Fortuneo Piratage de compte chez Fortuneo

[Robinson]

Mon compte Fortuneo a été récemment piraté.
Des pirates ont pu se connecter à mon compte et créer un bénéficiaire pour virement.
Heureusement j'ai réagi très rapidement et le pire a été évité.
Il n'en reste pas moins que le doute s'installe : les pirates ont pu allègrement se connecter et passer au travers de la double sécurité, je n'ai reçu aucun message ni SMS ni notification.
Interrogée, la banque refuse de me donner des détails sur ce qu'il s'est exactement passé ce qui aggrave les doutes sur la sécurité de la banque. J'ai posé une plainte à la CNIL mais je n'y crois pas.
Est ce que c'est un cas isolé ou faut il s'alarmer ?

 

[TOM2]

Moi j’ ai quasi rien sur mon compte courant fortuneo ( a peine 200 euros), j’ y ai mon Pea, mon CTO et une petite AV, mais ca doit pas être si simple de siphonner ces supports .

 

[MDacier]

Mon compte Fortuneo a été récemment piraté.
Des pirates ont pu se connecter à mon compte et créer un bénéficiaire pour virement.
Heureusement j'ai réagi très rapidement et le pire a été évité.

Comment t'en es tu rendu compte ?

 

[CHARDON]

Il serait étonnant que la Direction Trésorerie d'ARKEA ne dispose d'un système d'alerte sur les flux sortants avec alerte vers un Directeur en astreinte le WE.
Dans tous les SI que j'ai connus, on a mis en place des traceurs de "fonctionnement anormal" :
. transactions aveugles pour vérifier les temps de réponse , les I/O
. analyse des temps d'exécutions des batchs
. analyse des compteurs d'opérations dans les batchs
. mesures quotidiennes des temps d'accès aux données
. mesures par écart à l'historique et à la moyenne des flux

Ca faisait partie du sous-système de pilotage

 

[TOM2]

j'ai trouvé cela :
3. En cas de fraude ou de virement non autorisé

• • Si un virement a été effectué à votre insu ou en raison d'une fraude, vous disposez d'un délai de 13 mois après la date du débit pour contester l'opération auprès de votre banque.
  • Vous pouvez contacter le service client de Fortuneo au 02 98 00 29 00 ou au 0800 800 040 (ou via votre espace client). [1 [lien réservé abonné], 2 [lien réservé abonné]]

 

[Anzenia]

Moi j’ ai quasi rien sur mon compte courant fortuneo ( a peine 200 euros), j’ y ai mon Pea, mon CTO et une petite AV, mais ca doit pas être si simple de siphonner ces supports .

Effectivement, les actions sont un droit de propriété et sont détenus chez le dépositaire. Pour l'assurance-vie il faut renvoyer des papiers signés pour effectuer des rachats, c'est assez dissuasif pour les fraudeurs.

 

[D-Jack]

Personnellement, je vote pour un durcissement sévère des règles de contrôle des cryptos:

1- Fin de l'anonymat là où il existe encore
2- Délai d’exécution de tout virement vers un des acteurs du secteur (genre "Binance"), du nombre de jours nécessaire aux contrôles.
...
Ces cryptos sont une aubaine pour tous les blanchisseurs ...

Et si on me rétorque que cela tuerait simplement le marché des cryptos .... ce serait une excellente nouvelle !

 

[zeldus]

Il serait étonnant que la Direction Trésorerie d'ARKEA ne dispose d'un système d'alerte sur les flux sortants avec alerte vers un Directeur en astreinte le WE.
Dans tous les SI que j'ai connus, on a mis en place des traceurs de "fonctionnement anormal" :
. transactions aveugles pour vérifier les temps de réponse , les I/O
. analyse des temps d'exécutions des batchs
. analyse des compteurs d'opérations dans les batchs
. mesures quotidiennes des temps d'accès aux données
. mesures par écart à l'historique et à la moyenne des flux

Ca faisait partie du sous-système de pilotage

La plupart des piratages d’ampleur se font la nuit durant les week ends, et ça n’a pas loupé pour le cas de CM Arkea. Reste à voir ce que le directeur d’astreinte a comme compétence informatique pour intervenir en pleine nuit de samedi a dimanche.

Une astreinte à domicile ne doit pas permettre les mêmes interventions techniques qu’une équipe du SI sur place dans les locaux de la banque.

Les opérateurs telecoms, les tours de contrôles dans l’aérien, ENEDIS ou les militaires par exemple ont des centres de supervision informatiques H24 7J / 7 avec des équipes techniques sur place. Peut être qu il va falloir mettre en place ce genre d’organisation pour les banques, qui évidemment à un coût important mais la sécurité informatique n’est plus une option.

 

[CHARDON]

Quand un responsable est d'astreinte ce n'est pas pour improviser , c'est pour déclencher un plan élaboré à l'avance. Sur un site informatique, il y a toujours des opérateurs prêts à appliquer des plans prédéfinis : basculement vers un site de secours, isolation partielle ou totale du site, ...

 

[Jeune_padawan]

Personnellement, je vote pour un durcissement sévère des règles de contrôle des cryptos:

1- Fin de l'anonymat là où il existe encore
2- Délai d’exécution de tout virement vers un des acteurs du secteur (genre "Binance"), du nombre de jours nécessaire aux contrôles.

LOL !

Comment veux tu mettre fin à l'anonymat d'un protocole décentralisé ? Pour le reste c'est les mêmes resosrts que la finance traditionnelle : prête-nom, pays peu coopératif, banque véreuse, ...

Quand aux virement c'est le standard SEPA pour l'UE donc on doit respecter les normes et délais.

 

[D-Jack]

LOL !

