En février 2016, des pirates ont ciblé la banque centrale du Bangladesh et exploité les vulnérabilités de SWIFT, le principal système de messagerie électronique de paiement du système financier mondial, essayant de voler 1 milliard de dollars. Alors que la plupart des transactions ont été bloquées, 101 millions de dollars ont encore disparu. Le braquage a été un avertissement pour le monde de la finance que les cyberrisques systémiques dans le système financier avaient été gravement sous-estimés.
Aujourd’hui, l‘évaluation qu’une cyberattaque majeure constitue une menace pour la stabilité financière est axiomatique – pas une question de savoir si , mais quand. Pourtant, les gouvernements et les entreprises du monde continuent de lutter pour contenir la menace car on ne sait toujours pas qui est responsable de la protection du système. De plus en plus inquiètes, des voix clés sonnent l’alarme.
En février 2020, Christine Lagarde, présidente de la Banque centrale européenne et ancienne directrice du Fonds monétaire international, avait prévenu qu’une cyberattaque pourrait déclencher une grave crise financière. En avril 2020, le Conseil de stabilité financière (FSB) a averti qu ‘«un cyberincident majeur, s’il n’est pas correctement maîtrisé, pourrait sérieusement perturber les systèmes financiers, y compris les infrastructures financières critiques, entraînant des implications plus larges sur la stabilité financière». Les coûts économiques potentiels de tels événements peuvent être immenses et les dommages à la confiance du public sont importants.
Deux tendances en cours exacerbent ce risque.
Premièrement, le système financier mondial traverse une transformation numérique sans précédent, qui est accélérée par la pandémie COVID-19. Les banques sont en concurrence avec les entreprises technologiques; les entreprises technologiques sont en concurrence avec les banques. Pendant ce temps, la pandémie a accru la demande de services financiers en ligne et fait du travail à domicile la norme. Les banques centrales du monde entier envisagent de se consacrer aux monnaies numériques et à la modernisation des systèmes de paiement. En cette période de transformation, lorsqu’un incident pourrait facilement miner la confiance et faire dérailler de telles innovations, la cybersécurité est plus essentielle que jamais.
Deuxièmement, les acteurs malveillants profitent de cette transformation numérique et constituent une menace croissante pour le système financier mondial, la stabilité financière et la confiance dans l’intégrité du système. La pandémie a même fourni de nouvelles cibles aux pirates. Le secteur financier connaît la deuxième plus grande part des cyberattaques liées au COVID-19, derrière uniquement le secteur de la santé, selon la Banque des règlements internationaux.
Qui derrière les menaces ?
Il faut s’attendre à des attaques plus dangereuses et aux chocs qui en découlent à l’avenir. Les incidents qui corrompent l’intégrité des données financières, telles que les enregistrements, les algorithmes et les transactions, sont les plus inquiétants; peu de solutions techniques sont actuellement disponibles pour de telles attaques, qui ont le potentiel de saper la confiance et la confiance plus largement.
Les acteurs malveillants derrière ces attaques comprennent non seulement des criminels de plus en plus audacieux – comme le groupe Carbanak, qui a ciblé les institutions financières pour voler plus d’un milliard de dollars en 2013-2018 – mais aussi des États et des attaquants parrainés par l’État. La Corée du Nord, par exemple, a volé quelque 2 milliards de dollars à au moins 38 pays au cours des cinq dernières années.
C’est un problème mondial.
Alors que les cyberattaques dans les pays à revenu élevé ont tendance à faire la une des journaux, on accorde moins d’attention au nombre croissant d’attaques contre des cibles plus douces dans les pays à revenu faible ou intermédiaire de la tranche inférieure. Pourtant, c’est dans ces pays que la poussée vers une plus grande inclusion financière a été la plus prononcée, ce qui a conduit beaucoup d’entre eux à passer aux services financiers numériques tels que les systèmes de paiement mobile.
Bien qu’ils favorisent l’inclusion financière, les services financiers numériques offrent également un environnement riche en cibles pour les pirates. Le piratage d’octobre 2020 des plus grands réseaux d’argent mobile d’Ouganda, MTN et Airtel, par exemple, a entraîné une interruption majeure de quatre jours des transactions de services.
Malgré la dépendance croissante du système financier mondial à l’égard de l’infrastructure numérique, on ne sait pas qui est responsable de la protection du système contre les cyberattaques. C’est en partie parce que l’environnement change si rapidement. Sans une action spécifique, le système financier mondial ne fera que devenir plus vulnérable à mesure que l’innovation, la concurrence et la pandémie alimenteront davantage la révolution numérique.
Bien que de nombreux acteurs de la menace se concentrent sur le fait de gagner de l’argent, le nombre d’attaques purement perturbatrices et destructrices a augmenté; en outre, ceux qui apprennent à voler se renseignent également sur les réseaux et les opérations du système financier, ce qui leur permet de lancer des attaques plus perturbatrices ou destructrices à l’avenir (ou de vendre ces connaissances et capacités à d’autres).
Mieux protéger le système financier mondial est avant tout un défi organisationnel. Les efforts pour durcir les défenses et durcir la réglementation sont importants mais ne suffisent pas à dépasser les risques croissants. Contrairement à de nombreux secteurs, la plupart de la communauté des services financiers ne manque pas de ressources ou de capacité à mettre en œuvre des solutions techniques. Le problème principal est un problème d’action collective: comment organiser au mieux la protection du système entre les gouvernements, les autorités financières et l’industrie et comment exploiter ces ressources de manière efficace et efficiente.
La fragmentation actuelle des parties prenantes et des initiatives découle en partie des aspects uniques et de la nature évolutive du cyberrisque. Différentes communautés opèrent en silos et s’attaquent au problème à travers leurs mandats respectifs. La communauté de la surveillance financière se concentre sur la résilience, les diplomates sur les normes de comportement de l’État, les agences de sécurité nationale sur les tentatives de dissuasion des activités malveillantes et les dirigeants de l’industrie sur les risques spécifiques à l’entreprise plutôt que sur les risques spécifiques au secteur. Alors que les frontières entre les entreprises de services financiers et les entreprises de technologie deviennent de plus en plus floues, les lignes de responsabilité en matière de sécurité sont également de plus en plus floues.
La déconnexion entre la finance, la sécurité nationale et les communautés diplomatiques est particulièrement prononcée. Les autorités financières sont confrontées à des risques uniques liés aux cybermenaces, mais leurs relations avec les agences de sécurité nationale, dont la participation est nécessaire pour lutter efficacement contre ces menaces, restent précaires. Cet écart de responsabilité et l’incertitude persistante concernant les rôles et les mandats de protection du système financier mondial alimentent les risques.
Une partie de cette incertitude est due au climat géopolitique actuel et aux niveaux élevés de méfiance, qui entravent la collaboration entre la communauté internationale. La coopération en matière de cybersécurité a été entravée, fragmentée et souvent limitée aux plus petits cercles de confiance, car elle touche à des actions de sécurité nationale sensibles.
Suite : Quelle stratégie internationale contre les cybermenaces ?