Cybergeddon ? SWIFT – Un programme malveillant peut mettre en danger les banques centrales

Le vol de banque le plus effrayant de l’histoire a eu lieu récemment, et rares sont les personnes à comprendre la vraie nature du crime.

Un voleur armé peut vider le coffre d’une banque. Un esprit supérieur, capable de comprendre le système SWIFT peut voler l’avenir d’un pays.

Tentative de vol d’un milliard de dollars

Les banques centrales, tout comme les banques, utilisent un système vieux de 40 ans, baptisé SWIFT (Society for Worldwide Interbank Financial Telecommunication) pour envoyer des messages autorisant les transferts de fonds. Des dizaines de millions de transferts transitent chaque jour par ce système. C’est, sans exagération, la colonne vertébrale du système bancaire international.

Au début du mois de mars, le Bangladesh a perdu près d’un milliard de dollars, soit presque 4 % du total de ses réserves de devises étrangères. Presque. En fait, il a seulement perdu 81 millions de dollars. La raison tragiquement absurde pour laquelle la banque n’a pas perdu davantage était le résultat d’une faute de frappe fortuite.

Programmes malveillants, casinos et la Fed de New York

Un programme malveillant dans les ordinateurs de la Banque centrale du Bangladesh a presque permis aux hackers de faire main basse sur 4 % du total des réserves de change du pays.

Alors qu’une enquête active est en cours, il semble déjà clair qu’ue : Une personne a été en mesure d’installer un programme malveillant dans les ordinateurs de la Banque centrale du Bangladesh. Ce programme malveillant a pu enregistrer les mots de passe des employés de la Banque centrale. À l’aide de ces mots de passe, les voleurs ont pu, malgré lLes protocoles de sécurité multicouche de SWIFT, envoyer 35 demandes de transfert à la Banque de la Réserve Fédérale de New York. (Le Bangladesh, comme la majeure partie du monde, conserve une grande partie de ses réserves de change dans la banque centrale américaine.) .

Le Bangladesh possède 28 milliards de dollars de réserves en devises étrangères. Les demandes de transfert portaient sur d’importants transferts vers des casinos aux Philippines et vers des comptes sans but lucratif au Sri Lanka, récemment ouverts. La Réserve Fédérale est restée largement silencieuse sur l’incident, sauf pour dire que « les instructions de paiement en question étaient entièrement authentifiées par le système de messagerie SWIFT, conformément aux protocoles d’authentification standard ».

La faute de frappe à 900 millions de dollars

Bien que 81 millions de dollars soient passés rapidement par les casinos philippins (qui, contrairement à leurs homologues américains n’ont pas d’exigence de déclaration financière), 20 millions de dollars ont été envoyés au Sri Lanka, et retardés avant d’être renvoyés au Bangladesh. Bien que quatre demandes aient reçu l’autorisation de procéder, l’une d’entre elles a été repérée par une banque d’acheminement en Allemagne, car les hackers avaient fait une faute de frappe en écrivant « fandation » au lieu de « foundation » (fondation). Cette erreur a attiré l’attention des autorités du Bangladesh et les autres paiements ont heureusement été arrêtés.

Est-ce un simple conte de piratage informatique ? Par l’utilisation d’un programme malveillant pour voler des comptes ? Oui et non. Il ne s’agissait pas de l’argent immobilisé dans l’épargne et le crédit de vos grands-parents. Il s’agissait des réserves de la banque centrale, détenues par l’établissement financier prétendument le plus sécurisé du monde : la Banque de la Réserve Fédérale de New York. Bien que la Fed insiste sur le fait qu’elle a suivi tous les protocoles appropriés (même si cela signifiait envoyer de l’argent dans des casinos), nous devons encore faire face au problème que les richesses d’une nation ont été affectées par un simple programme malveillant et des voleurs intelligents, bien qu’illettrés !

Ramifications

Ce crime met en lumière la nécessité d’améliorations dans notre système mondial de transfert de fonds.

Ce crime souligne que pas un seulnous montre qu’aucun établissement n’est à l’abri d’être touché par des cyber-criminels. Ce crime démontre, comme aucun auparavant, que les clefs du royaume, les tout-puissants mots de passe SWIFT, ne sont pas inviolables. Les actes néfastes d’ingénierie sociale, les programmes malveillants ou potentiellement d’autres actes plus violents peuvent offrir aux criminels tout ce dont ils ont besoin pour déplacer des sommes d’argent inimaginables dans le monde.

Bien que le système SWIFT semble avoir fonctionné conformément à la manière dont il a été conçu, la réalité est que ce crime illustrera le besoin d’améliorations dans notre système mondial de transfert de fonds. Les nations étrangères continueront-elles de confier leurs richesses à une banque centrale américaine accessible par mot de passe ? Les mots de passe que nous connaissons actuellement sont-ils quasiment impossibles à protéger entièrement à notre époque ?

Alors que les autorités recherchent les criminels, les établissements financiers chercheront des solutions à long terme au problème. Des verrous biométriques et une meilleure cryptographie peuvent être la solution, et des techniques de stockage à froid pour les données – comme celles pratiquées par certaines entreprises de Bitcoin — peuvent tenir leurs promesses.

Avec en jeu les réserves de pays entiers, il est clair que toutes les solutions seront envisagées. À court terme, les établissements financiers doivent lutter pour se protéger contre les programmes malveillants et faire un meilleur travail de protection de leurs mots de passe. Et particulièrement de leurs codes SWIFT.

About Richard Magrann-Wells

Richard is a Executive Vice President with Willis Towers Watson’s Financial Institutions Group based in Los Angel…
Categories: Cyber-risques, Français, Institutions financières

Leave a Reply

Your email address will not be published. Required fields are marked *