En tant que vice-président senior chargé de la sécurité de l'information chez Wells Fargo, Tim Morris appréciait particulièrement les simulations de cyberattaques de 48 heures que la banque organisait dans des auditoriums locaux à l'intention de ses nombreuses équipes de sécurité.
« Nous étions environ 100 personnes, issues de toutes les divisions de sécurité », explique M. Morris à propos de ces sessions marathon au cours desquelles il a supervisé des simulations d’attaques offensives menées par l’équipe rouge, allant de simples campagnes de hameçonnage par e-mail de type « » à des attaques sophistiquées par ransomware. « Nous avons été confrontés à tous les types d'incidents de sécurité et d'attaques imaginables, allant des attaques par déni de service distribué aux tentatives d'exfiltration de données à grande échelle. » Il rit : « Au bout de deux jours, les gens seraient plutôt fatigués. »
Depuis des décennies, voire des siècles, les banques et les assureurs sont les gardiens des informations financières sensibles de leurs clients. Aujourd’hui, à l’ère de la technologie financière « » (également appelée « fintech »), ces données sont presque exclusivement numérisées : qu’il s’agisse des virements de salaire, des remboursements de prêt immobilier, des plateformes de trading sur mobile ou des avoirs en bitcoins. Les enjeux commerciaux sont également bien plus importants.
« Dans le domaine des fintechs », explique M. Morris, « les données constituent le produit. » C'est le moyen de subsistance de leurs clients. « Si des dépôts ou des portefeuilles sont volés, cela porte gravement atteinte à la réputation. »
Grâce à la technologie et au télétravail imposé par la pandémie, les réseaux fintech font désormais partie intégrante de presque toutes les transactions effectuées par les consommateurs, dans le cadre du commerce électronique et par les investisseurs. Que vous soyez un adepte ou un sceptique de la fintech, celle-ci est appelée à prendre de l'ampleur, et même beaucoup plus encore. Le volume mondial du commerce électronique dans ce secteur s'élèvera à 3,61 000 milliards de dollars cette année, contre 348,7 milliards de dollars en 2010, et devrait atteindre 6,07 000 milliards de dollars d'ici à peine cinq ans, selon le rapport d'Ascential intitulé « Money20/20 ».
«» : pour les fintechs, les données constituent le produit. Si des portefeuilles sont volés, cela porte gravement atteinte à la réputation. »Tim Morris, ancien vice-président senior chargé de la sécurité de l'information chez Wells Fargo
Les menaces en matière de cybersécurité vont également s'intensifier. De manière constante, parmi tous les secteurs d'activité, le secteur bancaire a supporté le plus gros des coûts liés à la cybercriminalité. In 2019, it came in a dismal No. 1 in Accenture’s Ninth Annual Cost of Cybercrime study. La situation n'a fait qu'empirer depuis lors, le coût mondial de l'ensemble de la cybercriminalité ayant grimpé en flèche pour atteindre près de 1 000 milliards de dollars en 2020, en raison de la pandémie et du télétravail. La cyberattaque perpétrée l'année dernière contre l'application bancaire numérique Dave, au cours de laquelle des pirates ont dérobé les données personnelles d' , concernant environ 7,5 millions d'utilisateurs de dave.com, met en évidence les vulnérabilités auxquelles est confronté le secteur des technologies financières.
Pour de nombreux observateurs, les algorithmes qui sous-tendent les plateformes de paiement en ligne, d'assurance et de crédit constituent un enjeu majeur pour leur stabilité et leur fiabilité. « Ce n'est en réalité pas le cas », affirme M. Morris. Ce qui est véritablement essentiel, c'est la manière dont ces entreprises gèrent les données et la robustesse des systèmes qui les protègent.
Les joyaux de la couronne
M. Moshe Katri est directeur général de la recherche actions chez Wedbush Securities, une société de gestion de patrimoine et d'investissement comptant quelque 6 000 clients et gérant 4,2 milliards de dollars d'actifs. Katri affirme que ce n'est pas parce que les fintechs sont innovantes qu'elles prennent nécessairement plus de risques.
En effet, les entreprises en contact direct avec les consommateurs, telles que les fintechs, qui opèrent dans des secteurs caractérisés par une plus grande volatilité, qu’il s’agisse de plateformes d’échange de cryptomonnaies ou de plateformes de négociation d’actions, ont tendance à mettre en place des mesures de sécurité supplémentaires. « La dernière chose qu’ils souhaitent, c’est que leur crédibilité soit ébranlée par une faille de sécurité », explique Katri.
Sans surprise, M. Morris, qui occupe désormais le poste de stratège technologique chez Tanium en Caroline du Nord, affirme que la visibilité sur l'ensemble du réseau est essentielle à la sécurité des données. Pour y parvenir, les acteurs du secteur des technologies financières doivent savoir combien de terminaux se trouvent sur leur réseau, comment ces terminaux sont configurés, quels logiciels ils exécutent, et si ces logiciels sont mis à jour et disposent des derniers correctifs. Ce n'est qu'alors qu'ils pourront définir leur surface d'attaque et protéger leurs actifs les plus précieux. En prenant un peu de recul, dit-il, les entreprises de fintech devraient également avoir une idée de l'image qu'elles renvoient aux yeux d'un pirate informatique.
Assumez-le
Les cybercriminels s'attaquent au secteur des technologies financières pour la même raison qu'ils s'attaquent à d'autres secteurs : pour s'enrichir rapidement (souvent au moyen de ransomware). Cela donne aux entreprises de sécurité des éléments sur lesquels s'appuyer et qu'elles peuvent anticiper. Par ailleurs, selon M. Morris, même si les attaques semblent souvent de plus en plus sophistiquées, elles sont généralement opportunistes et bien planifiées. Selon lui, les ransomwares sont en train de devenir un « produit de grande consommation ».
