Étiquette : Cyberattaque

TESCO Bank sanctionnée pour avoir failli à protéger ses utilisateurs victimes d’une cyberattaque

TESCO Bank sanctionnée pour avoir failli à protéger ses utilisateurs victimes d’une cyberattaque
Source de l’image : GregMontani via Pixabay

En novembre 2016, Tesco Bank, banque de détail britannique détenue à 100% par le groupe de distribution Tesco, avait essuyé une attaque informatique d’une ampleur alors inédite dans ce secteur. En moins de 48 heures, les pirates avaient réussi à prélever sur des comptes clients près de 2.26 millions de livres.

40 000 comptes avaient été touchés par cette attaque et l’argent avait été subtilisé par les cybercriminels sur 20 000 d’entre eux.

Même s’il s’agissait de montants peu élevés et que ceux-ci avaient été remboursés aux victimes, la question de la solidité et la fiabilité des systèmes informatiques du secteur bancaire avait bien sûr été soulevée.

La décision de justice rendue par le FCA (Financial Conduct Authority), le régulateur financier du Royaume-Uni, est assez éloquente en la matière, jugeant que la banque n’a pas suffisamment protégé ses utilisateurs contre les cyberattaques. Les cybercriminels avaient en effet réussi à exploiter des failles pour mener à bien leur attaque, notamment dans le système de conception des cartes bancaires.

Si Tesco risquait une amende de 33.6 millions de livres, le groupe a finalement écopé d’une sanction de 16.4 millions de livres, soit environ 18.4 millions d’euros.

Le but de cette amende : montrer que le régulateur financier n’a « aucune tolérance pour les banques qui échouent à protéger les clients contre des risques prévisibles »*, souligne Mark Steward, executive director of enforcement and market oversight au FCA.

Le FCA a ainsi exprimé que Tesco Bank avait manqué à ses obligations de vigilance quant à :

  • La fabrication et la distribution des cartes de crédit
  • La configuration d’un système d’authentification spécifique et de détection des fraudes
  • La prise d’actions appropriées pour anticiper les risques d’attaques et de fraudes

Mark Steward ajoute également que dans le cas précis de l’attaque de novembre 2016, la banque n’avait géré une alerte spécifique qu’une fois que l’attaque avait débuté.

Pour la FCA, « la norme doit être désormais celui de la résilience, afin de réduire en amont le risque d’une cyberattaque, pas seulement de réagir à celle-ci »**.

 

*“The fine the FCA imposed on Tesco Bank today [1st October] reflects the fact that the FCA has no tolerance for banks that fail to protect customers from foreseeable risks”.

**“The standard is one of resilience, reducing the risk of a successful cyber attack occurring in the first place, not only reacting to an attack.”

JO de PyeongChang : cyberattaque

JO de PyeongChang : cyberattaqueC’est durant la cérémonie d’ouverture des Jeux Olympiques d’Hiver de PyeongChang qu’une cyberattaque a visé les services informatiques de l’infrastructure organisatrice.

Environ 45 minutes avant le début de l’évènement, les serveurs et le réseau Wi-Fi ont été touchés par une attaque, qui n’a heureusement pas affecté le déroulement de la cérémonie. Cependant, dans le village olympique, l’espace presse a été privé de connexion Internet et de télévision. Par ailleurs, le site officiel des Jeux Olympiques de PyeongChang a été inaccessible durant des heures, empêchant les internautes d’imprimer leurs billets pour accéder à l’évènement. 12 heures ont été nécessaires pour rétablir complètement les services.

Le CIO n’a pas souhaité s’exprimer sur l’origine de cette attaque, mais le porte-parole de PyeongChang 2018, Sung Baik-you indique qu’ «Il y a eu une cyberattaque, le serveur a été mis à jour hier (dimanche 11 février), et nous connaissons la cause du problème. On sait ce qui s’est passé, c’est une chose habituelle pendant les Jeux Olympiques. Nous n’allons pas révéler la source.». Le directeur de la communication du CIO, a quant à lui assuré «Nous refusons de révéler les détails de notre enquête pour l’instant, mais nous le ferons».

