ann&eacute;es, des groupes criminels comme FIN7 et Carbanak (CobaltGoblin ou EmpireMonkey) ont fait trembler le secteur de la finance. Derri&egrave;re ces noms barbares inconnus du grand public se cachent certaines des campagnes de cybercrime les plus importantes : Fin7 aurait r&eacute;ussi &agrave; d&eacute;rober plusieurs millions de dollars &ndash; pour certains, 1 milliard &ndash; en s&rsquo;attaquant &agrave; de multiples entreprises partout dans le monde. Rien qu&rsquo;aux &Eacute;tats-Unis, il serait &agrave; l&rsquo;origine du vol de plus de 15 millions de num&eacute;ros de cartes bancaires depuis plus de 3 600 lieux. Quant &agrave; Carbanak, son principal fait d&rsquo;armes est d&rsquo;avoir r&eacute;alis&eacute; en 2015 le &laquo; casse du si&egrave;cle &raquo;, en d&eacute;robant 1 milliard de dollars &agrave; une centaine de banques. Si ces deux exemples sont exceptionnels, ils illustrent la fragilit&eacute; tant de l&rsquo;industrie financi&egrave;re que de ses clients face &agrave; la menace d&rsquo;une cyberattaque. Il serait facile d&rsquo;accuser les entreprises de ne pas s&eacute;curiser leurs infrastructures et les utilisateurs de ne pas appliquer les bons gestes. La r&eacute;alit&eacute; est pourtant diff&eacute;rente. La cybers&eacute;curit&eacute; est l&rsquo;une des inqui&eacute;tudes les plus pr&eacute;gnantes pour les acteurs du secteur de la finance et ils ont &eacute;t&eacute; parmi les premiers &agrave; prendre la mesure du risque. Il faut dire que les institutions bancaires et financi&egrave;res, mais aussi leurs clients, doivent affronter chaque jour des milliers d&rsquo;attaques, dont les m&eacute;thodes et l&rsquo;envergure varient, mais qui partagent toutes un r&eacute;el pouvoir de nuisance. Certaines menaces deviennent malgr&eacute; tout pr&eacute;dominantes. Le concept de &laquo; banque ouverte &raquo; &agrave; l&rsquo;&eacute;preuve de la s&eacute;curit&eacute; Pendant des d&eacute;cennies, les banques ont exerc&eacute; un contr&ocirc;le absolu sur les donn&eacute;es de leurs clients et leurs donn&eacute;es propres, tirant tr&egrave;s t&ocirc;t profit de l&rsquo;&eacute;mergence des technologies de s&eacute;curit&eacute; et de gestion des identit&eacute;s. Aujourd&rsquo;hui, l&rsquo;industrie bancaire et financi&egrave;re compte parmi les mieux prot&eacute;g&eacute;es contre les attaques et les fuites de donn&eacute;es. Mais l&rsquo;&eacute;mergence du concept de &laquo; banque ouverte &raquo; pourrait bien changer la donne. Avec la mise en application de la directive DSP 2 notamment, et l&rsquo;&eacute;volution des attentes des clients, les banques doivent relever un d&eacute;fi de taille : le partage de leurs pr&eacute;cieuses donn&eacute;es, et celles de leurs clients, avec des entreprises tierces &ndash; agr&eacute;gateurs de comptes, banques concurrentes, start-up et autres FinTechs . Une simple API mal int&eacute;gr&eacute;e dans une application peut entra&icirc;ner un risque de fuite de donn&eacute;es, engageant la responsabilit&eacute; de tous les acteurs impliqu&eacute;s. Au-del&agrave; du simple partage des donn&eacute;es, les banques ont &eacute;galement int&eacute;r&ecirc;t &agrave; nouer de vrais partenariats strat&eacute;giques avec certains de ces tiers, pour que l&rsquo;ouverture soit cr&eacute;atrice de valeur de mani&egrave;re bilat&eacute;rale. Elles vont donc travailler et ouvrir des ponts de communication avec des entreprises&hellip; sans avoir toujours une compr&eacute;hension claire et compl&egrave;te de leur niveau de s&eacute;curit&eacute;, s&rsquo;exposant &agrave; de nouveaux risques sur lesquels elles n&rsquo;ont que peu de contr&ocirc;le. Le secteur bancaire n&rsquo;est pas le seul &agrave; &eacute;voluer. Les cybercriminels, eux aussi, cherchent constamment &agrave; innover. Les derni&egrave;res ann&eacute;es ont &eacute;t&eacute; marqu&eacute;es par une importante &eacute;volution du paysage des menaces financi&egrave;res, avec l&rsquo;&eacute;mergence de nouveaux modes op&eacute;ratoires et techniques d&rsquo;infiltration, et une g&eacute;ographie plus large. L&rsquo;un des changements les plus importants est sans aucun doute l&rsquo;exploitation de