La mise en œuvre de bonnes pratiques en matière de cybersécurité ( ) est essentielle pour compliquer la tâche des cybercriminels, ce qui suffit souvent à les inciter à rechercher une victime plus vulnérable. Parmi les priorités : recenser et inventorier tous les terminaux et appareils connectés à un réseau ; gérer le nombre croissant d’applications et d’autres logiciels qui se sont multipliés à l’ère du télétravail ; automatiser l’ t l’application des correctifs des logiciels autorisés (tout en supprimant les applications non autorisées) ; et élaborer un plan d’intervention rapide face aux menaces de sécurité.
M. Morris affirme que les entreprises de fintech doivent intégrer la sécurité dès les premières étapes de leur technologie opérationnelle, une pratique connue sous le nom de «shift left » (déplacement vers la gauche) dans le domaine des tests logiciels. Cela consiste à privilégier la mise en place de tests dès les premières étapes du cycle de développement, plutôt que de les ajouter après coup. Cela encourage également, voire impose, une collaboration accrue entre les équipes de sécurité et les développeurs.
« J’utilise souvent l’analogie de la maison », explique Morris. « Vous déterminez les limites et les serrures au fur et à mesure que vous configurez les fenêtres et les portes. »
L'un des défis auxquels est confronté le secteur de la fintech, qui compte de nombreuses petites entreprises, réside dans la tentation pour ces dernières d'externaliser l'ensemble de leurs responsabilités en matière d'informatique et de sécurité. Les fintechs ne peuvent pas se contenter de faire appel à un seul fournisseur pour répondre à tous leurs besoins. (Les récentes attaques visant la chaîne d'approvisionnement leur ont certainement appris cela.) Ils ne peuvent pas se contenter de le configurer et de ne plus s'en occuper. Ils doivent s'approprier leur stratégie de sécurité. « Le fait de l'externaliser engendre un risque lié à un tiers pour l'entreprise, qui s'ajoute au risque lié aux données », explique M. Morris.
«Les entreprises devraient avoir une idée précise de l’image qu’elles renvoient aux yeux d’un pirate informatique. »
Cela pose également problème aux autorités de régulation. Le système d'information d'une entreprise de technologie financière doit non seulement répondre à ses propres besoins opérationnels, mais aussi à ceux des autorités de régulation financières et de sécurité. Ils doivent également respecter les protocoles des partenaires ou des sponsors du secteur des services financiers. Et il ne doit pas s'agir de produits prêts à l'emploi.
« Il vous faut de très bonnes règles, et non pas des règles toutes faites ou basées sur des modèles », explique Chuck Pine, qui dirige le pôle conformité au sein du cabinet d’expertise comptable et de conseil BDO, et dont l’équipe se consacre aux stratégies de lutte contre la fraude et le blanchiment d’argent. « Elles doivent être conçues pour vos clients. »
Des menaces en constante évolution
Dans un contexte où la transformation numérique ne cesse de s'accélérer, les menaces numériques évoluent elles aussi rapidement. Cela fait des fintechs l'un des principaux gardiens des précieuses données clients et souligne l'importance pour ce secteur de respecter des pratiques rigoureuses en matière de cybersécurité.
Selon M. Pine, les entreprises qui se lancent dans le secteur de la fintech et qui s'engagent dans une démarche de conformité ne comprennent souvent pas que leur profil de risque est intrinsèquement élevé en raison de la nature même de leurs activités.
[À lire également : Les lourdes amendes réglementaires en Europe font leur grand retour]
Le secteur de la fintech lui-même est également en pleine évolution. La cryptomonnaie, qui semble faire la une de l'actualité, est une innovation qui offre aux investisseurs un produit, les monnaies numériques, ainsi qu'une nouvelle technologie, la blockchain, qui, en théorie, a le potentiel de bouleverser l'ensemble du fonctionnement du secteur des services financiers. Les partisans de la plateforme affirment que ses transactions cryptées élèvent la sécurité des services financiers à un niveau supérieur, tandis que ses détracteurs estiment qu'elle se prête à des abus en raison de l'anonymat des règlements.
Selon Katri, de Wedbush, les entreprises du secteur des cryptomonnaies consacrent beaucoup d'énergie à anticiper l'éventuelle mise en place d'une réglementation, ou du moins d'une surveillance accrue.
« Les cryptomonnaies finiront par être réglementées d’une manière ou d’une autre », déclare Katri. « Ce sera un événement positif pour le secteur et cela lui apportera une certaine légitimité. »
Retour aux fondamentaux
Les données ne constituent pas seulement un atout précieux pour les entreprises de fintech. Cela peut stimuler l'innovation technologique et ouvrir de nouveaux marchés. Si elles s'y prennent bien, les fintechs ont de fortes chances de prospérer. Mais en cas de défaillances, de pannes du système ou de violations de sécurité, les autorités de surveillance américaines subiront des pressions pour sévir et imposer des contraintes susceptibles de menacer la croissance qui a permis au secteur d'atteindre son niveau actuel.
Pour M. Morris, cela repose en grande partie sur les bonnes vieilles pratiques de cybersécurité. Lorsque vous procédez à une évaluation des menaces et que vous identifiez une voie d'accès potentielle permettant à un pirate de s'introduire dans le système, « vous avez un nœud à l'estomac », explique-t-il. « Mais vous vous sentez aussi bien parce que vous avez découvert quelque chose avant tout le monde. »
