Parmi les nombreuses menaces qui pèsent sur les entreprises du secteur des services financiers — qu’il s’agisse des 2022—distributed attaques par déni de service (DDoS), des ransomwares, des fraudes par usurpation de messagerie professionnelle (BEC) ou d’autres menaces —, la vulnérabilité de la chaîne d’approvisionnement figure en tête de liste des risques les plus pressants pour l’année à venir, selon une analyse récente de la cybercriminalité touchant ce secteur.
Il s'agit là d'une conclusion majeure tirée du rapport « : Navigating Cyber 2023 », un rapport annuel publié par le Financial Services Sharing and Analysis Center (FS-ISAC), un organisme à but non lucratif dédié au partage de renseignements cybernétiques qui compte quelque 5 200 institutions membres, parmi lesquelles des banques, des courtiers, des compagnies d'assurance et des coopératives de crédit, représentant 100 000 milliards de dollars d'actifs dans 75 pays.
Les entreprises du secteur des services financiers, bien qu'elles disposent généralement de moyens financiers importants et soient en mesure de mettre en œuvre les meilleurs outils de sécurité, restent une cible privilégiée des cybercriminels.
Selon le FS-ISAC, ses membres ont signalé une augmentation de 300 % des attaques de type « BEC » ( ) en 2022 par rapport à l’année précédente. Les attaques de type « déni de service distribué » ( , DDoS) visant des établissements financiers en Europe ont augmenté de 73 % au cours de cette même période, représentant la moitié de l'ensemble des attaques DDoS dans la région. Et bien que les paiements en cryptomonnaie versés aux auteurs d’attaques par rançongiciel aient pu diminuer en 2022—likely en raison des sanctions visant ce type de paiements, comme le souligne le rapport, les membres du FS-ISAC ont tout de même constaté un « flux continu » d’attaques.
« Nous constatons, année après année, que de nombreuses attaques du même type se produisent dans l’ensemble du secteur, comme le montre le rapport », déclare Chris Blow, directeur de la sécurité offensive chez Liberty Mutual Insurance.
Ce rapport passe en revue les menaces les plus importantes qui ont visé les entreprises du secteur des services financiers en 2022 et donne un aperçu de ce que les analystes du FS-ISAC considèrent comme les risques les plus importants pour le reste de l'année 2023. Avertissement : grâce aux progrès technologiques, la plupart des menaces que nous avons observées l'année dernière risquent de s'intensifier.
Les conflits géopolitiques et les attaques par contournement de l'authentification MFA occupent désormais le devant de la scène
En 2022, l'intensification des conflits géopolitiques s'est avérée être le facteur ayant eu l'impact le plus significatif sur le risque cyber dans le secteur des services financiers. « Les tensions existantes, exacerbées par l’invasion de l’Ukraine par la Russie , ont déclenché une vague d’d’activités hacktivistes qui se poursuit sans relâche », indique le rapport. « La Chine et son objectif de réunification avec Taïwan, ainsi que les attaques de l’Iran contre les institutions financières occidentales, motivées par des considérations idéologiques, contribuent à façonner le paysage des cybermenaces géopolitiques. »
«» J’ai été surpris que les menaces pesant sur la chaîne d’approvisionnement logicielle ne figurent pas en tête de la liste des 2022. Je ne suis pas surpris de voir qu'elle arrive en tête du classement des menaces en 2023. »Chris Blow, directeur de la sécurité offensive chez Liberty Mutual Insurance
Les équipes chargées de la sécurité dans le secteur des services financiers continueront de surveiller les tensions géopolitiques au cours de l'année à venir, en particulier dans les zones sensibles telles que la Russie et l'Ukraine, la Chine et Taïwan, ainsi que l'Iran, où des hacktivistes pourraient agir pour des motifs politiques. Les grandes entreprises du secteur des services financiers entretenant des liens étroits avec des pays impliqués dans un conflit peuvent s'attendre à être prises pour cible.
Les attaques visant l'authentification multifactorielle (MFA) de ont également donné du fil à retordre aux équipes de sécurité du secteur financier l'année dernière. Au milieu de l'année 2022, les membres du FS-ISAC ont constaté une recrudescence des attaques visant à dérober des identifiants et des attaques de hameçonnage menées à l'encontre de clients d'Office 365 . Ce type d'attaque contre l'authentification MFA correspond généralement à une attaque de type « adversaire intermédiaire » (AitM), qui consiste à intercaler un système entre l'utilisateur et le service auquel il tente d'accéder, afin de pouvoir voler des identifiants tels que les cookies de session.
Les pirates utilisent les identifiants volés pour accéder à des ressources protégées. De telles approches AitM ont été mises en œuvre à l'encontre d'établissements financiers aux États-Unis, au Royaume-Uni, en Nouvelle-Zélande et en Australie.
Les ransomwares font la une des journaux, mais les escroqueries de type BEC sont (bien) plus coûteuses
Les attaques par ransomware de type « » restent une menace redoutable et s'avèrent être « un modèle économique plus efficace que jamais », comme le souligne le rapport.