la cha&icirc;ne d&rsquo;approvisionnement comme vecteur d&rsquo;attaques. Concr&egrave;tement, des cybercriminels attaquent une entreprise, souvent mal prot&eacute;g&eacute;e, et l&rsquo;utilisent ensuite comme porte d&rsquo;entr&eacute;e vers une ou plusieurs autres entreprises. Il n&rsquo;est pas difficile d&rsquo;imaginer l&rsquo;int&eacute;r&ecirc;t que rev&ecirc;t pour eux l&rsquo;ouverture des banques &agrave; un &eacute;cosyst&egrave;me. La menace int&eacute;rieure Au-del&agrave; des menaces ext&eacute;rieures, celles venant de l'int&eacute;rieur ne sont pas non plus &agrave; n&eacute;gliger, lorsque l&rsquo;on compte pr&egrave;s de 150 000 employ&eacute;s dans certains grands groupes bancaires fran&ccedil;ais ! Tous secteurs confondus, plus de 80 % des incidents informatiques sont dus &agrave; une erreur humaine ; elle peut &ecirc;tre li&eacute;e &agrave; une m&eacute;connaissance ou &agrave; une inattention, mais les cybercriminels ont aussi leur part, gr&acirc;ce aux techniques d&rsquo;ing&eacute;nierie sociale. Afin de p&eacute;n&eacute;trer le r&eacute;seau d'une entreprise sans avoir &agrave; d&eacute;penser des milliers d&rsquo;euros et perdre des semaines &agrave; chercher une faille existante sur le syst&egrave;me informatique, ils font en sorte qu&rsquo;un employ&eacute; devienne cette faille. Pour cela, ils lui envoient des e-mails personnalis&eacute;s encore et encore, en se faisant passer pour son manager, pour une connaissance ou encore en envoyant des e-mails publicitaires en lien avec ses centres d&rsquo;int&eacute;r&ecirc;t, comme le ferait une basique campagne de phishing [1] . Cette m&eacute;thode est devenue particuli&egrave;rement efficace avec la multiplication des fuites de donn&eacute;es au cours des derni&egrave;res ann&eacute;es, le ciblage &eacute;tant facilit&eacute; par la multiplication des informations personnelles disponibles en ligne. Quand crime traditionnel et cybercrime convergent En plus des nouveaux modes d&rsquo;attaques, les banques doivent &eacute;galement s&rsquo;adapter &agrave; l&rsquo;&eacute;volution de menaces historiques qui visent directement leurs clients et qui profitent de l&rsquo;&eacute;mergence des outils num&eacute;riques pour gagner en complexit&eacute;. C&rsquo;est le cas de la fraude &agrave; la carte bancaire avec l&rsquo;explosion des paiements en ligne, sur ordinateur et sur mobile : en 2018, ce ne sont pas moins de 439 millions d&rsquo;euros qui ont &eacute;t&eacute; d&eacute;tourn&eacute;s des comptes bancaires des Fran&ccedil;ais, soit une augmentation de 56 % entre 2015 et 2018 [2] . La fraude en ligne n&rsquo;est pas seule responsable de cette hausse, mais elle est un ind&eacute;niable facteur aggravant. L&agrave; encore, le phishing est largement utilis&eacute; : au second trimestre 2018, par exemple, plus d&rsquo;un tiers des attaques de phishing , ont sp&eacute;cifiquement cibl&eacute; les consommateurs de services financiers [3] . Il est &agrave; noter que la directive DSP 2 va imposer, entre autres, aux sites marchands une authentification forte pour les paiements en ligne, dans le but de mieux s&eacute;curiser les transactions et limiter la fraude. Les technologies mobiles, porte d&rsquo;entr&eacute;e vers nos comptes bancaires Les malwares bancaires, con&ccedil;us pour vider le contenu du compte en banque des utilisateurs &agrave; leur insu, constituent une autre menace incontournable. Ils n&rsquo;ont jamais &eacute;t&eacute; aussi nombreux : en 2018, Kaspersky a repouss&eacute; 962 947 023 attaques dans plus de 187 pays diff&eacute;rents, et le nombre d&rsquo;installations a tripl&eacute; entre le 1 er et le 2 nd semestre [4] . Cette hausse s&rsquo;explique par la cr&eacute;ativit&eacute; des cybercriminels, qui imaginent constamment de nouveaux logiciels malveillants, afin de les rendre plus sophistiqu&eacute;s, plus discrets et plus difficiles &agrave; d&eacute;tecter. Les solutions techniques permettent de s&rsquo;en prot&eacute;ger, mais c&rsquo;est surtout la vigilance des utilisateurs qui permet de r&eacute;duire l&rsquo;impact de la menace. Cryptomonnaies : l&rsquo;objet de toutes les (mauvaises) attentions Souvent r&eacute;duites