L’évolution de la sécurité bancaire a-t-elle quelque chose à nous apprendre en matière de cybersécurité ?

Risques et bénéfices. Les dirigeants du secteur bancaire doivent constamment prendre en compte les aspects liés à la cybersécurité pour déterminer quels sont les actifs qu’il est indispensable de protéger, de quelle manière et à quel coût. Un état des lieux qui est réalisé de la même manière par les hackers convoitant ces mêmes actifs. Le risque zéro n’existe pas, c’est pourquoi les équipes en charge de la sécurité informatique ne doivent pas uniquement chercher à éviter à tout prix les attaques, mais plutôt à donner du fil à retordre aux hackers en rendant ces dernières plus difficiles à mettre en place, plus coûteuses et plus risquées.

Philippe Carrère, Directeur de la protection des données et de l’identité, Europe du Sud, Gemalto.

Partant de ce constat, il est intéressant de comparer les actions qui ont été mises en place par les banques pour protéger leurs actifs physiques à celles dont elles ont aujourd’hui besoin pour garantir leur cybersécurité. Si les moyens utilisés pour protéger leurs biens physiques différent de ceux mis en place pour s’assurer de la sécurité de leur périmètre virtuel, des similitudes existent. Mieux encore, l’univers digital a su tirer profit des mesures sécuritaires déployées au sein du monde réel.

Des coffres forts qui ont atteint leurs limites

Jusqu’au milieu du 19^e siècle, les banques avaient recours à de petits coffres forts pour protéger leurs biens de valeur. Après la conquête du Far West, les chercheurs d’or, rentrés les mains vides, se sont tournés vers une autre source de convoitise : les coffres forts et leurs richesses. Utilisant leurs pioches, ils sont parvenus à les forcer et à en piller le contenu. 

Avec le temps, ces coffres forts de petite taille ont été remplacés par d’autres plus volumineux et donc plus difficiles à déplacer, sans pour autant décourager les voleurs qui ont utilisé des explosifs pour parvenir à leurs fins. A l’aube des années 20, la plupart des banques se sont équipées de coffre-forts renforcés, spécialement conçus pour résister aux cambrioleurs, aux émeutes ou encore aux catastrophes naturelles. Les malfaiteurs se sont alors dotés de chalumeaux leur permettant de transpercer l’acier.

L’humain comme monnaie d’échange

Lorsque les serrures ont démontré leurs limites, les banques ont eu recours à des cadenas à combinaison. Cette transition a marqué un glissement vers une sécurité basée sur l’humain, chargé de retenir la combinaison du coffre. Ce point souligne un constat qui s’est avéré vrai tout au long de l’histoire de la sécurité du secteur bancaire : ce sont souvent les individus qui constituent le maillon faible.

Aujourd’hui, la combinaison d’un coffre peut être comparée à des identifiants de connexion pouvant faire l’objet d’une attaque d’hameçonnage après intrusion sur le serveur ou le réseau. Un utilisateur disposant de certains accès peut également servir d’appât et ouvrir ou télécharger un fichier malveillant. Une fois installé sur l’ordinateur de ce dernier il devient alors possible, pour le hacker, de piloter à distance les préférences système et de lancer une attaque.

Les sites excentrés, cibles privilégiées des attaques

Au fil des décennies, le réseau des banques n’a cessé de s’étendre, accentuant ainsi le nombre de points d’entrée à surveiller. Au siège, viennent s’ajouter un nombre toujours plus croissant de succursales, de vitrines, de guichets automatiques, représentant autant de menaces potentielles. Ces sites annexes sont des cibles privilégiées pour les malfaiteurs qui délaissent les sites principaux, dont la sécurité est plus importante. Selon des sources policières, les braquages de banques ou de sociétés de transports de fonds diminuent au fil des ans en raison de la protection de plus en plus sophistiquée mise en place. 

De plus, une étude de l’Observatoire national de la délinquance et des réponses pénales (ONDRP) indique que parmi les 5 142 faits de vols à main armée recensés en 2013, 63% ont visé le « secteur marchand » (bijouteries, agences bancaires et de la Poste, etc.) 

 La vulnérabilité des actifs lors du transport

D’années en années, les malfaiteurs ont privilégié les cibles présentant la valeur la plus conséquente et le risque le moins élevé. Quiconque a déjà regardé un Western sait que l’étape du transport reste la plus vulnérable.

Aujourd’hui, le transfert des données numériques sensibles transitant sur le réseau est particulièrement convoité. Lorsque des attaques telles que celles de l’homme du milieu et les écoutes clandestines se sont banalisées, se doter de solutions de chiffrement des données est devenu plus que primordial.

 Selon un sondage réalisé par le Département d’Etat de New York des services financiers, 90% des banques ont recours à des solutions de chiffrement pour sécuriser les données transmises ou reçues par des utilisateurs tiers. Cependant, seulement 38% des établissements interrogés utilisent le chiffrement pour des données qui ne quittent jamais le réseau.

 Déterminer vos points faibles en matière de cyber-sécurité

Comme l’illustre parfaitement l’évolution de la sécurité bancaire, se concentrer sur une seule ligne de défense peut s’avérer risqué et inefficace.  La mise en place de nouvelles mesures de défense ne permet pas de garantir à 100% et H24 la sécurité de l’établissement bancaire. En effet, une fois que ces mesures sont identifiées et écartées par les hackers, ils se tournent vers d’autres failles potentielles.

En matière de sécurité physique, les coffres forts sont devenus plus volumineux et plus difficiles à forcer, avec notamment la construction de voûtes protégées par des murs de plusieurs mètres d’épaisseur. Mais les banques ne se sont pas arrêtées là. Elles ont aujourd’hui recours, entre autres, à des détecteurs de mouvement et de chaleur et des caméras de surveillance vidéo, afin de se prémunir d’une éventuelle attaque.

Il n’y a pas d’outil ou d’approche pouvant garantir une sécurité infaillible à 100%. Ceci est vrai tant pour la sécurité physique que digitale des banques. Cependant, une stratégie de sécurité à plusieurs niveaux reste la meilleure option pour se protéger des cyberattaques. D’autant plus que les défenses du réseau continuent d’être contournées. C’est pourquoi l’utilisation de solutions de chiffrements des coffre-forts digitaux aujourd’hui constitués de bases de données, de systèmes de stockage et des services utilisés au sein des environnements IT des banques, est devenue une mesure de sécurité essentielle à la protection des ressources clés des banques.