La cybermenace pour les services bancaires mobiles

Alors que les transactions en espèces appartiennent au passé, un nombre croissant d’interactions des gens avec leur banque ou leurs comptes bancaires se font via leurs smartphones. Selon une enquête Statista de 2020 auprès de cinq mille ménages dans 25 États indiens, les deux tiers des répondants ont déclaré avoir un smartphone. Parmi ceux-ci, la moitié ont déclaré envoyer et recevoir de l’argent numériquement, et environ 31 % ont déclaré avoir une application mobile pour les opérations bancaires. Près de 14 % ont déclaré utiliser leur téléphone portable à des fins bancaires. Ce nombre a encore augmenté alors que la pandémie de COVID-19 a poussé beaucoup plus de personnes à passer aux modes de paiement numériques au lieu d’effectuer des transactions en espèces. La commodité et la rapidité des paiements via les applications mobiles ont également joué un rôle clé dans l’accélération de cette tendance. Cette accélération s’accompagne d’une vulnérabilité : une menace accrue de cyberattaques sur les appareils mobiles.

Le point de vue de Kaspersky sur la menace

La société mondiale de cybersécurité Kaspersky met en garde contre une augmentation des cyberattaques sur les appareils Android et iOS dans la région Asie-Pacifique (APAC) alors que de plus en plus de personnes se tournent vers les services bancaires mobiles dans la région. Selon Suguru Ishimaru, chercheur principal sur les logiciels malveillants chez Kaspersky, les chevaux de Troie bancaires mobiles sont des logiciels malveillants dangereux qui peuvent voler de l’argent sur les comptes bancaires des utilisateurs mobiles en déguisant l’application malveillante en application légitime pour inciter les personnes peu méfiantes à installer le logiciel malveillant. (Un cheval de Troie est un code ou un logiciel malveillant qui semble légitime mais qui peut prendre le contrôle de votre appareil, y compris les smartphones.)

Lors de la conférence APAC Cyber ​​Security Weekend jeudi, M. Ishimaru a souligné deux importantes campagnes de logiciels malveillants qui opèrent dans la région et ciblent les utilisateurs de smartphones dans plusieurs pays.

Troyens lâchés

Un cheval de Troie bancaire mobile, appelé Anubis, cible les utilisateurs d’Android depuis 2017, et ses campagnes mondiales ont touché des utilisateurs en Russie, en Turquie, en Inde, en Chine, en Colombie, en France, en Allemagne, aux États-Unis, au Danemark et au Vietnam. Le logiciel malveillant reste l’un des chevaux de Troie bancaires mobiles les plus courants, un utilisateur unique de Kaspersky sur 10 étant confronté à une menace bancaire provenant du logiciel malveillant. Les auteurs infectent l’appareil via des applications malveillantes d’apparence légitime et de haut rang sur Google Play, le smishing (messages de phishing envoyés par SMS) et le logiciel malveillant BianLian, un autre cheval de Troie bancaire mobile, a noté M. Ishimaru.

Roaming Mantis est un autre malware prolifique ciblant les utilisateurs de services bancaires mobiles. Le groupe attaque les appareils Android et diffuse le code malveillant en détournant les systèmes de noms de domaine (DNS) par le biais d’exploits de smishing. L’équipe de recherche de Kaspersky suit le malware depuis 2018 ; et entre le début de 2021 et le premier semestre de 2022 seulement, ils ont détecté près d’un demi-million d’attaques dans la région APAC.

M. Ishimaru a déclaré que bien que ce groupe de menaces soit connu pour cibler les appareils Android, sa récente campagne a montré de l’intérêt pour les utilisateurs d’iOS. Le groupe cible les utilisateurs en envoyant des textes smishing avec une courte description et une page de destination URL. Si un utilisateur clique sur le lien et ouvre la page de destination, il est redirigé vers une page de phishing. Pour les utilisateurs d’iOS, la page de destination imite le site Web officiel d’Apple ; tandis que les appareils Android téléchargent un autre malware. Et une fois que l’individu saisit ses identifiants de connexion et procède à l’authentification à deux facteurs, l’attaquant apprend à connaître l’appareil de l’utilisateur et les informations de connexion.

“Il existe une notion selon laquelle iOS est un système d’exploitation plus sécurisé”, a déclaré M. Ishimaru. “Cependant, nous [users] doit tenir compte de deux choses : la sophistication croissante des techniques d’ingénierie sociale et de l’arsenal de logiciels malveillants des banquiers mobiles et la possibilité d’erreurs humaines. »

L’interopérabilité complique les problèmes

Les plates-formes de paiement mobile telles que Google Pay, PaytM, PhonePe, Square, PayPal et Alipay ont bénéficié de l’évolution de l’adoption des services bancaires mobiles par les consommateurs.

En conséquence, ils ont également changé de manière permanente le jeu des paiements à leur avantage. Mais ces plateformes fonctionnent dans un monde de paiement en boucle fermée où un utilisateur de Google Pay peut envoyer de l’argent sur un autre compte bancaire via uniquement la plateforme de paiement du géant de la recherche. Ceci est similaire au fonctionnement de Visa et Mastercard, car ils permettent aux transactions de paiement de se produire uniquement au sein de leurs propres réseaux, et non entre eux.

Ce modèle commercial pourrait changer “en partie à cause des régulateurs qui préfèrent les plateformes ouvertes et standardisées qui abaissent les barrières à l’entrée”, selon un rapport d’Accenture sur les tendances bancaires en 2022.

Certains pays obligent déjà les fournisseurs de plateformes de paiement à modifier leur modèle économique. La Chine, par exemple, a ordonné à ses sociétés Internet d’offrir les services de liaison et de paiement de leur entreprise rivale sur leurs plateformes. En Inde, une nouvelle loi exige que toutes les plateformes de paiement mobile sous licence soient capables d’assurer l’interopérabilité entre les portefeuilles. La pression des régulateurs pour rendre les plates-formes de paiement interopérables intervient à un moment où la demande d’experts techniques est une préoccupation majeure dans le secteur bancaire.

La pénurie d’experts en technologie, en ingénierie, en données et en sécurité dont les banques ont besoin pour réaliser leurs aspirations numériques tend à cacher un problème beaucoup plus large : l’attrait des banques en tant qu’employeurs de premier choix pour toutes sortes de talents s’est estompé, ajoute le rapport d’Accenture. Le manque de cybersécurité adéquate et la pénurie de talents dans le secteur bancaire pourraient potentiellement conduire à une nouvelle augmentation des cyberattaques sur les appareils des utilisateurs. Et jusqu’à ce que cette inadéquation soit corrigée, il est utile d’être prudent et extrêmement prudent lorsque vous utilisez un appareil mobile pour effectuer des paiements. Outre les pratiques d’hygiène numérique habituelles telles que la mise à jour du téléphone et le redémarrage régulier, les consommateurs peuvent s’assurer qu’ils n’utilisent leur téléphone pour effectuer des opérations bancaires que lorsque l’appareil est connecté à un VPN sécurisé. Les utilisateurs d’iOS 16 peuvent activer le mode de verrouillage car il limite les fonctionnalités de l’appareil et le protège de tout logiciel malveillant potentiel.