|
Joachim Krause
Consultant senior en Sécurité des systèmes d'information
Telindus Arche
 En savoir plus
|
Toutes les banques ne prennent pas les bonnes mesures pour faire face au phishing. La majorité des établissements bancaires sensibilise leurs clients sur leur site Web mais l'information n'y est pas forcément accessible rapidement. De même elles informent rapidement si elles sont la cible d'un phishing. En revanche, toutes n'ont pas mis en œuvre de moyens permettant de sécuriser l'authentification de leurs clients : clavier virtuel, certificat, authentification forte.
Certaines ne réclament toujours rien de plus qu'un identifiant et un mot de passe facilement enregistrables par un keylogger ou un site de phishing. La raison est la suivante : actuellement, le principal impact est une atteinte à l'image de marque. Or, ce critère est difficilement mesurable, contrairement à des pertes financières.
Leur avancement vis-à-vis des banques étrangères est trés variable en fonction des pays. Nous constatons que certains pays dont les établissements bancaires sont la cible de pirates depuis longtemps - le Brésil par exemple - sont en avance et proposent les mécanismes de sécurité cités précédemment. D'autres pays, nordiques notamment, sont plus matures en termes de sécurité et proposent aussi un contrôle d'accès plus sécurisé.
Si les escrocs commencent à s'intéresser de plus en plus à nos banques c'est simplement parce qu' il devient de plus en plus difficile d'abuser les clients internautes qui sont la cible de ce type de fraude (social engineering) depuis longtemps. Il devient également de plus plus en difficile de contourner les mécanismes de sécurité des banques de ces mêmes clients.
Les fraudeurs se rabattent donc sur les autres banques.
On constate que l'établissement bancaire français le plus souvent ciblé ne propose pas de mécanisme antiphishing comme le certificat, le clavier virtuel, les tokens ..). Le premier vrai phishing d'envergure ciblant plusieurs banques françaises a eu lieu en mai 2005 et était très maladroit : mail en anglais, site Web en français approximatif.... Le dernier, en mars 2006, est sans commune mesure en termes de qualité. Les banques françaises intéressent donc de plus en plus les cybercriminels professionnels.
La menace croît.
|
