Gabriel de Brosses, quel est votre point de vue sur l'attaque subie par le Crédit Mutuel ?
Gabriel de Brosses : « Il faut d'abord rappeler qu'en matière de sécurité, le Crédit Mutuel Arkéa, comme l'ensemble du secteur bancaire et financier, est extrêmement contrôlé et suivi en permanence. Les auditeurs des régulateurs - la BCE pour les grandes banques systémiques européennes et l'ACPR pour les autres établissements en France - sont quasiment en demi-pension dans les banques. C'est pourquoi, de mon point de vue, nous ne sommes pas face à une simple attaque technologique, qui a réussi à casser les défenses informatiques du Crédit Mutuel Arkéa. Cette attaque a, bien sûr, demandé une très bonne exploitation de la technologie, mais surtout beaucoup d'intelligence humaine. Autrement dit, ce n'est pas une attaque triviale mais une opération sophistiquée, très bien construite par des humains probablement outillés avec de l'intelligence artificielle. Je pense que nous avons affaire à un groupe criminel très motivé, qui a choisi une cible complexe pour voler beaucoup d'argent. Et ça a marché. »
« Une opération sophistiquée, très bien construite par des humains probablement outillés avec de l'intelligence artificielle »
Comment les attaquants ont-ils pu sortir autant d'argent - on parle de près de 130 millions d'euros - sans que cela ne déclenche immédiatement des alertes ?
Gabriel de Brosses : « Un tel volume de transactions n'est pas forcément surprenant, au quotidien, pour une banque de la taille du Crédit Mutuel Arkéa. Si le système d'alarme ne s'est pas déclenché, c'est sans doute que les opérations réalisées par les attaquants se sont présentées sous une forme techniquement légitime, pour passer sous les seuils de détection et d'alerte. »
Dans sa communication, le Crédit Mutuel Arkéa explique que « les attaquants sont passés par la plateforme d'un de [ses] prestataires ». Le recours à des prestataires extérieurs est-il une source de risques ?
Gabriel de Brosses : « Les prestataires critiques des banques sont également très contrôlés et depuis longtemps. Pour autant, cette hypothèse est tout à fait probable et si la banque communique sur ce point, c'est qu'elle a des éléments probants en la matière. »
« Les prestataires critiques des banques sont également très contrôlés et depuis longtemps »
Les attaquants ont-ils pu être aidés par des complicités internes, au sein de la banque ou du prestataire concerné ?
Gabriel de Brosses : « Dans l'état actuel de ce que l'on sait, il est impossible de se prononcer. Cela fait certainement l'objet d'une enquête. Ce qui est probable, c'est que les attaquants ont dû envisager ce mode d'action. Si quelqu'un a toutes les infos dont vous avez besoin pour parvenir à vos fins et que vous pouvez soit les lui voler, soit le convaincre de vous les remettre, éventuellement en le manipulant, c'est le genre d'action qui va être privilégiée, bien évidemment. »
Ce « cybercasse » est présenté comme une première, au moins pour le secteur bancaire. Est-ce l'émergence de l'intelligence artificielle (IA) qui a permis cette première ?
Gabriel de Brosses : « Nous vivons effectivement à une époque où l'IA impose des temps de détection et de réaction extrêmement rapides pour fermer une multitude de portes qui n'étaient pas ouvertes auparavant. Les systèmes informatiques des banques sont très complexes et interconnectés. Longtemps, cette complexité a pu être une forme de protection. Aujourd'hui, elle est totalement lisible et accessible pour une IA, capable de définir des chemins d'attaque qu'on n'imaginait pas, beaucoup plus efficaces ou totalement détournés, ou sur des points qui ne sont pas nécessairement surveillés. Voilà la nouvelle complexité. »
« L'IA impose des temps de détection et de réaction extrêmement rapides pour fermer une multitude de portes qui n'étaient pas ouvertes auparavant »
Ce type d'attaque pourrait-il se reproduire dans d'autres banques ?
Gabriel de Brosses : « Sans doute. Et il ne faut pas regarder que les banques, à mon avis. Les criminels sont aussi économes de leurs efforts, pour ne pas dire des feignants. Si ça a fonctionné, ils essaieront à nouveau et ils attaqueront partout où il existe des vulnérabilités à leur portée. »
