Les 6,3 milliards de dollars dérobés par des pirates chez Binance, la plus grande plateforme d'échange de cryptomonnaies au monde, le 29 octobre étaient, dans un premier temps, faciles à présenter comme un problème réservé à la crypto. Moins d'une semaine plus tard, cette lecture s'est effondrée. Crédit Mutuel Arkéa, une banque française, a révélé que des attaquants s'étaient emparés d'environ 100 millions d'euros (112 millions de dollars) au sein de ses systèmes.

Ces deux cyberattaques successives soulignent que les piratages informatiques menacent désormais les banques traditionnelles, et pas seulement les plateformes d'actifs numériques. Dans les deux cas, le point d'entrée des attaquants a été la confiance humaine ou un tiers, plutôt qu'une intrusion directe dans les systèmes centraux.

« Les menaces pesant sur les banques sont écrasantes »

Les acteurs du secteur estiment que cet épisode en dit autant sur la finance classique que sur la crypto. « Si une entreprise comme Binance peut perdre des milliards de dollars, les menaces pesant sur les banques sont écrasantes », a déclaré Ryan Kirkley, cofondateur et CEO de Global Settlement, qui développe une infrastructure blockchain pour les banques. S'exprimant au Digital Asset Summit de Londres le 10 novembre, il a ajouté : « Il est impossible pour une banque ordinaire de rester sécurisée. »

Le fondateur et ancien PDG de Binance, Changpeng Zhao, est allé plus loin. « Si une plateforme d'échange crypto peut être piratée, les banques sont dans une situation encore pire, à mon avis », a-t-il confié à CoinDesk dans les jours qui ont suivi le braquage.

Comment la cyberattaque contre Binance s'est produite

Les attaquants à l'origine du vol chez Binance ont combiné ingénierie sociale et logiciels malveillants pour prendre le contrôle de portefeuilles crypto et les vider de leurs fonds. Dans le cadre d'une fausse campagne de recrutement, ils ont organisé une série d'entretiens d'embauche fictifs destinés à amener un ingénieur de Binance à télécharger sans le savoir un malware, offrant ainsi aux pirates une porte d'entrée dans les systèmes internes de l'entreprise.

Les dégâts ont depuis été partiellement contenus. Le FBI a saisi 1,2 milliard de dollars de la cryptomonnaie volée, et Binance a confirmé avoir « reconstitué » environ 98 % du montant total impacté. Cela dit, cette saisie couvre moins d'un cinquième du butin initial, laissant la majorité des actifs volés non récupérés.

« Pas automatiquement plus sûres »

Selon Katerina Mitrokotsa, professeure de cybersécurité à l'Université de Saint-Gall en Suisse, les failles exploitées chez Binance ne sont pas propres à la crypto : les mêmes vulnérabilités existent au sein des institutions financières traditionnelles. « Les banques ne sont pas automatiquement plus sûres simplement parce qu'elles sont régulées », a-t-elle déclaré.

Les régulateurs des deux côtés de l'Atlantique suivent la situation de près. Aux États-Unis, la Réserve fédérale et l'Office of the Comptroller of the Currency ont commencé à appeler les banques dès le 2 novembre pour s'enquérir d'activités inhabituelles et de perturbations de services, selon Reuters. En juillet, la Banque centrale européenne a écrit aux directeurs généraux de 110 banques pour les avertir des risques liés aux modèles d'IA de frontière, qui rendent, selon elle, « plus rapide et moins coûteuse l'identification et l'exploitation des vulnérabilités des systèmes informatiques ».

Les atouts des banques

Les banques traditionnelles disposent toutefois de certains avantages par rapport aux plateformes crypto, selon Vivien Mura, directeur technique d'Orange Cyberdefense, la branche cybersécurité du groupe français de télécommunications Orange. Le règlement européen sur la résilience opérationnelle numérique (DORA), en vigueur depuis janvier 2025, impose aux banques de tester leurs défenses et de signaler les incidents cyber. « Elles bénéficient également de mécanismes que les plateformes crypto n'ont pas, comme la possibilité de bloquer ou d'annuler des paiements et une coopération étroite avec les superviseurs et les forces de l'ordre », a expliqué Mura.