Comment veux tu mettre fin à l'anonymat d'un protocole décentralisé ? Pour le reste c'est les mêmes resosrts que la finance traditionnelle : prête-nom, pays peu coopératif, banque véreuse, ...

Quand aux virement c'est le standard SEPA pour l'UE donc on doit respecter les normes et délais.

Quand la règle ne protège pas .... on la modifie en conséquence !

 

[Jeune_padawan]

Quand la règle ne protège pas .... on la modifie en conséquence !

ReLOL. Binance passe par des banques type JP Morgan donc le virement se fait entre la banque du client et JP Morgan. Comment introduire dans le droit européen à 27 une règle d’exception sachant que les plateformes peuvent changer de banque et passer par d'autres intermédiaire légalement. Et je parle des plus grosses là.

 

[MDacier]

Si on a fréquemment droit à des "braquages" type Binance ou Arkéa ces 2 dernieres semaines, il va y avoir des réactions.
A moins que les établissements financiers soient prêts a voir exploser leurs primes d'assurance ...

 

[D-Jack]

ReLOL. Binance passe par des banques type JP Morgan donc le virement se fait entre la banque du client et JP Morgan. Comment introduire dans le droit européen à 27 une règle d’exception sachant que les plateformes peuvent changer de banque et passer par d'autres intermédiaire légalement. Et je parle des plus grosses là.

Par exemple remontant la chaîne et en commençant par rendre la banque ayant émis la demande de virement responsable ... elle n'est pas anonyme

 

[Jeune_padawan]

Si on a fréquemment droit à des "braquages" type Binance ou Arkéa, il va y avoir des réactions.

Quelle réaction ?
Binance, Free, DGFiP -> Attaque par ingénierie sociale. Le maillon faible des système c'est toujours l'humain. Le seul moyen de ralentir c'est faire de la redondance et des garde-fous.
Exemple : un agent des impôts ne peut se connecter que par session de 30 minutes avec authentification à 2 facteurs via un dispositif non branché en permanence au PC. En parallèle formation des personnel et tu scudes les réfractaires.

 

[Jeune_padawan]

Par exemple remontant la chaîne et en commençant par rendre la banque ayant émis la demande de virement responsable ... elle n'est pas anonyme

Ce qui dans le cas du CM Arkea n'aurait rien changé. Et quid de la liberté de disposer de ses capitaux ? Pourquoi je devrais attendre 48h de plus si j'ai légitimement envie de faire passer 5k€ du CA vers Coinbase ? Tu entraves ma liberté là.

Ben oui car les gars ont sorti les capitaux par petit virement mais nombreux vers différentes comptes sur les plateformes.

 

[D-Jack]

Ce qui dans le cas du CM Arkea n'aurait rien changer. Et quid de la liberté de disposer de ses capitaux ? Pourquoi je devrais attendre 48h de plus si j'ai légitimement envie de faire passer 5k€ du CA vers Coinbase ? Tu entraves ma liberté là.

Tout à fait ... mais le CA doit être en mesure de valider ta demande puisque tu es leur client, qu'ils ont vue sur tes comptes et qu'ils ont fait "due diligence" en vérifiant que tu étais bien à l'origine de la demande

 

[Jeune_padawan]

Tout à fait ... mais le CA doit être en mesure de valider ta demande puisque tu es leur client, qu'ils ont vue sur tes comptes et qu'ils ont fait "due diligence" en vérifiant que tu étais bien à l'origine de la demande

Bien sûr. Dans le cadre du CM Arkea on parle des fonds propres de la banque (son "propre compte") donc les pirates avaient potentiellement accès aux systèmes pour s'auto autoriser les virements.
Ta modification des règles n'aurait rien changé.

La seule solution c'est redondance et neutralisation du risque ingénierie sociale.

 

[MDacier]

Quelle réaction ?
Binance, Free, DGFiP -> Attaque par ingénierie sociale. Le maillon faible des système c'est toujours l'humain. Le seul moyen de ralentir c'est faire de la redondance et des garde-fous.
Exemple : un agent des impôts ne peut se connecter que par session de 30 minutes avec authentification à 2 facteurs via un dispositif non branché en permanence au PC. En parallèle formation des personnel et tu scudes les réfractaires.

D'accord a 100%. C'est dingue que ces règles de base en hygiène informatique ne soient pas la norme dans les grosses entreprises et administrations, alors qu'elles sont appliqués dans de bien plus petites structures !

 

[Jeune_padawan]

C'est dingue que ces règles de base en hygiène informatique ne soient pas la norme dans les grosses entreprises et administrations, alors qu'elles sont appliqués dans de bien plus petites structures !

J'ai connu les tests de faux email de pishing (venant du service IT) envoyé 1 fois/mois. Tu avais un message de remerciement si tu le signalais comme dangereux et ceux qui cliquaient régulièrement se faisaient remonter les bretelles avec sucrage de prime.

Perso dès que je peux c'est double authentification, c'est pas infaillible mais ça ralentit. Et si j'ai un doute sur un email ou un SMS j’appelle le service concerné via numéro officiel et non celui communiqué.

 

[freddo89]

J'ai connu les tests de faux email de pishing (venant du service IT) envoyé 1 fois/mois. Tu avais un message de remerciement si tu le signaler comme dangereux et ceux qui cliquer régulièrement se faisait remonter les bretelles avec sucrage de prime.

Perso dès que je peux c'est double authentification, c'est pas infaillible mais ça ralentit. Et si j'ai un doute sur un email ou un SMS j’appelle le service concerné via numéro officiel et non celui communiqué.

J'ai eu aussi. Depuis à chaque fois que la DSI m'envoie un mail, ça passe en spam
Elle a essayé de me piéger, si elle veut me parler, elle vient me voir