Swift : nouveau détournement, nouvelles inquiétudes

Une troisième banque semble avoir été victime de l’utilisation frauduleuse de ses équipements connectés au système Swift : Banco Del Austro, en Equateur. Comme le révèlent nos confrères de Reuters, celle-ci a engagé des poursuites contre Wells Fargo aux Etats-Unis. Pourquoi ? Parce que ce dernier a approuvé au moins douze transferts de fonds détenus par Banco Del Austro demandés via le système Swift, pour un montant total de l’ordre de 12 M$. Les deux banques concernées estiment désormais que ces ordres de transfert ont été l’œuvre de pirates non identifiés. Les identifiants d’un employé de la banque équatorienne auraient ainsi été compromis.

De son côté, Swift a assuré à Reuters n’avoir pas été au courant de l’incident. Et c’est peut-être justement le manque de visibilité sur de telles incidents qui fait défaut à l’organisation pour pouvoir, avec ses clients, lutter contre ces actions frauduleuses. Dans un communiqué, Swift souligne d’ailleurs l’importance du partage de l’information et de coopération.

L’organisme prévoit ainsi de dédier un élément de sa base de connaissances aux informations relatives aux logiciels malveillants « et autres indicateurs de compromission associés au mode opératoire que nous avons observé dans les cas précédents ». Mais Swift entend utiliser cet espace à plus long terme pour partager les informations « pertinentes relatives à des incidents cybers dans les institutions clientes ». Et d’appeler logiquement ces dernières à partager leurs informations sur les incidents de sécurité informatique liés au système Swift, via le service client de l’organisation.

Mais pour Avivah Litan, chez Gartner, il semble nécessaire d’aller encore plus loin. L’analyste relève que « les banques émettrices d’ordres ne sont pas dépositaires des applications de centralisation des paiements » comme Swift. Dès lors, c’est pour elle à ces organismes de mettre en place « une détection de fraude par couches qui cherche des anomalies dans les demandes de paiement et les comptes destinataires ». Et de suggérer par exemple le recours à des dispositifs d’analyse des gestes, des saisies clavier et des mouvements de souris.

Mais Avivah Litan souligne aussi l’enjeu, pour les banques concernées, de la prise en compte du risque associé à la menace interne, un risque croissant selon les clients du cabinet.