En quelques années seulement, l’open banking — qui consiste à utiliser des API ouvertes pour permettre à des tiers de développer des produits et services à partir des offres des banques, des compagnies d’assurance et d’autres établissements financiers — a transformé le paysage des services financiers.
La possibilité de s’appuyer sur des produits de services financiers existants pour créer de nouvelles offres dans des domaines tels que le crédit, les paiements et l’assurance a considérablement simplifié la réalisation de transactions, la gestion des finances et le contrôle des données personnelles pour les consommateurs. Parallèlement, les protocoles d’API ouvertes stimulent l’innovation dans l’ensemble des services financiers et génèrent d’importantes sources de revenus pour les établissements financiers. Avec la nouvelle version de FDX API 5.0, qui définit des normes en matière de sécurité, d’interopérabilité et de performances des API, ainsi que la prochaine échéance de la directive PSD2 relative à l’authentification forte du client (SCA) dans l’Union européenne, de nouvelles innovations et opportunités de revenus ne manqueront pas de voir le jour.
Mais qui dit opportunité dit inévitablement risque. Par nature, les API ouvertes exposent les données internes et celles des clients à des tiers, ce qui les rend plus vulnérables aux accès malveillants. Cette question est particulièrement préoccupante dans le cas des agrégateurs de comptes qui, à l’instar de Mint et Plaid, permettent aux consommateurs d’accéder à des services financiers modernes. Poursuivez votre lecture pour découvrir comment des acteurs malveillants utilisent ces agrégateurs pour attaquer et escroquer les banques, les compagnies d’assurance et d’autres établissements financiers.
Accélération des risques : comment les agrégateurs et les prestataires de paiement tiers facilitent le bourrage d’identifiants et la prise de contrôle de comptes
Les agrégateurs de comptes financiers peuvent apporter une réelle valeur ajoutée aux consommateurs en leur offrant une vue d’ensemble de leur situation financière sur un seul écran. Ils profitent également aux établissements financiers en fluidifiant les transactions et en créant de nouvelles sources de revenus. C’est pourquoi de nombreux établissements financiers assouplissent leurs procédures de sécurité lorsqu’ils se connectent à des agrégateurs. Toutefois, comme ils peuvent stocker les données de centaines de millions de comptes, les agrégateurs constituent des cibles de choix pour les acteurs malveillants, en particulier les plus petits d’entre eux, qui ne disposent pas toujours des mêmes moyens financiers ni du même niveau d’expertise en matière de sécurité que leurs homologues mieux établis.
L’augmentation du volume de données de comptes volées à la disposition des acteurs malveillants, quant à elle, alimente les attaques automatisées par bourrage d’identifiants, lors desquelles des acteurs malveillants tentent d’accéder à des comptes à l’aide de réseaux de robots et d’identifiants volés. Ces attaques sont devenues un problème majeur pour les établissements financiers, entraînant d’importantes violations de données et des pertes financières considérables, à tel point que le FBI a récemment adressé un avertissement officiel au secteur financier américain concernant la menace que représente le bourrage d’identifiants.
La conséquence la plus alarmante de l’essor du bourrage d’identifiants est l’augmentation des prises de contrôle de comptes (ATO), lors desquelles les attaquants prennent le contrôle des comptes auxquels ils ont réussi à accéder afin d’en détourner frauduleusement les fonds. Selon Javelin Strategy and Research, dans son étude « 2021 Identity Fraud Study », la fraude par prise de contrôle de compte a entraîné plus de 6 milliards de dollars de pertes au total en 2020.
L’étude a également calculé le coût moyen des attaques par bourrage d’identifiants et a constaté, fait alarmant, qu’il pouvait représenter plus de six fois les revenus générés par les utilisateurs actifs mensuels.
Les risques ne s’arrêtent pas là et sont malheureusement plus graves qu’on pourrait le penser. Les acteurs malveillants savent que le trafic provenant des agrégateurs est moins susceptible d’être bloqué. Ils aiment donc les utiliser comme portes dérobées pour s’introduire dans les établissements financiers. En 2019, par exemple, le géant des services financiers NCR Corp. a jugé nécessaire d’empêcher temporairement certains agrégateurs d’accéder à sa plateforme bancaire numérique après avoir détecté une vague de prises de contrôle automatisées de comptes provenant de ces agrégateurs.
En ouvrant leurs API aux agrégateurs, les établissements financiers accroissent également les risques liés aux performances de leurs systèmes, en provoquant ou en amplifiant des pics de trafic. Cela s’explique notamment par le fait que les agrégateurs comptent parmi les plus gros utilisateurs des API d’open banking, générant 20 % du trafic d’une banque type. Selon le FBI, les attaques par bourrage d’identifiants peuvent également solliciter les systèmes d’authentification des établissements financiers au point que ces établissements finissent par croire qu’ils font face à une attaque par déni de service.
En définitive, l’open banking expose les établissements financiers à des risques importants et généralisés. C’est pourquoi, chez F5, nous adoptons une approche stratégique pour les aider à gérer et à sécuriser les API d’open banking.
Aider les institutions financières à adopter l’open banking en toute sécurité
F5 est déjà un leader dans la fourniture d’une solution tout-en-un intégrant la gestion des API, des passerelles API hautes performances et des contrôles de sécurité avancés, ce qui permet de réduire la multiplication des outils et de limiter la complexité architecturale.
F5 surveille en temps réel les tentatives de connexion aux comptes des établissements financiers, ce qui permet à ces derniers de faire la distinction entre les utilisateurs réels, les bots et les systèmes automatisés, ainsi que les tentatives de fraude manuelles (menées par des humains). Nous aimons à penser que c’est l’une des raisons pour lesquelles les 15 plus grandes banques commerciales américaines utilisent toutes les solutions F5. Aujourd’hui, nous innovons pour élargir notre gamme de solutions et offrir une prise en charge encore plus complète de l’open banking.
Dans les mois à venir, F5 proposera davantage de contenus sur l’open banking, notamment sur des sujets tels que l’amélioration de la gestion du trafic provenant des agrégateurs et la protection contre les attaques visant les API.
Notre produit Aggregator Management en est un exemple. Il offre aux clients F5 de l’écosystème de l’open banking une meilleure visibilité sur le trafic des API, la détection automatique du bourrage d’identifiants et du trafic anormal, ainsi que la possibilité de limiter les droits d’accès au contenu accordés aux agrégateurs. Pour les établissements financiers, cela se traduit par un contrôle plus précis des agrégateurs, une meilleure protection des comptes clients contre la fraude, une disponibilité accrue des applications et une réduction des risques.
Restez à l’écoute ! En attendant, découvrez les risques liés à l’open banking et comment vous en prémunir :
- Regardez notre webinaire, « Tendances, défis et opportunités de l’open banking », pour en savoir plus sur l’open banking.
- Découvrez notre solution de gestion des agrégateurs.
- Découvrez un plan d’action pour vous protéger contre les attaques de bots ciblant l’open banking.
- Réalisez notre évaluation des menaces pour mesurer l’efficacité de la sécurité actuelle de vos API.
- Découvrez comment F5 peut aider les organisations à prévenir les attaques par prise de contrôle de compte sans compliquer l’expérience utilisateur.
- Découvrez comment la technologie Shape a aidé l’une des dix plus grandes banques d’Amérique du Nord à éliminer le bourrage d’identifiants.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.