Le secteur financier est l’un des plus touchés par la cybercriminalité. Il concentrait 17% des cyberattaques relevées dans le monde en 2018, à égalité avec le secteur des technologies, et 30% de celles constatées dans la zone Europe Moyen-Orient Afrique, selon NTT Security. Au Royaume-Uni seul, sur la même période, le nombre de cyberattaques à l’encontre du secteur financier a quintuplé. Quant au FMI, il estimait l’an dernier que ces cyberattaques “pourraient faire subir aux institutions financières des pertes allant de 9% de leur bénéfice net à la moitié de leurs bénéfices dans le pire des scénarios”.
Pour Michael Bittan, associé responsable des activités cyber risques chez Deloitte, ce constat n’est pas une surprise : “les banques ont probablement toujours été les premières cibles. Comme au Far West, les criminels se disent que c’est là qu’il y a de l’argent et que les gains les plus rapides peuvent être obtenus.” En ce qui concerne le cybercrime, la logique est la même. “Avec la dématérialisation, l’appât du gain s’est même dédoublé, ajoute Julien Maldonato, associé innovation chez Deloitte. Il y a l’enrichissement direct, puisqu’on peut voler des actifs, et puis des motifs plus géopolitiques pour des organisations qui cherchent à mettre à mal un système pour déstabiliser un pays entier.”
Prévenir pour mieux guérir
Résultat : la première réponse est la prévention. C’est peut-être aussi parce qu’elles sont les plus attaquées que les institutions financières sont les mieux défendues. “Cela fait plus de vingt ans que le secteur travaille sur le sujet, les infrastructures ont plutôt tendance à être très bien protégées”, note Michael Bittan. Pour le consultant, les vulnérabilités se révèlent ailleurs, “plutôt dans les couches applicatives, car elles ont un caractère de nouveauté qui peut être synonyme de failles.” Cela n’empêche pas que les banques aient besoin d’innover, ce qui passe par le développement d’API, pour répondre aux exigences de la DSP2 par exemple, ou par l’externalisation vers le cloud. L’enjeu est de parvenir à le faire tout en restant aussi protégé que possible.
Dans un rapport réalisé avec le FS-ISAC (Financial Services Information Sharing and Analysis Center), Deloitte estime d’ailleurs que les dépenses en matière de cybersécurité représentent de 6% à 14% du budget informatique des institutions financières, soit de 0,2% à 0,9% de leur chiffre d’affaires.