Les consommateurs s’apprêtent à injecter dans l’économie numérique selon les estimations « 843 à 859 milliards de dollars cette année, soit plus du double du montant enregistré en 2002, lorsque les ventes totales des fêtes de fin d’année n’avaient atteint que 416,4 milliards de dollars. »
En fin de compte, toutes ces transactions passeront par des établissements de services financiers. Que les paiements soient traités via Apple Pay, Venmo, PayPal ou une carte de débit, un compte détenu auprès d’un établissement de services financiers intervient toujours.
Cela conduit naturellement des acteurs malveillants à tenter d’accéder à ces comptes, notamment par l’intermédiaire des FinTech. Qu’il s’agisse d’escroqueries, comme celles dont ont été victimes les utilisateurs de Zelle ou les employés du service client de Robinhood, ou encore d’attaques directes par bourrage d’identifiants ou par force brute, ces attaques peuvent rapporter gros à ceux qui persistent dans leurs efforts.
La plupart des intrusions réussies dont nous entendons parler aujourd’hui ciblent directement les interfaces utilisateur des établissements de services financiers : application web, SMS ou e-mail. Il est donc préoccupant d’envisager l’impact potentiel de la croissance fulgurante des API, qui alimente l’écosystème financier numérique, ainsi que les conséquences des risques associés aux tiers, que les organisations criminelles identifient rapidement comme un vecteur d’attaque lucratif.
Les API attirent de plus en plus les organisations criminelles
Les consommateurs disposent aujourd’hui d’un écosystème de paiement de plus en plus diversifié pour financer leurs dépenses effrénées des fêtes de fin d’année :
- Plus de 2 acheteurs de la génération Z sur 3 prévoient de faire leurs achats via des canaux non traditionnels tels qu’Instagram, WhatsApp et les diffusions en direct pendant les fêtes de fin d’année.
- Selon une enquête de NPD datant de juin 2021, plus de 50 % des consommateurs déclarent avoir effectué des achats via Instagram ou Facebook. Parmi eux, 15 % citent TikTok comme une plateforme de réseaux sociaux sur laquelle ils découvrent des produits et s’informent à leur sujet. (Source : Statistiques et tendances 2021 du e-commerce pour les achats de fin d’année)
Un écosystème de paiement florissant repose sur l’utilisation d’API pour faciliter les transactions financières numériques. La normalisation répond au besoin de transactions rapides et sécurisées, afin de satisfaire des consommateurs toujours plus impatients et de permettre aux entreprises numériques de s’adapter et de se développer. Aujourd’hui, la principale norme est FDX (Financial Data Exchange) et, en septembre 2021, 22 millions de comptes clients utilisaient l’API FDX pour partager des données dans le cadre de la finance ouverte. Cela a notamment entraîné une hausse considérable du volume d’appels d’API, qui a atteint près de 2 milliards par mois. (Source : FinExtra)
Un rapport récemment publié par le bureau du directeur technique de F5, intitulé « Prolifération continue des API : défis et opportunités dans une économie pilotée par les API », souligne la multiplication rapide des API ainsi que les risques qui en découlent en matière de gouvernance et de sécurité.
Le rapport révèle que les API, qui sous-tendent aussi bien les paiements numériques que les services de divertissement et permettent la création de places de marché dynamiques, sont actuellement au nombre d’environ 200 millions. D’ici 2030, ce chiffre pourrait atteindre 1,7 milliard.
Si l’on ajoute à cela les conclusions des recherches de F5 Labs qui montrent que le nombre d’incidents de sécurité liés aux API, dont beaucoup impliquent des tiers tels que les FinTechs, augmente chaque année, les institutions financières ont bien plus de raisons de s’inquiéter que de la seule perspective d’une intervention réglementaire imminente et des pressions concurrentielles.
Défendre l’économie numérique
La sécurisation des API et la protection des consommateurs et des entreprises contre la fraude constituent une priorité croissante pour les entreprises du numérique de tous les secteurs, en particulier dans celui des services financiers.