au bitcoin, les cryptomonnaies p&acirc;tissent d&rsquo;une r&eacute;putation sulfureuse, concentrant espoirs de richesse des utilisateurs et m&eacute;fiance des r&eacute;gulateurs. Ces derniers s&rsquo;inqui&egrave;tent notamment de l&rsquo;usage de plus en plus fr&eacute;quent des monnaies num&eacute;riques dans le cadre d&rsquo;activit&eacute;s criminelles, notamment le blanchiment d&rsquo;argent, le financement du terrorisme ou encore l&rsquo;&eacute;vasion fiscale. Selon l&rsquo;ancien directeur d&rsquo;Europol, Rob Wainwright, le blanchiment d&rsquo;argent repr&eacute;senterait &agrave; lui seul 5,5 milliards d&rsquo;euros. Si le crime traditionnel a su tr&egrave;s t&ocirc;t exploiter les cryptomonnaies, ces derni&egrave;res ont &eacute;galement attir&eacute; l&rsquo;attention d&rsquo;une g&eacute;n&eacute;ration d&rsquo;acteurs malveillants, les cybercriminels, attir&eacute;s par l&rsquo;absence de r&eacute;gulation et le manque de maturit&eacute; du secteur. Pendant longtemps, nous avons cru les cryptomonnaies prot&eacute;g&eacute;es du cybercrime par le pouvoir de la blockchain , mais nous savons aujourd&rsquo;hui qu'elle n&rsquo;est pas infaillible. Certes, les avantages de la blockchain prot&egrave;gent les monnaies elles-m&ecirc;mes, car elles sont co&ucirc;teuses et complexes &agrave; attaquer. En revanche, ils ne prot&egrave;gent pas les plates-formes d&rsquo;&eacute;change de devises &eacute;lectroniques &ndash; permettant d&rsquo;&eacute;changer une cryptomonnaie contre une autre ou contre une devise traditionnelle &ndash; qui rec&egrave;lent des failles traditionnelles. Depuis deux ans, plusieurs attaques d&rsquo;ampleur sont &agrave; d&eacute;plorer et le rythme ne faiblit pas. Rien qu&rsquo;en juin 2019, au moins deux plates-formes ont &eacute;t&eacute; vis&eacute;es : la plate-forme d&rsquo;&eacute;change singapourienne Bitrue a reconnu avoir &eacute;t&eacute; victime d&rsquo;une attaque ayant permis aux criminels de mettre la main sur l&rsquo;&eacute;quivalent de plus de 4 millions de dollars ; quelques jours avant, 9,5 millions de dollars avaient &eacute;t&eacute; d&eacute;rob&eacute;s &agrave; des utilisateurs de GateHub. Le choix des plates-formes d&rsquo;&eacute;change n&rsquo;a rien d&rsquo;anodin. Ces syst&egrave;mes centralis&eacute;s permettent de piller des milliers de portefeuilles d&rsquo;un seul coup, via l&rsquo;exploitation d&rsquo;une faille unique, en injectant par exemple un script malveillant dans le code source. &Agrave; ce jour, la plupart des plates-formes restent vuln&eacute;rables &agrave; la majorit&eacute; des m&eacute;thodes d&rsquo;attaque connues, y compris le phishing . Malgr&eacute; la vari&eacute;t&eacute; et la gravit&eacute; des risques, il est impossible aujourd&rsquo;hui d&rsquo;imaginer revenir en arri&egrave;re et r&eacute;duire la d&eacute;pendance du secteur financier aux nouvelles technologies. C&rsquo;est pourquoi, si nous esp&eacute;rons un jour remporter la lutte contre le cybercrime, la s&eacute;curit&eacute; telle qu&rsquo;elle existe aujourd&rsquo;hui ne suffit plus. L&rsquo;objectif doit &ecirc;tre d&rsquo;immuniser les technologies bancaires et financi&egrave;res contre les cybermenaces de mani&egrave;re &agrave; ce que chaque utilisateur &ndash; particulier ou professionnel &ndash; puisse les utiliser en toute confiance en ayant la certitude qu&rsquo;elles sont prot&eacute;g&eacute;es. Pour y parvenir, nous devons faire en sorte que le b&eacute;n&eacute;fice esp&eacute;r&eacute; d&rsquo;une attaque ne couvre pas les investissements n&eacute;cessaires &agrave; sa mise en place. En somme, que le cybercrime ne paie plus. 1 Envoi d&rsquo;e-mails frauduleux visant &agrave; r&eacute;cup&eacute;rer des donn&eacute;es personnelles ou bancaires. 2 Source : Banque de France - Rapport annuel de l&rsquo;Observatoire de la s&eacute;curit&eacute; des moyens de paiement 2018. 3 Source : Kaspersky &ndash; Spam and Phishing report in Q2 2018 : https://securelist.com/spam-and-phishing-in-q2-2018/87368/. 4 Source : Kaspersky &ndash; Malware reports &ndash; IT threat evolution Q2 2018. Statistics : https://securelist.com/it-threat-evolution-q2-2018-statistics/87170/.

