Les banques connaissent une hausse des cyberattaques réussies

Les banques ont toujours été une des cibles favorites des cyberattaques. Toutefois, les chiffres montrent que ce phénomène s'accélère. Dans ses derniers sondages, l’Autorité Bancaire Européenne (EBA) met en évidence une hausse du nombre de cyberattaques dans le secteur financier. Plus inquiétant : elle annonce aussi une hausse des cyberattaques réussies dans le système bancaire. Quel impact représente cette hausse des cyberattaques pour les banques ? Le monde bancaire est-il prêt à se protéger de ces cyberattaques plus intenses et fréquentes ? Les banques ont-elles assez développé leur cyber résistance ?

UNE CIBLE PRIVILÉGIÉE : PLUS DE 50% DES BANQUES SUBISSENT UNE CYBERATTAQUE RÉUSSIE

De manière générale, les chiffres 2023 et les tendances 2024 nous annoncent tous une hausse spectaculaire du nombre de tentatives de cyberattaques. Étant considérées comme Opérateurs d’Importance Vitale (OIV), les banques deviennent des victimes de premier choix pour les cybercriminels. D’autant plus que le lien avec l’argent est direct.

D’après l'institution du Fonds Monétaire International (FMI), les cyberattaques réussies envers des acteurs financiers représentent une perte annuelle estimée à 9% du résultat net des banques, soit 97 milliards de dollars.

Si l’on s’appuie sur l’étude de Netwrix, ce risque financier pèse sur chacun des acteurs puisque 77% des organisations du secteur financier mondial ont subi au moins une cyberattaque. En zoomant sur l’Europe, le dernier baromètre de l’Autorité Bancaire Européenne (EBA) indique même que plus de 50% des cyberattaques sont jugées réussies puisqu'elles n’ont pas su être repoussées. Parmi ces cyberattaques réussies, 27% sont jugées “graves”, comparé à 11% un an plus tôt. Un constat qui interroge sur les mois et années à venir.

RENFORCER ET TESTER LA CYBER-RÉSILIENCE DES BANQUES

Face à ce constat, les autorités bancaires ont tout intérêt à accompagner les acteurs bancaires. En 2024, l’Autorité Bancaire Européenne (EBA) a décidé de mener des tests de cyber-résilience sur les acteurs bancaires européens afin de pouvoir conseiller et accompagner au mieux. Pour cela, depuis Janvier 2024, plus de 109 banques de différents pays ont reçu un scénario fictif de cyberattaque où chacun a dû justifier les actions mises en place pour contrer cette cyberattaque. Parmi les banques testées, 28 ont subi un test complémentaire sur place pour évaluer leurs capacités sur la restauration informatique suite à cette cyberattaque.

Les conclusions de la Banque Centrale Européenne sont claires : “Même si les banques disposent de cadres de réponse et de rétablissement de haut niveau, il existe encore des axes d’amélioration”. En tant qu’Opérateur d’Importance Vitale, les acteurs du système bancaire se doivent de travailler et garantir un plan de continuité, quel que soit le niveau de gravité de la cyberattaque.

DES PLANS DE CONTINUITÉ, UN PILIER À RENFORCER POUR LES ACTEURS DU MONDE DE LA BANQUE

Suite à ces tests de cyber résistance, la Banque Centrale Européenne en a conclu que les banques devaient renforcer leurs actions sur la création ou l’enrichissement d’un plan de continuité, plus que sur la prévention. Une nécessité pour garantir la continuité des activités.

Le cyber test mené était justement fait pour principalement évaluer la continuité de l’activité. Toutes les actions de prévention devaient échouer pour obliger les banques à déclencher leur plan de continuité, s'il existait.

Dans ce fameux plan de continuité d’activité (PCA), plusieurs critères sont à soigner comme :

• la communication auprès des interlocuteurs (clients, fournisseurs, autorités…),
• les actions d’atténuation adaptées pour limiter les impacts, service par service.
• différents plans d’action selon le type de cyberattaque,
• La liste des acteurs internes et externes avec un rôle précisé
• et bien d’autres informations.

Les autorités bancaires ont déjà prévenu : de nouveaux tests de cyber résistance auront lieu en 2025 pour continuer à évaluer et à pointer les améliorations. Les banques européennes ont tout intérêt à investir dans leur cybersécurité puisque ces résultats feront partie de l’évaluation Supervisory Review and Evaluation Process (SREP).