Un secteur réputé solide touché à son tour
Crédit Mutuel Arkéa a subi une cyberattaque, suivie d'opérations frauduleuses. Le secteur bancaire passait jusqu'ici pour l'un des mieux armés, grâce à une réglementation parmi les plus strictes d'Europe. L'affaire oblige les établissements à regarder en face l'ampleur de leur propre vulnérabilité.
Ce n'est pas une affaire de banque. C'est une affaire de méthode.
Conformité et résilience, deux choses différentes
Depuis le 17 janvier 2025, le secteur financier applique DORA. Gestion du risque informatique, tests de résilience, encadrement des prestataires TIC, notification des incidents majeurs : le cadre est exigeant. Il élève le niveau d'ensemble. Il ne garantit pas l'absence de faille.
Un attaquant n'a besoin que d'un point d'entrée. Un compte, un accès tiers mal surveillé, une application exposée oubliée. La conformité se mesure à l'échelle d'un dispositif. L'attaque, elle, se joue sur un détail.
Quand l'intrusion devient fraude
Le second enseignement est plus opérationnel. Une intrusion qui se prolonge en opérations frauduleuses efface la frontière entre cybersécurité et lutte contre la fraude. Les données dérobées lors d'une attaque sont souvent revendues, puis exploitées pour des escroqueries ciblées. Parfois des semaines après l'incident initial.
La crise ne s'arrête donc pas à la remédiation technique. Elle continue dans les canaux de paiement. Dans le service client. Dans la confiance.
Or dans beaucoup d'organisations, ces deux mondes fonctionnent séparément. Le SOC traite l'intrusion dans ses outils. Le service fraude traite les opérations suspectes dans les siens. La corrélation se fait après coup.
Ce que les DSI et RSSI peuvent en tirer
Trois questions méritent d'être posées, y compris loin de la finance. Les équipes sécurité et antifraude partagent-elles leurs signaux en temps réel ? Les scénarios de crise intègrent-ils la phase de fraude qui suit une intrusion ? Les prestataires critiques participent-ils aux exercices ?
Concrètement, la réponse passe par des indicateurs communs, un canal d'alerte partagé et des exercices qui ne s'arrêtent pas au rétablissement du système.
Si la banque, réputée la mieux protégée, découvre ses angles morts, aucune entreprise ne peut tenir sa conformité pour une preuve de sécurité.
