«Heartbleed» : La faille qui menace la sécurité des paiements en ligne. Les banques françaises se disent quant à elles épargnées !

Frédéric Hourdeau

News

le 14/04/2014 à 23h20

Tweeter

La Fed demande aux banques américaines de remédier le plus vite possible à la faille récemment découverte affectant les connexions sécurisées lors des transactions en ligne. Mais de leur côté, les banques françaises se disent épargnées.

Le logiciel de cryptage OpenSSL, utilisé par la moitié des sites Web dans le monde pour protéger les mots de passe, les numéros de carte bancaire ou autres données sur Internet se matérialise par un petit cadenas lors des transactions bancaires ou bien une adresse démarrant par « https ».

Les consommateurs étaient très inquiets la semaine dernière après la découverte aux USA de cette  faille de sécurité sur certaines versions du logiciel de cryptage OpenSSL.

Baptisée « Heartbleed », la faille permet à des pirates de «prendre l'aspect de services bancaires ou celui d'utilisateurs, voler les mots de passe, avoir accès à des courriels sensibles ou à des réseaux internes », avertit la Réserve fédérale américaine.

Elle existe depuis le 31 décembre 2011 mais n'a été mise à jour que la semaine dernière par des experts américains. (Entre temps on apprend que la NSA aurait eu connaissance de cette faille et l’aurait utilisée à son profit !)…

La Réserve fédérale a demandé à ce que les banques américaines «  mettent en place des mises à jour de sécurité sur les systèmes, services, applications et matériels utilisant le logiciel OpenSSL ».

La France plus « sereine » ?!

En Suisse, le « Parti pirate » du canton d'Argovie a révélé plus de 40 établissements exposés à la faille, dont  le Crédit Suisse.

En France, certains internautes affirment avoir mis à jour, grâce à un site dédié, une vulnérabilité sur certains sites d’e-banking de grands établissements.

Ceci est difficilement vérifiable : S’il existe un doute concernant la sécurité du e-banking, rien ne permet pour l’heure d'affirmer avec certitude que les banques françaises sont concernées indique un expert sécurité.

ð Pour le Crédit Agricole : « Les dispositifs de sécurité mis en place pour protéger nos serveurs web n'utilisent pas la bibliothèque OpenSSL défaillante. Nos sites de banque en ligne ne sont donc pas concernés par cette faille ».

ð Le groupe Société Générale indique de son côté avoir «  passé l'ensemble de ses sites transactionnels en revue » et « aucun impact client n'a été recensé ». «Les équipes de sécurité des systèmes d'information du groupe suivent la situation de manière permanente », assure la banque.

ð Quant à la BNP, elle indique «avoir pris en compte les alertes et mis en place les mesures de protection nécessaires ».

La Banque de France assure quant à elle que «les systèmes d'authentification non rejouables (systèmes d'authentification uniques et non "rejouables") développés en France constituent un élément de sécurité important qui limite en pratique l'exploitation de la faille Heartbleed dans notre pays.

Il convient néanmoins d'appeler à la vigilance des internautes, notamment en cas de réception de courriels les incitant à modifier leurs identifiant et mot de passe, lesquels courriels pourraient constituer des tentatives de ‘'phishing'' ».

Les services  fiscaux  français pas inquiets !

La DGFIP indique quant à elle «Les sites de la Direction Générale des Finances Publiques, dont impots.gouv.fr ne sont pas concernés par la faille de sécurité »

 « Nos serveurs sont sécurisés et n'ont pas présenté de faille sur les points soulevés ».

Outre Atlantique, l’administration fiscale canadienne a quant à elle décidé au contraire de désactiver ses services en ligne, trois semaines avant la date de dépôt des déclarations d'impôts des Canadiens.