Selon les analystes du FS-ISAC, les deux secteurs les plus touchés par les attaques de ransomware en 2022 étaient l’industrie manufacturière et le secteur des services professionnels, scientifiques et techniques, les entreprises du secteur financier et des assurances arrivant en troisième position. Hélas, cette troisième place n'est guère réconfortante, étant donné que la majorité des fournisseurs et prestataires tiers du secteur des services financiers proviennent du secteur des services professionnels, scientifiques et techniques.
Cela expose les établissements financiers à des risques, même lorsqu'ils ne font pas l'objet d'une attaque directe. Parmi les attaques par ransomware visant des fournisseurs tiers du secteur financier l'année dernière figuraient la société irlandaise de logiciels bancaires CR2, l'éditeur de logiciels de sécurité numérique Entrust et le fournisseur de solutions financières et comptables Exela.
Alors que les groupes cybercriminels continuent de recourir aux prestataires de « ransomware-as-a-service » pour mener leurs attaques, la fraude de type BEC reste également très répandue. « La fraude de type BEC est devenue l’une des fraudes les plus courantes et les plus coûteuses touchant les entreprises du monde entier », indique le rapport. Le BEC peut prendre plusieurs formes, mais les cas les plus fréquemment signalés au FS-ISAC sont les demandes de détournement de salaires ou les demandes de paiement frauduleuses, dans le cadre d'une escroquerie par usurpation d'identité ou d'une fraude commise par un fournisseur.
Et ces attaques s'accumulent. Selon le Centre de signalement des délits sur Internet (ICCC) du FBI, ce dernier a reçu des plaintes relatives à des escroqueries de type BEC pour un montant total de 2,4 milliards de dollars. Ce montant est nettement supérieur aux 49,2 millions de dollars de préjudices signalés dans le cadre de plaintes liées à des logiciels de rançon.
Les risques liés à la chaîne d'approvisionnement logicielle et à l'IA pourraient dominer l'année à venir
L'année dernière, les menaces d' s visant la chaîne d'approvisionnement logicielle ont ciblé un environnement professionnel de plus en plus numérisé, et cette numérisation ne montre aucun signe de ralentissement. En 2022, les attaques les plus courantes visant la chaîne d'approvisionnement de type « » signalées par les membres du FS-ISAC étaient le détournement de mises à jour logicielles, la signature frauduleuse de code et la compromission de code open source.
«Les nouveaux outils, tels que l’IA, permettent aux pirates moins expérimentés d’agir plus efficacement. »Coup
Ces stratégies ne devraient que se multiplier, compte tenu de la disponibilité croissante des logiciels malveillants en tant que service et de la popularité fulgurante des applications bancaires mobiles et de l'open banking. Largement déployée en 2018, l'« open banking » repose sur des interfaces de programmation d'applications (API) qui permettent d'accéder rapidement aux données financières, afin que les consommateurs puissent facilement comparer les différents services bancaires. Selon un rapport de l' , les attaques visant les API ont bondi de 681 % l'année dernière.
« J’ai été surpris que les menaces pesant sur la chaîne d’approvisionnement logicielle ne figurent pas en tête de la liste du rapport 2022 », déclare M. Blow. « Je ne suis pas surpris de voir que cela arrive en tête de la liste des menaces en 2023 », ajoute-t-il.
Les hacktivistes, tout comme les cybercriminels en général et les amateurs animés par des motivations personnelles, bénéficieront tous des progrès réalisés dans le domaine de l'intelligence artificielle (IA), qui pourraient bien changer la donne non seulement cette année, mais aussi pour les décennies à venir.
Le chatbot génératif basé sur l'IA ChatGPT n'a été lancé qu'en novembre, et cet outil a déjà été utilisé pour créer du code malveillant et des e-mails de hameçonnage très convaincants. Les modèles linguistiques génératifs ont également permis la création de logiciels malveillants destinés à voler des informations, d'outils de chiffrement et bien d'autres choses encore. Des menaces de ce type obligeront les professionnels de la sécurité en première ligne à rester constamment sur leurs gardes.
« Je m’inquiète du crime organisé et des hackers en herbe », déclare M. Blow. « Les nouveaux outils, tels que l’IA, permettent aux pirates moins expérimentés d’agir plus efficacement. »
Malgré la vague prévue d'attaques basées sur l'IA, les analystes du FS-ISAC restent optimistes quant à l'efficacité des défenses fondées sur l'IA. Ils envisagent également d'accroître les investissements dans les approches automatisées de l' , de la , de la vulnérabilité et de la , ainsi que dans la gestion des correctifs . Ils continuent néanmoins à accorder toute leur confiance aux hommes et aux femmes qui travaillent au sein des équipes chargées de la sécurité des services financiers.
« L’automatisation », conclut le rapport, « ne remplacera pas, dans un avenir prévisible, le jugement et l’expertise de professionnels qualifiés. »
