Au cours de l’année écoulée, nous avons assisté à l’essor de la région Asie-Pacifique, devenue pionnière en matière d’investissements mondiaux dans la fintech, devançant des puissances économiques traditionnelles telles que l’Amérique du Nord et l’Europe.[1] En outre, l’augmentation des investissements dans les entreprises asiatiques de la fintech et l’émergence de bacs à sable réglementaires à Singapour et à Hong Kong ont clairement témoigné d’un déplacement notable du leadership de la fintech de l’Ouest vers l’Est.
L’un des principaux facteurs contribuant à cette évolution est l’essor du marché des appareils mobiles et des applications en Asie, qui fait de la région un terrain propice à l’expérimentation d’innovations, notamment dans des secteurs tels que le paiement mobile et les technologies financières numériques. Cette évolution est perceptible jusque dans notre vie quotidienne : Apple Pay et DBS Paylah! ne sont que quelques exemples parmi le large éventail de services de paiement sans espèces et de portefeuilles électroniques reposant sur des applications, désormais si étroitement intégrés à notre quotidien.
Bien que ces technologies offrent de nombreuses possibilités d’améliorer le confort des utilisateurs, elles s’accompagnent également d’une multiplication des vulnérabilités face aux menaces, comme l’ont démontré le piratage de la banque centrale du Bangladesh et le vol de bitcoins à Hong Kong. Étonnamment, alors que la majorité des établissements financiers classent les cybermenaces parmi leurs principaux risques commerciaux, nombre de ces organisations sont loin d’être aussi conscientes des menaces qui pèsent sur leurs applications.
Dans le paysage complexe des menaces à l’ère numérique actuelle, voici les principales menaces applicatives contre lesquelles les entreprises de la fintech doivent se protéger :
- Logiciels malveillants
Conçus pour nuire aux données, à l’utilisateur ou aux deux, les logiciels malveillants bancaires détectés dans la région Asie-Pacifique rien qu’en 2016 ont atteint un nombre alarmant : plus de 300 000. C’est trois fois plus qu’en Amérique du Nord.[2]
L’un des pièges les plus courants consiste à intégrer une application malveillante à un logiciel. Les utilisateurs peu méfiants qui ne prêtent pas attention au processus d’installation introduisent involontairement un logiciel malveillant sur leurs appareils, lequel exploite ensuite les failles de sécurité du logiciel ou du système d’exploitation.
- Attaques contre les applications web
Ces attaques exploitent généralement un vecteur d’attaque, tel qu’une vulnérabilité logicielle, pour s’introduire sur le site web.
Les vulnérabilités logicielles sont devenues plus courantes ces dernières années en raison de la complexité croissante des applications web. En outre, face à la demande grandissante d’applications, la rapidité avec laquelle celles-ci sont déployées laisse peu de temps pour garantir la sécurité de leur code, ce qui les rend plus faciles à exploiter.
- Compromission interne
La compromission interne est l’une des formes de cyberattaque les plus dangereuses. Elle se classe au deuxième rang des préoccupations en matière de sécurité dans la région Asie-Pacifique, plus de 10 % des entreprises ayant signalé plus de 20 violations en 2015[3]. Ces attaques provenant de sources apparemment fiables, elles échappent souvent aux dispositifs de protection.
Ces menaces se présentent généralement sous deux formes principales : un pirate informatique malveillant qui travaille également pour l’organisation ciblée, ou une personne extérieure qui se fait passer pour un employé en usurpant une identité.
- Attaques DDoS
Les attaques par déni de service distribué (DDoS) exploitent un réseau de milliers d’ordinateurs compromis pour submerger de requêtes le serveur d’un site web, entraînant ainsi l’indisponibilité du site. Près de 20 banques à Hong Kong ont été victimes de telles attaques en 2015 — et il ne s’agit là que des incidents signalés à l’Autorité monétaire de Hong Kong (HKMA).[4] Le nombre réel aurait pu être bien plus élevé.
Bien qu’elles puissent sembler relativement anodines, nous savons tous que les interruptions de service, en particulier dans la fintech, entraînent des pertes financières et nuisent à la réputation. En effet, un rapport de Neustar sur les attaques DDoS a révélé que le coût d’une interruption de service est estimé à 250 000 dollars américains par heure.
Trop d’entreprises ne mettent en œuvre des mesures de sécurité qu’après la concrétisation d’une menace. Toutefois, la bonne nouvelle est que la plupart de ces risques de sécurité peuvent être éliminés si des processus de sécurité sont intégrés à l’application à chaque étape de son développement. En réalité, ce sont précisément ces processus de sécurité qui pourraient aisément transformer un échec financier en réussite concurrentielle.
Pour en savoir plus sur la manière dont le secteur asiatique de la fintech peut mieux se protéger contre les vecteurs d’attaque actuels, rejoignez-nous à l’événement Anticipate 2017 qui se tiendra le mardi 20 juin à Singapour, où nous échangerons avec d’éminents experts du secteur financier qui nous feront part de leurs précieux points de vue et analyses.
[2] http://sbr.com.sg/financial-services/news/317822-online-banking-malware-detected-in-apac-in-2016
[3] https://www.infosecurity-magazine.com/news/insider-threats-reponsible-for-43/
À propos de l’auteur
Shahnawaz Backer était conseiller principal en sécurité chez F5 Labs. S'intéressant tout particulièrement au développement d'applications modernes, à l'identité numérique et aux vecteurs de fraude, il s'attache à intégrer le renseignement sur les menaces dans les solutions et croit fermement en une défense proactive automatisée.
Autres articles de Shahnawaz BackerArticles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.