R a p p o rt d 'a ctiv ité s 2 0 0 7 Rapport d'activités 2007 - paperJam

La surveillance des systEmes d’informations
Bien que la mobilité constitue a priori, en l’état actuel des menaces cybercriminelles, une prise de
risque supplémentaire, elle apporte néanmoins un premier élément de résilience en cas de crise,
comme une pandémie ou d’éventuels problèmes d’accès au lieu de travail.
2.2. Délocalisation simultanée des systèmes comptables, de paiement et de réconciliation
Dans la mesure où la réglementation européenne impose, pour assurer la traçabilité d’un virement,
la révélation de l’identité du donneur d’ordre dans le cadre de la lutte contre le blanchiment et le
financement du terrorisme, les professionnels concernés, et notamment les banques, ont dû informer
leurs clients de cette situation. En effet, l’information au client est nécessaire afin qu’il obtienne
un avis éclairé sur les conséquences d’une opération de virement et que ces virements soient alors
considérés comme comportant un mandat implicite de fournir les informations d’identité tombant
sous le secret professionnel, dans le but de permettre la finalité même de l’opération, c’est-à-dire le
transfert de fonds ou autres valeurs.
De ce fait, un certain nombre de banques appartenant à des groupes internationaux ont optimisé
les systèmes de paiement et délocalisé leur accès à SWIFT auprès de leur maison mère ou auprès
d’une entité spécialisée du groupe.
La CSSF rappelle que cette délocalisation est possible, bien que des données confidentielles puissent y
transiter, dans la mesure où les donneurs d’ordres ont connaissance du fait que le transfert comprend
ce mandat implicite. Néanmoins, le professionnel financier qui procèdera à une délocalisation de
ses systèmes de paiement ou de ses points d’accès à un système de paiement, devra être prudent
quant aux conséquences d’une éventuelle fuite d’informations qui pourrait avoir lieu en dehors du
cadre strict du transfert, puisque la finalité du transfert aura été atteinte et que la fuite aura lieu a
posteriori, en raison d’un choix inadapté de l’externalisation. Sur ce point, la CSSF rappelle que le
stockage, voire l’archivage des opérations de transfert ne devrait pas se faire à l’étranger.
A ce risque vient s’ajouter celui d’une traçabilité accrue de l’ensemble des opérations d’un client
devenu identifiable à la suite d’un virement, lorsque le système de paiement est délocalisé dans
la même juridiction que le système principal d’informations ou de réconciliation des opérations.
Il devient alors potentiellement possible de reconstruire l’historique des clients et de les rendre
totalement transparents aux tiers. Une telle situation est incompatible avec la prudence qu’exige
le secret professionnel et la CSSF ne peut dès lors soutenir d’externalisation qui combine à la fois
l’accès délocalisé aux systèmes de paiement et au système principal d’informations du professionnel
financier.
2.3. Etat des vulnérabilités constatées dans les services financiers par Internet
L’année 2007 a été marquée par l’apparition d’une vague de tentatives de fraude par des criminels
qui essaient de s’approprier les données d’authentification des clients afin de passer des opérations
en leur nom.
Alors que les années précédentes étaient caractérisées par des vagues de phishing, c’est-à-dire de
courriers électroniques trompeurs qui incitent les clients des banques à se connecter sur un site
illicite afin d’y entrer leurs données d’authentification, l’année 2007 a vu l’apparition de chevaux
de Troie, également appelés «Trojans», spécialisés dans le vol d’informations. Un Trojan est un
programme créé par le criminel dans le but de prendre le contrôle du PC infecté. L’infection est
obtenue en exploitant des vulnérabilités du système d’exploitation du PC ou de certaines applications
courantes. Une méthode courante d’infection consiste à pirater un site Internet connu et à y injecter
un lien à l’aide d’un IFRAME, de telle sorte que chaque utilisateur qui surfe sur ce site et qui est
insuffisamment protégé par un anti-virus se retrouve sur le site pointé par le lien et télécharge le
premier Trojan.
150