Piratage : "Ils ont détourné en moyenne 10 millions de dollars par banque"

Piratage : "Ils ont détourné en moyenne 10 millions de dollars par banque"

DirectLCI
SECURITE – Gérôme Billois, expert en sécurité, nous éclaire sur les méthodes employées par les cybercriminels qui ont dérobé aux banques des centaines de millions de dollars

En quoi la cyber attaque géante du groupe Carbanak , visant une centaine d'établissements financiers, est atypique ?
Gérôme Billois : En premier lieu, les attaques n'ont pas visé des banques en ligne, mais les systèmes utilisés par les banquiers à l'intérieur des établissements, normalement inaccessibles depuis l'extérieur. Au début, la méthode est classique : des mails contenant des virus sont envoyés aux banquiers. Si les mails sont ouverts, les virus se propagent dans l'ordinateur du banquier via des failles de sécurité (logiciels qui ne sont pas mis à jour par exemple), et permettent alors aux pirates de le contrôler. On appelle cette méthode "spear phishing", c'est extrêmement classique.

Pourtant, une fois les virus installés, les pirates n'ont pas attaqué tout de suite ?
C'est ce qui est atypique. Les pirates ont utilisé des virus qui font des vidéos des écrans des ordinateurs des banquiers. Ils ont pu ainsi observer leur travail au quotidien, et apprendre à se servir des logiciels bancaires : comment configurer un distributeur de billets, comment faire des virements internes, comment faire des opérations sur des bases de données, etc. Ils ont également appris quels étaient les plafonds à ne pas dépasser. Au final, les pirates étaient capables de parfaitement imiter les actions des banquiers.

>> A lire aussi : Le casse du siècle : 1 milliard de dollars dérobés par des pirates informatiques

Ils pouvaient ainsi agir en toute impunité ?
Les systèmes antifraudes et de protections sont basés sur l'analyse des comportements, pour détecter des activités anormales. Comme les pirates ont copié des comportements normaux, ils n'ont pas éveillé les soupçons. Et petit à petit, ils ont réussi à détourner des millions de dollars, en moyenne 10 millions de dollars par banque.

Qui va payer la note ?
Comme il s'agit d'une attaque à l'intérieur du système bancaire, il s'agit d'une discussion entre les banques et leurs assureurs. Tout dépend de l'expertise qui sera réalisée, pour déterminer d'où vient la cause initiale de l'attaque. Est ce la faute de la banque qui n'a pas mis à jour un programme ? Est-ce que la banque dispose d'une assurance couvrant les erreurs humaines ? Quoi qu'il en soit, même si une fraude de 10 millions de dollars est gênante pour une grande banque, ce n'est pas assez pour qu'elle répercute des coûts sur ses clients via des augmentations du prix de certains services.

Peut-on imaginer voir d'autres braquages de la sorte à l'avenir ?
Un agent du FBI disait qu'il craignait moins le braquage réel d'une banque aux Etats Unis que le braquage simultané de 50 banques par un pirate informatique basé dans les pays de l'Est. Dans cette zone du monde, le niveau d'étude est élevé, notamment en maths, mais le marché de l'emploi est très mauvais. Créer des sortes de PME cybercriminels peut être rentable, et le risque de se faire arrêter est faible car les coûts d'investigation sont très élevés. Si les pirates informatiques des pays de l'Est n'ont pas les yeux plus gros que le ventre, ils ont peu de chance d'être inquiétés.

EN SAVOIR +
>>  Le casse du siècle : 1 milliard de dollars dérobés par des pirates informatiques
>> 
Les banques américaines visées par une cyberattaque russe ?
>>
Le hacker de la banque de France relaxé
>> 
Données privées : casse-tête à tous les niveaux >> Le montant des fraudes à la carte bancaire s'est élevé à 413,2 millions d'euros en 2011

Sur le même sujet

Plus d'articles

Lire et commenter