Une cyberattaque à but destructif

Deux chercheurs de l’entreprise Talos Security ont pourtant analysé l’attaque et observé que l’objectif n’était pas de récupérer les données sensibles ou personnelles contenues sur les serveurs de l’organisation, mais bien de perturber le déroulement des Jeux. L’analyse des échantillons du virus a permis de faire mettre en lumière sa fonction principale : l’aspect destructif. Concrètement, les effets causés par cette cyberattaque, consistaient en la suppression des évènements du calendrier et de documents, et surtout de rendre inutilisable la machine affectée.

Les Jeux de PyeongChang, victimes une nouvelle fois

D’envergure mondiale et assurant une visibilité de choix pour les cybercriminels, les JO de PyeongChang n’en sont pas à leur première cyberattaque. Fin décembre 2017, l’infrastructure a subi une attaque consistant principalement en l’envoi de mails aux organisateurs de l’évènement. Ces  mails contenaient des fichiers Word infectés par un virus, selon l’analyse de l’entreprise McAfee.

Russie, Corée du Nord : les différentes pistes envisagées

Les potentiels responsables de l’attaque pourraient être la Russie, dont la délégation a été privée de Jeux en raison de dopage : McAfee a déclaré avant les Jeux disposer d’informations indiquant que des hackers basés en Russie prévoyaient des attaques en guise de représailles. On évoque aussi la piste de la Corée du Nord, malgré le rapprochement que les téléspectateurs ont pu observer durant la cérémonie d’ouverture.

Une attaque qui démontre, une nouvelle fois, la vulnérabilité des infrastructures informatiques malgré les moyens mis en œuvre.

Sale histoire de phishing

Sale histoire de phishing

Une victime d’un phishing de 2015 a demandé à sa banque de lui rembourser la somme de 3 300€ détournée par l’auteur de la fraude. Pourtant, lors de la procédure judiciaire, la Justice a annulé le jugement de la juridiction de proximité d’octobre 2017, qui avait alors ordonné à la banque de la victime de rembourser les sommes correspondantes à l’opération de phishing.

Le motif de cette annulation ? La victime a délibérément communiqué certaines de ses données confidentielles relatives à sa carte bancaire, en tombant dans le piège d’un mail de phishing (l’arnaqueur s’y faisait passer pour l’opérateur téléphonique de la victime).

L’argumentation de cette annulation avance en effet que le courriel ne comportait aucun nom de destinataire ni d’expéditeur et que la mention d’un rejet ou d’un impayé était inexacte. Aussi la victime aurait-elle pu éviter le piège tendu et ne pas communiquer ses données bancaires. La responsabilité lui incomberait donc, annulant de fait la demande de remboursement de l’argent dérobé auprès de la banque.

La grande majorité des sites de phishing utilisent des noms de domaine associés à une activité existante ou se référant à une activité,  dans le but de tromper les utilisateurs, en les invitant à cliquer sur les liens de sites légitimes. Cela permet d’augmenter ainsi la probabilité de réussite des attaquants.

Le principe du phishing est de récupérer des données personnelles sur Internet via l’usurpation d’identité, adaptée au support numérique.

S’il est vrai que le paiement frauduleux en ligne est directement dû à la négligence de la victime, elle n’avait pourtant pas communiqué ni le code confidentiel de sa carte, ni le code 3D SECURE à 6 chiffres qui lui avait été adressé par SMS pour valider le paiement. La victime avait fait opposition le jour même à sa carte bancaire, après réception de 2 messages de 3D Secure.

Toutefois, dans cette affaire, la banque affirme qu’elle sensibilisait et communiquait régulièrement auprès de ses clients, afin de les alerter des risques de phishing et sur la mise en garde de ne jamais communiquer ses données bancaires confidentielles.

Ainsi, la Cour de cassation a jugé que la victime avait agi négligemment et aurait pu éviter de tomber dans le panneau du fraudeur.

Les cybermenaces reposent beaucoup sur les mauvaises pratiques des internautes, comme le confirme le SANS Institute. Les menaces les plus fréquemment rencontrées dans les entreprises sont l’hameçonnage ou phishing (72% des répondants), les logiciels espions (50%) et les ransomwares (49%).

D’après la société américaine Webroot, environ 1.385.000 sites uniques de phishing sont créés chaque mois, avec un pic impressionnant de 2,3 millions en mai de 2017.

Il faut savoir que ces sites de phishing restent actifs durant une très courte période : entre 4 et 8 heures au maximum, pour éviter d’être suivis ou blacklistés.

Cette affaire rappelle bien sûr que la vigilance reste plus que jamais de mise !