RECHERCHEZ UN ARTICLE, UNE CHRONIQUE, PARMI L'ENSEMBLE DES PUBLICATIONS

RECHERCHEZ UN AUTEUR

Archive

Cyberattaques

La banque ouverte à l’épreuve de la sécurité

Les attaques cyber actuelles sont le fruit des évolutions digitales, comme l’ouverture liée à la DSP 2 ou le développement des cryptomonnaies. Face à la multiplication des cyber-risques, les banques doivent faire en sorte que le crime ne paie plus.

À retrouver dans la revue

Banque de détail

[Web Only] Tarifs bancaires : les banques amortissent l’inflation

Blockchain/Cryptoactifs

Les garanties bancaires
sont d’excellents cas d’usage

Banque de financement et d'investissement (BFI)

« Paris est le centre de gravité
pour tous les instruments financiers traités en euros »

Paiements

Le droit de la responsabilité civile appliqué à des virements frauduleux en devises

Archive

Panorama réglementaire des actifs numériques

Archive

Sberbank : une valeur anéantie à zéro en fonds de portefeuille

Archive

La transformation repose sur des directions responsables et des équipes pluridisciplinaires

Suivez-nous

RECHERCHEZ UN ARTICLE, UNE CHRONIQUE, PARMI L'ENSEMBLE DES PUBLICATIONS

RECHERCHEZ UN AUTEUR

Cyberattaques

La banque ouverte à l’épreuve de la sécurité

Les attaques cyber actuelles sont le fruit des évolutions digitales, comme l’ouverture liée à la DSP 2 ou le développement des cryptomonnaies. Face à la multiplication des cyber-risques, les banques doivent faire en sorte que le crime ne paie plus.

À retrouver dans la revue

[Web Only] Tarifs bancaires : les banques amortissent l’inflation

Les garanties bancaires sont d’excellents cas d’usage

« Paris est le centre de gravité pour tous les instruments financiers traités en euros »

Le droit de la responsabilité civile appliqué à des virements frauduleux en devises

Panorama réglementaire des actifs numériques

Sberbank : une valeur anéantie à zéro en fonds de portefeuille

La transformation repose sur des directions responsables et des équipes pluridisciplinaires

Les garanties bancaires
sont d’excellents cas d’usage

« Paris est le centre de gravité
pour tous les instruments financiers traités en euros »