Q2 poursuit sur sa lancée avec F5 et déjoue 99 % des attaques automatisées

Q2 est l’un des principaux fournisseurs de solutions de transformation numérique pour les services financiers. L’entreprise accompagne des banques, des coopératives de crédit, des sociétés de financement alternatif et des entreprises de la fintech aux États-Unis et dans le monde entier. Face à l’explosion des attaques automatisées et des pertes liées à la fraude, elle utilise les services F5 Distributed Cloud pour réduire de 99 % les activités automatisées malveillantes. Les solutions F5 offrent une protection contre les bots facile à gérer, ainsi que des informations sur les utilisateurs permettant de mieux lutter contre la fraude.

Défi

En 2024, plus de 3 400 milliards de dollars de transactions financières ont transité par la plateforme Q2. Depuis son siège aux États-Unis et ses bureaux à l’international, l’éditeur de solutions logicielles accompagne plus de 1 200 établissements financiers dans le monde. Parmi ses clients figurent plus de 40 % des 100 plus grandes banques américaines et 40 % des 100 principales coopératives de crédit du pays. Q2 fournit des technologies de transactions financières qui offrent une expérience homogène et disponible en permanence à quelque 37 millions de titulaires de comptes particuliers et professionnels, quels que soient leur emplacement et l’appareil utilisé, notamment pour les services bancaires vocaux. Sur la plateforme Q2, les opérations vont de la consultation du solde aux virements de montants élevés destinés à l’achat d’un logement ou à des prêts professionnels.

Avec de telles sommes et la confiance de ses clients en jeu, Q2 ne peut faire aucun compromis sur la sécurité. La Federal Trade Commission américaine estime que les pertes annuelles liées à la fraude financière s’élèvent à 10 milliards de dollars et continuent d’augmenter. Les prises de contrôle de comptes, souvent réalisées par bourrage d’identifiants ou au moyen d’autres tentatives de connexion malveillantes, représentent une part importante de ces pertes. En 2020, Q2 devait faire face à un demi-milliard de tentatives de connexion par mois, dont 82 % étaient des attaques par bourrage d’identifiants. Cette situation ne pouvait plus durer.

« Les acteurs malveillants accaparaient une grande partie de nos ressources », explique Lou Senko, directeur de la disponibilité chez Q2. « Nous avons dû multiplier la capacité de notre infrastructure pour pouvoir simplement faire face aux attaques et éviter qu’elles n’affectent la disponibilité de nos services. Nous savions que nous devions changer de stratégie de défense. »

La solution devait être sophistiquée. Si la confiance est essentielle, les clients des services financiers sont sensibles aux délais d’accès et aux interruptions de service. En outre, les banques et les coopératives de crédit doivent proposer fréquemment des expériences utilisateur inédites et toujours plus personnalisées, tout en évoluant dans des environnements réglementaires stricts. Q2 est à l’origine d’une grande partie de ces innovations, en proposant constamment de nouvelles fonctionnalités et une personnalisation accrue. Mais ces changements peuvent également élargir la surface d’attaque, d’autant que près des trois quarts des connexions sont effectuées depuis un appareil mobile.

La nouvelle solution de sécurité devait relever ces défis en réduisant au minimum les faux positifs et en bloquant le trafic indésirable sans nuire aux performances pour les utilisateurs humains. Elle devait également être facile à gérer afin que l’équipe de Senko puisse consacrer moins de temps à la défense et davantage à l’amélioration des performances et au développement de nouvelles fonctionnalités.

Heureusement, Q2 s’appuie sur des partenariats étroits pour répondre à ces exigences contradictoires. Grâce aux produits F5 BIG-IP déployés dans ses centres de données, F5 comptait déjà parmi ces partenaires.

Solution

Après avoir envisagé d’autres options, Q2 a adopté F5 Distributed Cloud Bot Defense. Cette solution fait partie de la gamme Distributed Cloud Services, qui regroupe des solutions SaaS de sécurité, de mise en réseau et de gestion des applications. La solution de lutte contre les bots offre non seulement une efficacité supérieure et la capacité d’évoluer au rythme de la croissance de l’entreprise, mais elle s’inscrit également dans le cadre de la transition prochaine de Q2 vers une architecture exclusivement cloud.

