R a p p o rt d 'a ctiv ité s 2 0 0 7 Rapport d'activités 2007 - paperJam

CHAPITRE VIII
Les investigations de cas rapportés ont montré que le premier Trojan permet au criminel d’installer
tout autre Trojan de son choix, et ce à distance. Le criminel a donc la possibilité de tester différentes
méthodes pour s’approprier les informations qui l’intéressent. Le lecteur pourra se référer au site
Internet www.cases.lu du Ministère de l’Economie pour s’informer davantage sur le sujet de la
sécurité informatique.
Tous les acteurs concernés, y compris la CSSF, rappellent à cette occasion qu’il est de plus en plus
crucial pour les utilisateurs de services financiers par Internet de protéger leur PC par un anti-virus
de bonne qualité et très régulièrement mis à jour. L’ajout d’un pare-feu (firewall) est également
conseillé pour limiter les accès illicites depuis le réseau.
L’évolution des mécanismes de fraude impose une révision des recommandations faite par la CSSF
dans son rapport spécifique de décembre 2001, intitulé «Services financiers par Internet, Résultats du
recensement Internet au 31 décembre 2000 et recommandations portant sur les aspects prudentiels»,
et en particulier en ce qui concerne le point C. «Authentification du client/données confidentielles»
qui décrit les mécanismes d’authentification. La CSSF avait à l’époque recommandé l’utilisation d’un
«2FA», c’est-à-dire un Two factors authentication basé sur deux éléments caractéristiques : ce que
l’on sait (mot de passe) et ce que l’on a (carte à digits ou token électronique). Cette recommandation
est aujourd’hui insuffisante en raison de la nature des fraudes.
Les deux catégories de fraudes constatées actuellement sont les suivantes :
- Vol d’identité par phishing qui ne fonctionne que si le client s’est laissé abuser par un courrier
électronique lui demandant de s’identifier sur son site bancaire habituel, mais dont le lien pointe
sur une copie parfaite de ce site mis en place par le criminel. Ce genre de stratagème fonctionne
de moins en moins, les clients étant de plus en plus informés sur le sujet.
- Vol d’identité par Trojan qui «écoute» toutes les actions faites par le PC infecté du client. Dans ce
cas, la sophistication du Trojan sera variable et évolutive. Le client peut contrer ces attaques par
le recours à un anti-virus de qualité et régulièrement mis à jour.
• Le Trojan pourra se contenter de transmettre au criminel les données introduites au clavier
(keylogger) et une solution de clavier virtuel affiché à l’écran sera une réponse adéquate.
• Le Trojan sera éventuellement à même d’envoyer au criminel une copie d’écran et les
mouvements ou les clics de la souris. Le clavier virtuel devra alors contenir plusieurs caractères
par touche afin de réduire la probabilité de trouver le code.
• Le Trojan intercepte les informations avant la cryptographie SSL/TLS de la communication. Dans
ce cas, le mécanisme doit éviter que le Trojan lise les caractères transmis, qui correspondraient à
ceux de la carte à digits, permettant ainsi de reconstituer la carte. Ce sera donc une position du
clavier (variable à chaque nouvelle session) qui devra être transmise au serveur de la banque,
plutôt que le caractère de la carte. L’utilisation d’un mot de passe unique (one time password)
pour la session permettra également de contrer ce type de Trojan.
• Le Trojan intercepte les informations et s’intercale pour modifier les opérations. Dans ce cas, la
parade consistera à signer la transaction par un mécanisme inattaquable par le Trojan. L’usage
d’un one time password de session sera insuffisant puisque le criminel prend le contrôle en
cours de session.
Il n’est donc pas aisé de trouver une parade à l’évolution des Trojans, mais il est primordial d’anticiper
les potentialités de ces virus et de connaître les faiblesses et limites du système d’authentification
actuellement en place.
151