Cyberattaques bancaires : ce n’est pas l’IA qui vide les coffres

| h16 | Réflexions décousues et Crêpes au sucre

Pour les banques, la semaine passée a ressemblé à une sorte d’exercice de protection contre les attaques informatiques, mais qui aurait mal tourné.

En quelques jours, le Paraguay a vu sa banque numérique vedette s’effondrer et emporter avec elle le président de la République, le Crédit Mutuel Arkéa a découvert qu’on l’avait discrètement détroussé d’une centaine de millions d’euros, et 128 caisses Shinkin de l’ouest du Japon se sont retrouvées paralysées d’un seul coup, guichets, distributeurs et banque en ligne compris.

Le coupable rapidement exhibé fut, sans surprise, l’intelligence artificielle, arme nouvelle qui donne des boutons aux politiciens et, aux pirates, une puissance de feu contre laquelle voyez-vous il est bien difficile de se prémunir. La menace serait inédite, les attaques d’une sophistication jamais vue, et les malheureuses institutions, victimes d’un progrès technique qui les dépasse.

C’est aussi commode que faux.

Car derrière les attaques récentes, foin de génie algorithmique : Ueno, c’est une fraude d’initiés à l’ancienne : des dirigeants qui prêtent quelque 146 millions de dollars à des sociétés de leur propre groupe, sous la surveillance d’un patron de la banque centrale issu… d’Ueno, nommé par un président qui fut actionnaire de la maison mère.

Shinkin, c’est une banale panne d’équipement de communication, qui ne paralyse un pan entier du pays que parce que la quasi-totalité des caisses partagent le même système central.

Quant à Arkéa, c’est l’ordinateur compromis d’un prestataire disposant d’accès assez (trop ?) larges pour taper dans les fonds propres de la banque, et quelque 178 retraits vers une plateforme crypto qui ont surtout fait tiquer… la plateforme crypto. La banque, elle, évoque entre deux sourires crispés un incident « aujourd’hui maîtrisé » et assure que ses clients n’en subiront aucune conséquence.

Bref, pas plus d’IA que de beurre en broche ou, plutôt, d’hygiène informatique de base : authentification à double facteur, droits d’accès limités au strict nécessaire, détection des comportements anormaux. Rien de nouveau et tout qui exige que quelqu’un, quelque part, fasse son travail.

Travail trop souvent relégué à l’État qui, de son côté… centralise toujours tout ce qu’il peut.

Ainsi, en France, cette centralisation s’appelle FICOBA, un fichier dodu qui recense depuis 1971 tous les comptes, livrets et coffres ouverts dans le pays, que les banques doivent obligatoirement alimenter, auquel aucun citoyen ne peut se soustraire, et que fisc, Sécurité sociale, Tracfin, notaires ou officiers de police judiciaire consultent quelque 40 millions de fois par an.

Autant de portes, autant de clés, et on se souvient comment Bercy s’est fait piller sans vergogne… Et à de multiples reprises ! On apprendra plus tard, au détour d’une réponse ministérielle, que l’accès des partenaires n’a été rétabli fin mars que « dans des conditions très restrictives ». Sous-entendu : elles ne l’étaient pas avant. L’audit de l’ANSSI commandé dans la foulée est consternant : ni le fisc ni l’Agence n’ont détecté les vols, l’ANSSI ayant transmis deux adresses IP suspectes le 6 août sans prévenir Bercy avant le 12. Les règles existaient mais personne ne les appliquait.

Et alors que le contribuable a eu droit à sa double authentification depuis plus d’un an, Bercy nous a depuis promis de généraliser l’authentification renforcée à tous ses agents d’ici fin 2026. Bilan : pour payer une paire de chaussettes, il faut deux facteurs mais pour fouiller les comptes de tout un pays, un mot de passe suffit.

Et si l’IA joue un rôle, ce n’est pas pour percer les coffres, mais pour exploiter ce qui en sort. Un nom, une adresse, une date de naissance et un IBAN valides, c’est le kit parfait du faux conseiller bancaire, du faux agent des impôts, du deepfake vocal qui vous appelle par votre prénom, industrialisant ainsi le recel.

Et le pire est devant nous car face à ces passoires, les institutions n’ont qu’une réponse… davantage de centralisation !

parabole de l'aspirine (c) Maître Du Monde

L’Union européenne prépare ainsi l’interconnexion de tous les registres nationaux de comptes bancaires, ouverte aux cellules de renseignement financier, aux superviseurs, à la nouvelle autorité anti-blanchiment et aux services répressifs des 27 États membres, une sorte de FICOBA puissance 27.

Et depuis le 1er janvier, la directive DAC8 oblige les plateformes crypto à collecter les données de leurs clients pour le fisc, qui les rangera proprement, prêtes à être pillées. Et le règlement DORA, censé garantir la résilience du secteur, impose maintenant à chaque établissement de remettre aux régulateurs le registre complet de ses contrats informatiques, pendant que les autorités européennes publient la liste officielle des prestataires « critiques ». Le sous-traitant étant justement la porte d’entrée exploitée chez Arkéa, on centralise donc la carte au trésor en toute bonne conscience.

Le Paraguay vient pourtant de montrer en quelques heures ce que cette centralisation peut provoquer : une seule banque gérait les comptes de 60 % des adultes du pays et quelque 800 millions de dollars de fonds publics. Elle est tombée et rapidement, les comptes (puis le gouvernement) ont été gelés. Et comme au Japon, il n’y a même pas besoin de malveillance : un seul nœud central, une seule panne, et c’est tout l’ouest du pays qui ne peut plus retirer un yen.

Bien sûr, la BCE le sait parfaitement. Dans une note de ses économistes, elle juge utile de conserver chez soi 70 à 100 euros en espèces par personne, de quoi tenir 72 heures en cas « d’instabilité majeure ». Pendant ce temps, la France plafonne à 1 000 euros les paiements en liquide, et l’Europe pousse son euro numérique, que les commerçants ne pourront pas refuser, pour un lancement espéré en 2029.

Vu l’historique cahoteux de nos dirigeants et des banques (centrales ou non), il semble très raisonnable de garder quelques billets pour le jour où le numérique centralisé lâchera : ce jour est maintenant inévitable, et semble même se rapprocher très vite…

Bitcoin QR code: 1BuyJKZLeEG5YkpbGn4QhtNTxhUqtpEGKf

J'accepte les BTC, ETH et BCH !

1BuyJKZLeEG5YkpbGn4QhtNTxhUqtpEGKf

Vous aussi, foutez les banquiers centraux dehors, terrorisez l’État et les banques en utilisant les cryptomonnaies, en les promouvant et pourquoi pas, en faisant un don avec !

Powered by Bitcoin Tips