En outre : « Les différentes équipes de développement travaillant sur plusieurs applications utilisent souvent des ensembles d’outils disparates. Cela signifie que les équipes de sécurité traditionnelles ne disposent pas nécessairement d’un point de contrôle centralisé pour faire appliquer les mesures de sécurité. Il est donc nécessaire de disposer d’un ensemble d’outils standard permettant d’intégrer les contrôles appropriés aux processus de développement et de gestion des API. » (Source : Renuka Nadkarni, directrice technique de la sécurité chez F5, « Sécuriser l’API FDX pour protéger les données dans le cadre de l’Open Banking »)
Le guide des solutions d’open banking de F5 présente une approche complète des solutions F5 pour l’open banking. En outre, Nadkarni souligne que « FDX a publié des recommandations détaillées concernant les contrôles à mettre en œuvre afin de protéger les informations relatives aux comptes des consommateurs et l’intégrité des services contre les menaces et les risques. » Ces contrôles comprennent :
- Sécurité logicielle : mise en place de contrôles pour se prémunir contre les 10 principaux risques de l’OWASP et d’autres vulnérabilités logicielles, notamment par le déploiement d’un pare-feu applicatif web (WAF)
- Sécurité des réseaux et des systèmes
- Sécurité opérationnelle
- Sécurité physique
- Continuité des activités et reprise après sinistre
- Sécurité des fournisseurs
- Modèles de conception pour l’authentification et l’autorisation, y compris des mesures de protection contre le bourrage d’identifiants
- Modèles pour une architecture de passerelle sécurisée (SGA), notamment des contrôles de sécurité des API intégrés à la passerelle API
Enfin, il est important de souligner que la protection des données financières, qu’elles soient en transit ou au repos, revêt une importance croissante dans une économie où le numérique est devenu la norme. Si le risque de fraude est certes considérable pour les entreprises, il est encore plus grand pour les consommateurs.
À propos de l’auteur
Lori MacVittie est ingénieure émérite et évangéliste en chef au sein du bureau du directeur technique de F5. Elle possède une expertise approfondie dans la fourniture d’applications, les stratégies d’automatisation et les infrastructures. Elle est réputée pour sa capacité à rendre la complexité intelligible, qu’elle définisse des garde-fous pour les agents d’IA, analyse des architectures multicloud fragiles ou explore les limites des systèmes évolutifs. Elle cumule plus de trente ans d’expérience dans le secteur, couvrant le développement d’applications, l’architecture informatique ainsi que l’exploitation des réseaux et des systèmes. Avant de rejoindre F5, elle a été rédactrice spécialisée dans les technologies et a reçu plusieurs distinctions. MacVittie est titulaire d’un master en informatique et est une autrice prolifique dont les publications couvrent la sécurité, le cloud et l’architecture d’entreprise. Elle est également une passionnée de jeux de société et de jeux vidéo, et assume pleinement ses avis bien tranchés sur le fromage.
Autres articles de Lori Mac VittieArticles de blog associés
Pourquoi devriez-vous vous intéresser à WebAssembly ?
WebAssembly (Wasm) est un jeu d’instructions binaires portable, rapide et sécurisé, qui permet d’exécuter des applications hautes performances sur n’importe quelle plateforme.
Trois choses à savoir sur les applications d’IA
Les applications d’IA sont des applications modernes, mais elles présentent certaines particularités. Découvrez les points essentiels à connaître sur les applications basées sur l’IA.
État des lieux de la stratégie applicative 2022 : il est temps de moderniser les opérations
Il est devenu évident que, pour maintenir la dynamique de leur transformation numérique, les organisations doivent recentrer leurs efforts sur les fonctions métier. Si les expériences destinées aux clients restent prioritaires, il est également indispensable de permettre la numérisation de fonctions telles que les services juridiques, les ressources humaines et la finance. Les DSI prennent donc les commandes, tandis que la transformation numérique passe de la modernisation des applications à celle des opérations.
Clouds multiples ou multicloud : faciliter la transition
La gestion et la sécurisation des charges de travail deviennent complexes à mesure que les entreprises adoptent une stratégie de cloud connecté. Découvrez comment F5 répond au besoin d’une nouvelle approche de la mise en réseau multicloud.
L’expérience client dépend de la visibilité
Une enquête menée par Dimensional Research auprès de plus de 3 000 utilisateurs d’applications mobiles a confirmé ce que beaucoup d’entre nous pensent des attentes actuelles des clients.
Transformation numérique et explosion du portefeuille d’applications
La transformation numérique stimule la croissance des portefeuilles d’applications et modifie la manière dont celles-ci sont développées, déployées, intégrées et, en définitive, utilisées.