securite bancaire mobile

L’avenir de la sécurité mobile dans le secteur bancaire

L’utilisation du mobile dans tous les aspects de la vie est en pleine croissance, depuis l’utilisation quasi quotidienne des applications bancaires jusqu’à l’accès à ses outils de travail à distance, ce qui en fait un canal viable, et actuellement très rentable, que les pirates peuvent cibler pour voler des données sensibles.

Au cours des dernières années, nous avons vu les pirates étendre leurs outils de piratage traditionnellement axés sur les ordinateurs de bureau pour y inclure maintenant une plus grande partie de virus destinés à infester les mobiles.

Ce fut le cas avec les acteurs derrière les familles de PC de bureau SpyEye et Zeus qui ont sorti respectivement Spitmo et Zitmo. Il n’y a pas que les gangs cybercriminels établis qui s’introduisent dans l’espace mobile, nous voyons aussi un certain nombre de nouveaux joueurs déployer des chevaux de Troie bancaires mobiles comme BancaMarStealer / Marcher, Cron, et MazarBot. La fuite du code source d’un ancien cheval de Troie bancaire connu sous le nom de GMBot dont parlait ibtimes a signifié que la barrière à l’entrée pour les pirates qui cherchent à avoir un outil pour pirater les mobiles est assez faible.

Il est maintenant plus important que jamais que les banques mettent à niveau leurs mesures de cybersécurité pour inclure le mobile, afin que les utilisateurs soient protégés quel que soit le canal qu’ils utilisent pour effectuer leurs opérations bancaires. Ces derniers temps on a notamment vu que des comparateurs de services bancaires incluent désormais la sécurité mobile dans leurs dossiers sur les banques en ligne, preuve que les clients sont au courant du problème et veulent savoir ce que les néo banques et les banques mobiles proposent dans ce domaine. Plus d’informations ici sur https://banques-enligne.org/.

attaque pirate mobile

Comment fonctionnent ces attaques ?

L’attaque trompe l’utilisateur en introduisant le plus souvent une fausse page de connexion qui ressemble à ce qu’un utilisateur verrait lorsqu’il naviguerait sur le site légitime de la banque ou lorsqu’il utiliserait son application mobile officielle.

Une fois l’appareil infecté, le cheval de Troie est suffisamment sophistiqué pour identifier les applications bancaires qui se trouvent sur cet appareil, ou le site bancaire qu’une victime consulte actuellement, et utilise ces informations pour afficher une fausse image qui correspond. Visuellement, il n’y a rien qui indique à l’utilisateur final qu’il entre des informations sensibles directement dans une application malveillante.

protection encryption mobile

D’où viennent ces attaques ?

Ces attaques ne sont pas toujours organisées par des acteurs expérimentés. Les logiciels malveillants sont souvent vendus en tant que service. De plus en plus de ces acteurs n’ont aucune expérience dans la création de ces outils et les achètent ou les louent. Ce fut le cas de BancaMarStealer, également connu sous le nom de Marcher, que les chercheurs de Lookout dans leur rapport ont d’abord vu utilisé en Europe de l’Est avant d’être vendu mondialement en tant que service. Depuis l’émergence de son utilisation a explosé et Lookout l’a vu être déployé en Russie, en France, en Allemagne, en Autriche, en Pologne, en Espagne, aux Pays-Bas, au Royaume-Uni, en Australie, au Canada et aux États-Unis.

cyber securite

Que peuvent faire les banques pour protéger les clients qui utilisent les services bancaires mobiles ?

Les numéros d’authentification des transactions mobiles (mTAN) exigent que les transactions en ligne soient accompagnées d’un jeton spécifique qui a été envoyé directement à l’appareil mobile de l’utilisateur. Cependant, Lookout a vu certaines banques de l’Ouest s’éloigner des mTANs au profit de jetons d’authentification physique à deux facteurs non connectés à Internet. Celles-ci exigent des utilisateurs qu’ils entrent physiquement leur carte bancaire et leur code PIN, qui fournit en retour un code de courte durée lié à la transaction spécifique qu’ils effectuent. Cette approche rend plus difficile pour les attaquants de tenter d’effectuer des transactions frauduleuses à partir d’un téléphone mobile compromis.

Si les banques améliorent les mesures de sécurité pour inclure l’authentification à deux facteurs, les consommateurs seront-ils à l’abri des pirates informatiques et pourront-ils gérer leurs finances en ligne en toute sécurité ?

Cela contribuerait certainement beaucoup à atténuer les attaques et, à court terme, les pirates dans cet espace seraient plus susceptibles de cibler d’abord les clients des banques qui n’ont pas fourni ces contrôles de sécurité. À long terme, elle obligerait les acteurs à investir dans une nouvelle conception de l’exploitation de leurs cibles afin d’effectuer des transactions frauduleuses et d’accéder à leurs comptes bancaires. À l’heure actuelle, il n’est pas clair ce que cela impliquerait, cependant, comme nous l’avons vu à maintes reprises dans la sécurité, il s’agit d’un jeu continu de chat et de souris entre les attaquants et les défenseurs.

Au cours des deux dernières années, nous avons vu de nombreuses applications qui permettent aux clients de transférer rapidement de l’argent entre eux. PingIt, Swish Payments, Apple Pay, Google Wallet, et même via Facebook Messenger sont quelques exemples de ce type de transfert d’argent et il existe de nombreuses applications pour gérer ses cryptomonnaies. Alors que les banques continuent d’affiner leurs contrôles de sécurité, nous nous attendons à voir les pirates étendre leurs capacités à aller hacker ces applications lorsqu’ils compromettent un appareil mobile.

Vous voulez en savoir plus sur le sujet ? Lisez l’article de Silicon.fr à ce sujet https://www.silicon.fr/securite-applications-bancaires-255827.html