Il a toutefois reconnu que ces avantages ont leurs limites. « Les banques sont mieux placées pour absorber une attaque majeure et s'en remettre, mais elles ne sont pas nécessairement meilleures pour l'empêcher. »

Prestataires et systèmes obsolètes

Mitrokotsa identifie deux points faibles persistants : la longue chaîne de prestataires externes dont dépendent les banques — un risque que DORA cherche à traiter en plaçant les fournisseurs les plus critiques sous supervision directe de l'UE — et le vieillissement des technologies utilisées par de nombreuses banques.

Les deux éléments étaient en jeu dans l'affaire Crédit Mutuel Arkéa. Les pirates y ont obtenu un accès via un prestataire de services non nommé et utilisé le compte de la banque elle-même pour effectuer des transactions. L'établissement a indiqué à ses clients que l'incident n'avait eu « aucun impact » sur leurs actifs.

« Les prestataires compromis, les collaborateurs disposant de droits d'accès privilégiés, les fausses sollicitations d'embauche et le détournement d'outils internes sont des risques identifiés depuis des années et ne sont propres à aucun secteur en particulier », a déclaré à Fortune Lee Elliott, directeur de la résilience et de la cybersécurité de UK Finance, l'organisation britannique du secteur bancaire. Il a ajouté que les banques bénéficient aussi de la pratique du secteur consistant à partager les renseignements sur les menaces via des initiatives telles que le Financial Sector Cyber Collaboration Centre.

Quand un réfrigérateur devient une porte d'entrée

Les attaquants explorent déjà le patrimoine informatique vieillissant de l'Europe au-delà du secteur bancaire. Depuis octobre, des pirates ont détourné des systèmes de réfrigération connectés à Internet dans des supermarchés d'une dizaine de pays, ainsi que dans trois banques du sang françaises. Danfoss, fabricant des contrôleurs électroniques de température, a indiqué que la plupart des unités touchées étaient des modèles anciens qui ne reçoivent plus de mises à jour de sécurité.

« Un réfrigérateur ne ressemble pas à un risque de sécurité, et c'est précisément pour cela que les attaquants l'apprécient », a expliqué Mitrokotsa. « Les banques ont le même problème. Beaucoup font encore fonctionner des systèmes centraux vieux de plusieurs décennies, à côté de serveurs anciens, de systèmes de contrôle des bâtiments et d'accès distants de prestataires. »

Son conseil : que les banques commencent par recenser chaque appareil connecté à leurs réseaux, puis s'assurent que ceux qui n'ont pas besoin d'accéder aux systèmes centraux en soient coupés.

Les banques pourraient même apprendre de la crypto, a-t-elle ajouté. « Certaines plateformes d'échange répartissent le contrôle d'une clé entre plusieurs parties, de sorte qu'aucun ordinateur seul ne peut approuver un transfert, un peu comme un coffre qui exige deux clés tournées simultanément. Un attaquant qui compromet un ordinateur portable n'obtient qu'une partie de ce dont il a besoin. »

Les agents d'IA ajoutent une nouvelle couche de risque

Les agents d'IA personnels représentent un autre défi émergent pour les institutions financières. Les consommateurs recourent de plus en plus à des assistants numériques — tels que Muse de Meta — pour effectuer des achats ou payer des factures en leur nom.

Certaines banques ont choisi de fermer la porte. Citigroup et Bank of America ont restreint l'accès des agents d'IA aux comptes clients, et le PDG de JPMorgan Chase, Jamie Dimon, a exhorté les institutions financières à ne pas autoriser les agents d'IA autonomes à traiter les paiements bancaires, en mettant en garde contre leur risque « perfide ». Au Royaume-Uni, HSBC, Nationwide, NatWest, Barclays et Lloyds ont également bloqué l'accès des agents d'IA à leurs comptes.

D'autres banques européennes empruntent une voie médiane plus prudente. Santander et ING laissent les agents effectuer des paiements, mais uniquement dans les limites fixées à l'avance par le client ou après validation de chaque achat par le client.

Avec la multiplication des cybermenaces — et l'essentiel des 6,3 milliards de dollars volés chez Binance toujours introuvable —, la cyberattaque contre Crédit Mutuel Arkéa ne sera vraisemblablement pas la dernière visant le secteur financier européen.

Cet article a été publié à l'origine par Fortune : fortune.com