Le secteur des services financiers en Asie est l’un des plus fortement réglementés, et la conformité est souvent présentée comme une garantie de sécurité. Cependant, elle ne constitue qu’un aspect de la sécurité. Les différentes réglementations couvrent un large éventail de problématiques, mais il ne suffit pas de mettre en œuvre des solutions ou des dispositifs pour répondre aux exigences de conformité.
L’omniprésence croissante des appareils mobiles dans la région Asie-Pacifique et l’essor consécutif des services bancaires en ligne ont entraîné des menaces de cybersécurité de plus en plus sophistiquées. Toutefois, selon l’étude de Telstra sur l’identité mobile, 62 % des dirigeants du secteur des services financiers ont indiqué ne pas avoir suffisamment investi dans la gestion des identités et la sécurité. Moins de la moitié des consommateurs se sont également déclarés satisfaits des performances de leur établissement financier en matière de sécurité, plus d’un tiers d’entre eux ayant été victimes d’une usurpation d’identité.
Avec des cas d’usurpation d’identité tels que la violation de données de JP Morgan et les banques sud-coréennes touchées par des violations massives de données de cartes bancaires l’année dernière, ainsi que des fraudes à l’identité ayant entraîné le vol de 16 milliards de dollars américains aux victimes en 2014, l’usurpation d’identité devient rapidement une menace de plus en plus importante, mais encore sous-estimée, pour le secteur des services financiers.
Augmentation de la surface d’attaque et du niveau de sophistication
L’usurpation d’identité est devenue une pratique courante chez les cybercriminels en raison de l’élargissement de la surface d’attaque et de la sophistication croissante des outils d’attaque. Aujourd’hui, les cyberattaques empruntent des vecteurs de plus en plus variés. Par exemple, de nombreuses entreprises de services financiers autorisant les appareils personnels de leurs employés à accéder aux réseaux de l’entreprise, le « Bring Your Own Device » (BYOD) permet aux cybercriminels d’utiliser les appareils mobiles comme un canal pour dissimuler, diffuser et dérober des informations en exploitant les identifiants d’un employé de l’entreprise.
Un autre vecteur d’attaque peut être constitué par des applications web publiques non sécurisées, qui permettent de dérober rapidement des identités. Il peut notamment s’agir de vulnérabilités zero-day qui ont fait la une l’année dernière, telles que Shellshock et Heartbleed. Il suffit qu’une organisation tarde à corriger une vulnérabilité ou ne dispose pas de la technologie adéquate pour protéger ses applications web. Une fois qu’ils en ont pris le contrôle, les cybercriminels peuvent faire ce qu’ils veulent, du vol de données à l’utilisation des serveurs pour lancer des attaques par botnet.
Ce « terrain de jeu » élargi offre aux cybercriminels davantage de possibilités pour dérober des identifiants de connexion : ils n’ont plus besoin de recourir à des logiciels d’enregistrement de frappe ni d’exploiter des failles de bases de données, mais peuvent simplement utiliser des injections web.
Par exemple, lorsqu’un utilisateur se connecte à votre compte bancaire en ligne, les cybercriminels peuvent insérer sur la page web un champ supplémentaire qui semble légitime et demande votre code PIN de carte bancaire (numéro d’identification personnel), afin de tromper aussi bien les utilisateurs avertis que les moins expérimentés. Pendant ce temps, un logiciel malveillant peut exécuter en arrière-plan une attaque de type « homme dans le navigateur », invisible pour l’application web hôte.
En plus de multiplier les vecteurs d’attaque, les logiciels malveillants et les chevaux de Troie sont aujourd’hui capables de dérober des identifiants de connexion par l’intermédiaire d’applications bancaires mobiles afin d’accéder aux fonds détenus dans des banques et d’autres établissements de services financiers. Les cybercriminels peuvent simplement créer une application mobile ressemblant à une application bancaire et recourir au harponnage pour voler des identifiants de connexion. Certains logiciels malveillants, comme Dyre ou Dyreza, ciblent directement les comptes bancaires des entreprises et ont réussi à dérober plus d’un million de dollars à des sociétés qui ne se doutaient de rien.
Faites face aux menaces grâce à une défense multicouche, une approche proactive et des politiques rigoureuses en matière de mobilité
Les menaces internes étant à l’origine de la majorité des violations de sécurité au premier semestre 2015, il est plus important que jamais pour les organisations de suivre le rythme des cybercriminels, dont les méthodes évoluent rapidement. Les entreprises doivent mettre en œuvre les mesures nécessaires pour sécuriser leurs applications accessibles depuis Internet. Cela doit figurer en tête de leurs priorités, car ces applications constituent une voie d’accès naturelle pour les cybercriminels, qui cherchent constamment des occasions de s’introduire dans un réseau. Il est également essentiel de décourager le débridage des appareils, car cette pratique offre généralement aux cybercriminels un autre moyen d’accéder aux réseaux.
Tout d’abord, il est impératif d’adopter une stratégie de défense en profondeur reposant sur les technologies appropriées. Beaucoup pensent à tort qu’une technologie telle qu’un pare-feu suffit à protéger les réseaux d’une organisation, mais ce n’est plus le cas aujourd’hui. Les organisations doivent envisager d’autres technologies, telles que les pare-feu applicatifs web. Les attaques visant les applications web sont souvent conçues et adaptées à une application particulière, et échappent aux dispositifs de sécurité traditionnels.
Même si la remédiation – qui consiste à corriger les problèmes après une violation de sécurité – a son utilité, il est encore plus avantageux d’adopter une démarche proactive pour sécuriser vos réseaux. Par nature réactive, la remédiation implique que l’équipe d’investigation numérique remonte à la cause de la violation, établisse un rapport, puis mette en œuvre les mesures correctives après l’incident. À l’inverse, sécuriser votre organisation de manière proactive ne permettra peut-être pas de contrer 100 % des attaques, mais parvenir à réduire ce taux, même partiellement, doit tout de même être considéré comme une réussite.
Enfin, il faut également lutter contre la complaisance et abandonner l’attitude consistant à se dire « cela ne m’arrivera pas », alors même que l’on voit ses voisins subir des attaques tout en espérant continuer à être épargné.
Les organisations doivent mettre en place des politiques de sécurité des appareils mobiles définissant les lignes directrices, les principes et les pratiques applicables à leur utilisation, qu’ils soient fournis par l’entreprise ou qu’ils appartiennent à des particuliers. Ces politiques doivent couvrir des domaines tels que les rôles et responsabilités, la sécurité des infrastructures, la sécurité des appareils et les évaluations de sécurité.
En établissant des politiques de sécurité, les organisations peuvent créer un cadre permettant de mettre en œuvre des pratiques, des outils et des formations afin de renforcer la sécurité des réseaux sans fil. Former les employés aux politiques de sécurité mobile peut également aider les organisations à garantir que les appareils mobiles sont configurés, exploités et utilisés de manière sûre et appropriée.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.