Les banques d’ici visées par des cyberattaques

Huit cas en trois mois

Selon les documents obtenus grâce à la Loi sur l’accès à l’information, les institutions financières du Canada ont été attaquées à huit reprises au cours du premier trimestre de 2013 – période sur laquelle se concentre l’information obtenue.

C’est ce que relève le Centre canadien de réponse aux incidents cybernétiques, l’agence fédérale qui veille à ce que les nombreux services Internet utilisés chaque jour par les Canadiens soient sécuritaires.

Aucun nom de banque – ni d’attaquants potentiels, de groupes, d’organisations ou d’États – ne figure toutefois dans les documents du gouvernement fédéral.

Ce niveau d’intrusion est comparable au nombre de cas recensés au sein du gouvernement fédéral (huit cas) et dans le secteur manufacturier (11 cas) pendant la même période.

Le secteur le plus visé est de loin celui des technologies de l’information et des communications (TIC), avec 42 644 cas d’intrusion, suivi de celui de l’éducation (644 cas) et des gouvernements provinciaux (233 cas).

Même si le secteur bancaire canadien est relativement peu touché par rapport à celui des TIC, les autorités prennent au sérieux la menace qui plane sur les institutions financières du pays.

Sur ses gardes

Par exemple, le 29 avril 2013 à Toronto, le ministère de la Sécurité publique du Canada a organisé dans le plus grand secret une rencontre sur la cybersécurité du système bancaire, à laquelle participaient notamment la Banque du Canada et le Bureau du surintendant des institutions financières.

Jointe par Finance et Investissement qui souhaitait en savoir davantage sur les menaces qui la concernent, la Banque du Canada a indiqué qu’elle ne divulgue pas les détails qui concernent sa sécurité informatique.

Elle ne divulgue pas non plus les menaces qu’elle a identifiées ni les tentatives d’intrusion auxquelles elle aurait pu faire face.

Cela dit, son porte-parole Alexandre Deslongchamps précise dans un courriel que la Banque du Canada présume qu’elle peut être en tout temps la cible d’une attaque informatique.

«La Banque est constamment sur ses gardes quant à la possibilité d’une intrusion et surveille la situation de près», souligne-t-il.

«La Banque est dotée d’un plan de continuité des opérations qui lui permet de réagir à tout un éventail de menaces informatiques et de circonstances imprévues», ajoute Alexandre Deslongchamps.

60 G$ pour la sécurité

Le sujet est très sensible dans l’industrie.

Les institutions bancaires avec lesquelles nous avons communiqué – le Mouvement Desjardins, la Banque Nationale, la Banque Laurentienne et la Banque Royale – ont d’ailleurs toutes décliné nos demandes d’entrevue.

Pour sa part, l’Association des banquiers canadiens (ABC) affirme que la sécurité des clients est une priorité pour l’industrie, et que les systèmes informatiques sont sûrs.

«Ils sont si sécuritaires que les criminels tentent en grande majorité d’obtenir les renseignements confidentiels directement des consommateurs par le biais d’escroqueries», souligne la porte-parole Biliana Necheva.

Les six grandes banques canadiennes ont investi 60,4 G$ pour implanter des technologies plus sûres de 2002 à 2012, selon l’ABC. Cela représente un investissement moyen de 1 G$ par an pour chacune des six institutions financières.

L’ABC fait valoir qu’elle a aussi créé le Bureau de prévention et d’enquête du crime bancaire.

Ce dernier vise à protéger les clients des banques contre le crime financier, y compris les fraudes par carte de crédit et de débit, les vols de banque qualifiés, la falsification, le crime cybernétique, le blanchiment de fonds et l’utilisation de faux documents.

Mieux identifier l’ennemi

Malgré leurs efforts, les institutions financières restent vulnérables à des attaques précises et bien orchestrées, disent les spécialistes en sécurité.

Guillaume Clément, associé principal chez Egyde, une firme-conseil spécialisée dans la sécurité de l’information, juge que les banques canadiennes doivent pousser encore plus loin leurs stratégies pour se protéger des cyberattaques.

«Au cours des prochaines années, elles vont devoir reconnaître un peu mieux les menaces précises auxquelles elles font face, et déterminer exactement les cibles de ces menaces», affirme-t-il

Contrairement à ce qu’on pourrait croire, les pirates informatiques ne recherchent pas nécessairement des numéros de cartes de crédit par exemple, ajoute Guillaume Clément.

Les attaquants peuvent chercher les dossiers qui concernent les projets d’acquisition des grandes entreprises clientes d’une banque, une activité liée à de l’espionnage industriel, explique ce spécialiste.

«Les banques mettent beaucoup l’accent sur la protection des renseignements personnels, et c’est normal ; il faut le faire. Mais ce ne sont pas nécessairement les premières données ciblées ou qui font l’objet d’attaques sophistiquées», explique Guillaume Clément.

Quatre types de menaces

Les banques canadiennes font face à quatre principaux types de menaces en matière de cyberattaques, indique Michel Juneau-Katsuya, un ancien agent du Service canadien du renseignement de sécurité (SCRS).

Ces quatre menaces sont le crime organisé (pour faire de l’argent), les militants politiques (pour s’attaquer au pouvoir en place), les employés (pour se venger ou pour faire de l’argent) et les États (notamment pour trouver de l’information stratégique qui peut servir à leurs banques ou à de grandes entreprises nationales).

Dans l’industrie, certains analystes n’écartent pas non plus la possibilité que les banques canadiennes s’espionnent entre elles, mais aucune preuve n’a été présentée à ce jour.

«Je me suis demandé si une telle pratique existait. Mais il n’y a pas de preuve», remarque Michel Juneau-Katsuya, qui dirige maintenant The Northgate Group, une firme spécialisée dans les analyses de risques pour les entreprises.

Les États sont pour leur part de plus en plus actifs dans l’espionnage économique, souligne-t-il.

«D’après le SCRS, environ 115 pays auraient pratiqué l’espionnage économique à un moment ou un autre dans le monde, et ils pourraient cibler le Canada», précise l’expert.

David Harris, avocat et directeur du programme du renseignement chez Insignis Strategic Research, croit que les banques ont tendance à sous-estimer le risque de cyberattaques pouvant être perpétrées par leurs employés d’origine étrangère qui travaillent au Canada.

Bien sûr, presque tous les nouveaux arrivants sont honnêtes et loyaux, mais le fait est qu’il peut y avoir des espions parmi eux, remarque-t-il. Et certains immigrants, dont la famille est restée à l’étranger peuvent subir des pressions, voire être contraints par la menace, pour espionner pour le compte d’un gouvernement étranger.

«Le système bancaire peut être pénétré dans de multiples dimensions», insiste-t-il.

C’est pourquoi, selon lui, les banques canadiennes doivent être sur leurs gardes et tenter d’anticiper les menaces d’attaques sophistiquées venant de l’extérieur comme de l’intérieur.

«Elles doivent constamment tester leurs défenses afin de déceler les failles», précise David Harris.