Sécurité mobile : Après la reconnaissance digitale, vocale, ou faciale, une façon de lutter contre la cybercriminalité. Les banques misent sur le rythme cardiaque comme identifiant.

Frédéric Hourdeau

News

le 19/03/2015 à 16h40

Tweeter

Une nouvelle façon de lutter contre la cybercriminalité: Plusieurs établissements bancaires étudient, pour leurs applications mobiles, un système d'identification, reposant sur les battements de cœur des utilisateurs.

Fini les passe mots de passe peu efficaces ? Après la reconnaissance vocale, digitale, faciale, place maintenant au rythme cardiaque.

Selon la BBC, en Grande-Bretagne, Halifax - filiale de Lloyds Banking Group - travaille sur un système d'identification reposant sur le rythme cardiaque de l'utilisateur.

Pour avoir accès à leurs comptes, via l'application mobile de leur banque, les clients seront reliés par un bracelet mesurant le battement de leur cœur, lui-même connecté à leur smartphone.

C’est un moyen de faire obstacle à la cybercriminalité dont les banques sont régulièrement victimes.

Ainsi, l’agence de sécurité russe Kaspersky révélait qu'Interpol et Europol enquêtaient en février dernier sur une vaste opération mondiale de piratage ayant coûté 1 milliard de dollars à une centaine de banques et d’établissements financiers sur la planète.

Des attaques de plus en plus sophistiquées :

Désormais, les criminels ont recours aux techniques informatiques les plus sophistiquées.

Selon Kaspersky Lab, ces cyberattaques, débutées en 2013, seraient toujours à l’œuvre.

Elles concernent une trentaine de pays, parmi lesquels la France, la Russie, les Etats-Unis, l’Allemagne, la Chine, l’Ukraine, le Canada, Hong-Kong, Taïwan, la Roumanie, l’Espagne, la Norvège, l’Inde, le Royaume-Uni, la Pologne, le Pakistan, le Népal, le Maroc, l’Islande, l’Irlande, la République Tchèque, la Suisse, le Brésil, la Bulgarie, et l’Australie.

Cette vague de cyberattaques, jamais égalées, serait le fait d’un groupe de cybercriminels, en provenance de la Russie, de l’Ukraine, ainsi que de la Chine.

Ce groupe, baptisé « Carbanak », dérobe directement l’argent dans les caisses des banques en infectant leur réseau interne.

Une technique qui prend deux à quatre mois pour porter ses fruits, selon Kaspersky :

-         Les cybercriminels infectent d’abord l’ordinateur d’un employé de la banque visée à l’aide de la technique dite du « spear phishing » ou hameçonnage : l’employé reçoit  un mail semblant émaner d’une personne ou d’une entreprise qu’il connaît est invité à cliquer sur un lien par lequel il télécharge en fait un logiciel malveillant.

 

-         Une fois introduit dans la place, Carbanak infecte l’ensemble du réseau interne de la banque, notamment les ordinateurs des administrateurs chargés de la vidéo-surveillance. Les cybercriminels peuvent ainsi surveiller et enregistrer toutes les opérations de transfert à l’oeuvre au sein de la banque, afin d’en imiter les codes.

 

-         Ils procèdent ensuite au retrait d’argent à l’aide de trois méthodes.:

 

. L’une d’elles consiste à transférer l’argent via des systèmes de paiement en ligne sur des comptes basés, selon Kaspersky, en Chine et en Amérique.

. Les cybercriminels peuvent aussi agir directement sur les comptes, en falsifiant le solde et en retirant l’excédent sur leur propre compte.

          .Enfin, les cybercriminels ont recours aux distributeurs de billets des banques, en déclenchant à distance une sortie de billets à un horaire déterminé. L’un des complices n’a alors plus qu’à attendre la pêche miraculeuse devant le distributeur.

Pour Sanjay Virmani, directeur du centre sur le crime virtuel à Interpol, « ces attaques révèlent que les criminels sont prêts à exploiter toute vulnérabilité dans n’importe quel système. Cela souligne également qu’aucun secteur ne peut se considérer protégé contre ces attaques et doit constamment revoir ses procédures de sécurité ».

Les parades face à la sophistication des attaques :

Dans le secteur bancaire Halifax n'est pas un cas isolé pour la mise en place de nouvelles mesures de sécurité. En novembre 2014, Mastercard a fait savoir qu'elle travaillait également sur ce type de procédé.

Pour ces tests, le groupe s'était associé à la Royal Bank of Canada ainsi que la start-up canadienne Byonim.

Celle-ci s'était fait connaître dès septembre 2013 en présentant Nymi, un bracelet biométrique permettant de déverrouiller l'accès à des terminaux mobiles grâce aux battements de cœur.

Elle envisageait déjà de travailler avec les banques dans le cadre du paiement mobile.

Autre initiative bancaire dans ce domaine, la Royal Bank of Scotland s'est converti, en février, à la reconnaissance digitale pour ses clients de ses services mobiles.

Une possibilité exclusivement ouverte aux détenteurs d'un iPhone 5S, d'un iPhone 6 ou d'un iPhone 6 Plus, ces smartphones d'Apple étant équipés de la fonction Touch ID.