La cybersécurité devrait être une obsession permanente

La cybersécurité dans les banques est l’une des priorités de ces dernières années. Tous les grands établissements bancaires ont mis en place et investi dans des programmes qui s’avèrent plus ou moins performants. Ces investissements ont surtout porté sur la sécurité des clients en renforçant par exemple la sécurité lors des paiements en ligne. Mais les fraudes sont de plus en plus perfectionnées et pour certains professionnels, comme par exemple Thomas Philippon, professeur à la Stern School of Business, qui intervenait ce matin lors de la conférence annuelle de l’ACPR, « il existe une incapacité à gérer ce risque. Pourtant il est devenu systémique pour les banques ». Une vision relayée un peu plus tard dans la matinée par Marie-Anne Barbat Layani, directrice générale de la Fédération Bancaire Française. Des initiatives sont tout de même prises au niveau européen, comme par exemple la BCE qui souhaite mettre en place des stress tests de résistance des banques par rapport à des cyberattaques à grandes échelle.

Mais dans les pays anglo-saxons, c’est un tout nouveau genre de cyberattaque qui se déroule depuis plusieurs semaines. En effet, ce sont un ou des farceur(s) qui s’attaquent aux patrons de grandes banques, en se faisant passer pour un de leur collègue. Pour l’heure, personne ne sait combien il y a de farceurs mais ils ont déjà piégé le patron de Barclays, Jes Staley, celui de Goldman Sachs, Lloyd Blankfein, Stephen Bird de Citi ou encore James Gorman de Morgan Stanley. Ils ont même été jusqu’à piéger le gouverneur de la Banque d’Angleterre, Mark Carney.

Le principe est simple : créer une adresse email avec Gmail ou Outlook au nom de l’une des personnes travaillant habituellement avec la cible, souvent dans le top management, puis lancer une conversation avec un objet accrocheur. Par exemple, le farceur a accroché Llyod Blankfein, en faisant référence à un tweet lancé récemment ou encore en prétendant s’être trompé de destinataire dans un second email comme avec Stephen Bird, le patron de Citi. Cette discussion prend généralement fin au bout de quelques échanges, soit quand la personne piégée a des soupçons, soit par le farceur lui-même. L’histoire peut faire sourire, mais elle est prise très au sérieux car elle met en défaut d’une part la sécurité des systèmes informatiques de ces banques, mais soulève aussi des interrogations sur la formation des patrons face aux risques de cyberattaques.

Car le farceur va loin dans sa supercherie. Alors qu’il demandait à Stephen Bird s’il ne fallait pas mieux protéger les emails, le patron de Citi lui répond : « en effet, nous utilisons des systèmes de filtre qui pour le moment capturent la plupart des spam ou adresses non reconnues. Nous pouvons faire mieux ». Ce type d’ingérence dans la sécurité informatique des banques montre donc la vulnérabilité de ces sécurités. D’ailleurs, le farceur n’a pas, a priori, de mauvaises intentions, si ce n’est piéger une génération qui utilise les emails pour des discussions communes contrairement à la génération plus jeune qui utilise les messageries instantanées. Mais la question est aussi de savoir si le top management et les grands patrons se forment autant aux risques de cybersécurité que leur personnel. En effet, des sessions de formation ont lieu très régulièrement dans les banques, afin de sensibiliser le personnel mais aussi de les former à détecter un risque. Une vigilance qu’à priori les patrons n’ont pas respecté, puisqu’ils se sont concentrés sur le nom de l’expéditeur du mail plutôt que sur l’adresse de l’expéditeur.