Lorsque Q2 a envisagé pour la première fois Distributed Cloud Bot Defense, l’entreprise disposait d’une vaste infrastructure de cloud hybride reposant sur des clouds privés et publics ainsi que sur des centres de données. En partie du fait de l’évolution des positions réglementaires, elle allait bientôt commencer à supprimer ses centres de données. Des centaines de milliers de charges de travail devraient être déplacées sans perturber les clients ni compromettre la cybersécurité. Distributed Cloud Bot Defense pouvait assurer une protection transparente tout au long de cette migration de trois ans, quel que soit l’endroit où ces charges de travail étaient hébergées. Parmi les autres critères qui ont incité Q2 à choisir F5 figuraient la facilité de mise en œuvre et de gestion, le faible taux de faux positifs, la transparence pour les titulaires de comptes et la valeur globale.

« Comme tout le monde, nous sommes attentifs aux prix », explique Senko. « Nous avons étudié les offres concurrentes, mais nous estimons que F5 est le leader de la protection contre les bots et représente donc le meilleur rapport qualité-prix pour notre investissement. De plus, il a toujours été facile de travailler avec l’équipe F5. »

Lors de la mise en œuvre, la charge de trafic malveillant sur les systèmes de l’entreprise pouvait dépasser quatre millions de sessions par heure. Q2 a défini des politiques pour déterminer quand et comment la solution F5 devait signaler, bloquer et atténuer le trafic. Les résultats ont été spectaculaires.

Résultats

Repoussez 99 % des automatisations malveillantes

Immédiatement, le trafic automatisé est passé d’un pic de 88 % de l’ensemble du trafic (y compris les automatisations légitimes provenant d’agrégateurs de services financiers) à 3 % fin 2022.

« Nous bloquions près de 40 milliards de sessions par an, soit près de 70 000 par minute, qui n’atteignaient ainsi jamais notre service applicatif », explique Senko.

Le trafic automatisé a continué de diminuer et représente aujourd’hui moins de 1 %, malgré ce que Senko qualifie de croissance commerciale « fulgurante ». La plateforme Q2 prend en charge 22 % d’utilisateurs actifs supplémentaires, qui effectuent 45 % de transactions en plus par rapport à il y a seulement deux ans. Comme l’entreprise compte de plus en plus de banques commerciales parmi ses clients, en plus des banques de détail, le montant total des fonds concernés a plus que doublé. Senko précise : « Nous transférons près de 10 millions de dollars par minute. »

Néanmoins, le nombre d’attaques automatisées devant être bloquées est tombé à moins de 2 000 par minute en moyenne, et leur durée a également diminué de plus de 90 % par rapport à son niveau maximal.

« Lorsque les attaquants se rendent compte que nous sommes protégés, ils passent à autre chose », explique Senko. « Et lorsqu’un problème survient malgré tout, F5 réagit rapidement. Il nous suffit d’ajuster légèrement les paramètres pour y remédier. Nous avons obtenu de si bons résultats que nos clients s’attendent désormais à ce niveau de protection. »

Protéger l’expérience utilisateur à moindre coût

Arrêter les bots n’est qu’un début. « Ici, la qualité de l’expérience utilisateur est scrutée de près », explique Senko. Q2 mesure la disponibilité et la qualité au dix-millième de pour cent près. En 2024, le taux de disponibilité moyen pour l’ensemble de ses clients s’élevait à 99,9822 %. Au cours des quatre années précédant la mise en œuvre de Distributed Cloud Bot Defense, ce taux était en moyenne de 99,9312 %. Cette amélioration est importante pour les clients de Q2, car, à de tels niveaux de disponibilité, elle se traduit par une réduction de 50 % des temps d’arrêt. Mais l’expérience utilisateur dépend également d’autres facteurs.

« La disponibilité ne signifie pas seulement que les machines fonctionnent, mais aussi que les utilisateurs peuvent se connecter, profiter d’une expérience exceptionnelle et faire ce qu’ils avaient prévu sans rencontrer de difficultés artificielles », explique Senko. Les faux positifs qui bloquent le trafic légitime pourraient les en empêcher. Toutefois, avec la solution F5, précise Senko, « les faux positifs ne nous ont posé aucun problème ».

La sécurité F5 n’a pas non plus ralenti de manière perceptible le temps de réponse des applications. Par ailleurs, plus Distributed Cloud Bot Defense bloque d’attaques, meilleure est l’expérience utilisateur. Une seule attaque automatisée, même si elle n’aboutit pas à une compromission, peut entraver d’autres transactions.

