Les hackers attaquent le système financier : 14 pays, un mois, aucun gel bancaire

En un mois environ, des banques et des systèmes de paiement de quatorze pays ont signalé des intrusions, des fuites de données ou des fonds retirés des comptes de clients. Presque aucun cas n'a nécessité un gel ordonné par un gouvernement : l'entrée s'est faite par une application, un prestataire ou un salarié, et l'argent est sorti en cryptomonnaie.

En un mois, des informations venues d'au moins quatorze pays décrivent la même séquence : une banque, un système de paiement ou un trésor public perd de l'argent ou des données à la suite d'une intrusion, et l'institution l'apprend après coup.

Presque aucun de ces cas n'a impliqué un ordre gouvernemental de fermeture. Les points d'entrée étaient ordinaires : une application bancaire, un prestataire disposant d'un accès légitime, ou une personne à l'intérieur capable d'ouvrir un compte à la main. La sortie a été rapide, et plusieurs affaires se sont terminées en cryptomonnaie.

Le mois, par région

Asie-Pacifique. Taïwan : environ 1,3 million de dollars retirés à 418 clients de SinoPac en une journée, remboursés par la banque. Corée du Sud : 37 institutions financières compromises, environ 473 000 enregistrements divulgués. Japon : plus de 6,1 millions de dollars pris à des entreprises de Yamagata via des appels usurpant leur banque. Indonésie : plus de 6 600 comptes de Bank Jambi touchés, environ 8,8 millions de dollars transférés. Singapour : 12,8 millions de dollars transférés. Malaisie : près de deux millions de ringgits retirés d'un compte appartenant à un membre d'une famille royale. Viêt Nam : un vice-gouverneur a indiqué que des pirates étaient restés des mois dans plusieurs banques sans être détectés.

Europe et Amériques. France : environ 133 millions de dollars pris à Crédit Mutuel Arkéa et convertis en cryptomonnaie ; l'application a été perturbée, la banque affirme que les fonds des clients n'ont pas été touchés. États-Unis : quatorze personnes à Dallas accusées d'avoir utilisé des SIM swaps et corrompu des employés pour viser des comptes détenant plus de 373 millions de dollars ; une entreprise de Floride a perdu 6,5 millions en quinze virements en trois jours. Canada : un ancien salarié de RBC condamné pour avoir ouvert 43 faux comptes au profit du crime organisé. Brésil : la banque centrale a recensé 99 incidents cyber en neuf mois, dont 68 liés à la fraude.

Ailleurs. La banque centrale du Népal a demandé aux banques de mettre leurs sites hors ligne après des appels KYC frauduleux. Le trésor du Sri Lanka a perdu 2,5 millions de dollars dans une fraude par courriel. Au Mexique, un groupe criminel a utilisé des outils d'IA contre le système de paiement SPEI.

Ce qu'ils ont en commun

L'IA est passée dans l'attaque. Voix contrefaites, documents générés, reconnaissance automatisée : le coût d'une usurpation crédible s'est effondré.

L'identité est le nouveau périmètre. SIM swaps, faux appels KYC, comptes ouverts par des employés : rien de tout cela ne franchit un pare-feu, parce que rien de tout cela n'attaque un pare-feu.

Le temps passé à l'intérieur précède l'argent. Au Viêt Nam comme ailleurs, l'intrusion a duré des mois avant le premier mouvement. C'est la détection, non la prévention, qui a manqué.

La sortie est la cryptomonnaie. Un virement converti en crypto est presque irrécupérable ; la vitesse de conversion est tout l'intérêt.

Pourquoi aucun pays n'a gelé une banque

Aucun pays n'a ordonné la suspension d'une banque. Ce n'est pas rassurant : c'est la mesure de la méthode. Un gel répond à une banque qui a échoué. Ces attaques n'ont pas besoin de cela — un identifiant, un initié, une intégration non corrigée et quelques heures suffisent.

La réponse officielle est l'exercice, pas la fermeture. Le G7 et la Banque centrale européenne mènent des exercices cyber et pressent les banques de préparer des plans de défense face à l'IA. La directrice générale du FMI a averti que, si la confiance s'érode, les gens pourraient choisir de garder leur argent chez eux.

Si vous détenez le compte

Ne gardez pas tout dans une seule application bancaire. Répartissez l'argent courant, l'épargne et l'épargne de précaution entre plusieurs établissements.
Activez les alertes que vous ignorez. Une notification par virement est la détection la moins chère qui existe.
Considérez un appel de « votre banque » comme hostile par défaut. Aucune banque légitime ne demande votre code à usage unique, votre mot de passe ou un accès à distance.
Ralentissez l'irréversible. Une double validation ou un délai sur les nouveaux bénéficiaires vaut la gêne.

Si vous construisez le système

Tous ces incidents se sont terminés dans du logiciel : l'appel routé, le compte ouvert, le virement approuvé, l'alerte générée et non lue. C'est pourquoi les questions posées avant la première ligne de code décident si un mois comme celui-ci vous touchera :

Un modèle de menace qui nomme chaque actif, l'adversaire, et ce que l'entreprise perd. Un moindre privilège appliqué, y compris pour les prestataires et l'automatisation. Une isolation prouvée par des tests. Une discipline de chaîne d'approvisionnement. Des secrets qui ne vivent jamais dans un dépôt ni un journal. Et une détection qu'un humain lit vraiment à trois heures du matin.

ABN Asia

AI. Banking. Network Security. ABN Asia construit et audite des logiciels pour des organisations qui ne peuvent pas apprendre une intrusion par un client. Nous travaillons aux États-Unis, aux Pays-Bas, en Hongrie, au Japon, en Corée du Sud, à Singapour et au Viêt Nam, et nous préférons revoir un système avant sa construction plutôt qu'après sa défaillance.

Si vous exploitez une banque, un système de paiement ou tout logiciel qui déplace de l'argent, écrivez-nous à [email protected].

Sources : presse régionale et déclarations officielles du mois écoulé, dont VnExpress (Viêt Nam), ainsi que les communications des banques centrales et régulateurs citées dans chaque cas. Les chiffres sont ceux publiés par ces sources.

Auteur

Ai-Banking-NetworkSecurity (ABN), ABN ASIA a été fondée par des personnes ayant des racines profondes dans le milieu académique, avec une expérience professionnelle aux États-Unis, aux Pays-Bas, en Hongrie, au Japon, en Corée du Sud, à Singapour et au Vietnam. ABN ASIA est l'endroit où l'académie et la technologie rencontrent l'opportunité. Avec nos solutions de pointe et nos services de développement logiciel compétents, nous aidons les entreprises à se développer et à s'imposer sur la scène mondiale. Notre engagement : Plus vite. Mieux. Plus fiable. Dans la plupart des cas : moins cher également.

N'hésitez pas à nous contacter chaque fois que vous avez besoin de services informatiques, de conseils en matière de numérique, de solutions logicielles prêtes à l'emploi, ou si vous souhaitez nous envoyer des demandes de propositions (RFP). Vous pouvez nous contacter à l'adresse [email protected]. Nous sommes prêts à vous aider avec tous vos besoins technologiques.