« Les bots malveillants ne génèrent pas seulement 100 000 connexions supplémentaires aujourd’hui, mais près de 400 connexions par seconde, explique Senko. L’expérience utilisateur se dégrade alors et certains composants deviennent indisponibles, car ils sont submergés. »

Surdimensionner l’infrastructure pour absorber de tels pics n’est pas rentable. Heureusement, comme l’explique Senko : « Avec Distributed Cloud Bot Defense, ce trafic n’atteint jamais notre infrastructure. L’expérience utilisateur n’est pas affectée et l’infrastructure n’a pas besoin d’être surdimensionnée pour y faire face. Nous en retirons un réel avantage financier. »

Évoluer avec agilité au gré des changements de stratégie

Distributed Cloud Bot Defense a assuré une protection constante alors que la migration de Q2 vers le cloud touche à sa fin. « Pendant la phase d’accélération de la migration de notre plateforme, lorsqu’un problème survenait, F5 l’identifiait rapidement, nous appelait et le résolvait », explique Senko.

C’est important, car la croissance de l’activité ne s’est pas traduite par une augmentation de la taille de son équipe. « Les charges de travail ont augmenté de plusieurs milliers de pour cent », explique Senko. « Avec notre transition depuis les centres de données, nous allons passer d’environ 12 000 serveurs à 400 000 conteneurs. Nous n’allons pas recruter davantage de personnel pour y parvenir. Tout repose sur la capacité à évoluer grâce aux outils et à l’automatisation. » Distributed Cloud Bot Defense évolue avec eux.

En fait, lorsqu’on lui demande de résumer son expérience avec la solution, Senko évoque en premier lieu la capacité de mise à l’échelle.

« F5 Distributed Cloud Bot Defense nous apporte l’évolutivité, la rapidité et la précision », explique-t-il. « Sans ces trois éléments, nos solutions et notre réputation en pâtissent. »

Adaptez-vous au changement grâce à des options d’abonnement flexibles

Récemment, Q2 a encore gagné en agilité en adoptant le programme de consommation flexible (FCP) de F5. Cette formule d’abonnement permet à Q2 d’acquérir de manière autonome des licences pour d’autres services Distributed Cloud ou d’étendre son utilisation à de nouveaux environnements à la demande, en fonction des besoins identifiés.

Senko explique : « Nous voulions pouvoir tester les nouveautés sur lesquelles travaille F5 et réaffecter nos dépenses à mesure que notre utilisation évolue. » Par exemple, son équipe a récemment déployé Distributed Cloud Data Intelligence, qui aide à détecter les comportements inhabituels des utilisateurs, les schémas de connexion et autres interactions, ainsi que les caractéristiques de l’infrastructure susceptibles de contribuer à la prévention de la fraude.

Réduisez la fraude grâce à une meilleure exploitation des données

« La fraude explose chez nos clients, explique Senko. Elle a augmenté de 14 % sur un an et vient de dépasser les 10 milliards de dollars dans le secteur. Nous misons donc désormais fortement sur la lutte contre la fraude. »

Distributed Cloud Data Intelligence s’intègre aux outils et processus décisionnels existants afin d’aider à détecter les fraudes potentielles avant qu’elles ne se produisent. Cette solution complète l’hyperpersonnalisation que Q2 propose à ses clients.

« Les comportements et les caractéristiques qui permettent de rendre l’expérience plus personnalisée pour les utilisateurs contribuent également à la détection des fraudes, explique Senko. En exploitant les renseignements fournis par F5 sur les terminaux, nous enrichissons les données dont nous disposons sur l’utilisateur et la session afin de prendre de meilleures décisions. »

Dans l’idéal, cela permettra de stopper la fraude plus tôt que jamais. Senko explique : « Si nous vous considérons comme suspect, nous n’aurions probablement pas dû vous laisser vous connecter dès le départ, n’est-ce pas ? Les renseignements que nous recevons désormais de F5 permettront de bloquer les sessions dès la connexion. Nous sommes ravis d’y travailler actuellement et j’espère qu’avec le temps, nous pourrons établir une corrélation entre le blocage des sessions suspectes et la diminution du nombre de fraudes. »

Le nom Q2 fait peut-être référence au deuxième trimestre d’un exercice financier, mais l’approche de l’entreprise en matière de cybersécurité lui permet de se projeter bien plus loin dans l’avenir. Senko déclare : « Nous sommes à la pointe du secteur en matière de disponibilité, de croissance et d’utilisation de certaines de ces technologies, et nous sommes en passe de devenir prochainement une entreprise valorisée à un milliard de dollars. F5 est un partenaire formidable pour nous, et le volet lié à l’intelligence des données ne fera que renforcer cette relation. »

Découvrez le parcours de Q2 avec F5 dans leur témoignage de 2022 ›