Banques exposées et clients inquiets

La récente arrestation à Marrakech d’un ressortissant bulgare soupçonné de piratage de comptes bancaires remet sur le devant de la scène ce pan de la cybercriminalité ainsi que la relative fragilité des systèmes de sécurité bancaire. Une thèse corroborée par l’alerte lancée il y a un peu plus d’une semaine par Bank Al-Maghrib. Relayée par ‘’Média 24’’, l’alerte en question avait pour objet de prévenir toutes les banques que des détournements de fonds sur des comptes bancaires ont eu lieu via application mobile.
Des faits qui confirment que la cybercriminalité en général et la fraude liée au système bancaire informatique en particulier, sont des fléaux beaucoup plus fréquents qu’il n’y paraît. Pour Libé, c’est l’occasion de plancher sur le sujet et d’éclairer plusieurs zones d’ombre, avec la précieuse aide du Professeur Youssef Bentaleb, directeur de la Campagne nationale de lutte contre la cybercriminalité (CNLCC) et président du Centre marocain de recherches polytechniques et d’innovation (CMRPI). 
Décrite comme «facettes classiques de la cybercriminalité» par le Professeur Youssef Bentaleb, la fraude à la carte bancaire met en scène un escroc qui exploite les failles de sécurité des systèmes d’information d’une banque. Mais pas que, car elle peut également être alimentée par un manque de précaution de la part des usagers. En cause, leur  méconnaissance des règles de base de sécurité. Ainsi, pour schématiser, à en croire notre interlocuteur, « la fraude à la carte bancaire repose sur deux vecteurs d’attaque fondamentaux, soit via des techniques de hackers sophistiquées en attaquant les serveurs de la banque, soit par l’obtention des données personnelles et confidentielles tels le numéro de la carte et le code de vérification».
Dans le cas dudit ressortissant bulgare, l’enquête a mis à nu «des techniques spéciales pour copier les données bancaires des utilisateurs des guichets automatiques bancaires (GAB)», d’après la Direction générale de la sûreté nationale (DGSN). Précisant par la même occasion «qu'il transférait, par la suite, ces données dans des cartes bancaires vierges afin de les utiliser dans le retrait de sommes d'argent depuis les GAB marocains». 
A vrai dire, si ces techniques paraîssent sophistiquées, elles ne sont pas moins fréquentes « Parmi les techniques les plus répandues, explique le Professeur Youssef Bentaleb, il y a celles qui reposent sur le vol des données en copiant le numéro gravé sur la carte, lors des achats dans les magasins ou les grandes surfaces, ou encore lors des achats en ligne lorsque le client fait confiance à des sites non sécurisés en renseignant ses données bancaires dans des sites frauduleux». Et ce n’est pas tout. Le «Pishing» ou «hameçonnage », est lui aussi très prisé. Il consiste en l’envoi d’email à la victime en se faisant passer pour sa banque «en lui demandant pour une raison ou une autre de renseigner ses données  bancaires y compris les mots de passe ou le code d’identification, et ce  à travers des liens renvoyant vers un faux site, qui a généralement la même allure que celle de la banque. L’escroc, une fois qu’il a obtenu les données de la victime, passe à l’action en effectuant des paiements à partir de son compte», souligne notre interlocuteur tout en précisant que ces techniques ne sont pas figées dans le temps. Elles évoluent parallèlement à l’évolution des nouveaux modes de paiement à la carte. Preuve en sont les détournements de fonds sur des comptes bancaires qui ont eu lieu via application mobile, pourtant censée faciliter la vie des citoyens à travers notamment le e-commerce et le paiement en ligne.
Le point en commun entre ses techniques est l’inattention des utilisateurs. Et là se pose la question de la prévention. Pour le directeur de la Campagne nationale de lutte contre la cybercriminalité «la vigilance et la sensibilisation restent la clé pour faire face à cette criminalité numérique. Lors de ses achats en ligne, le client doit être très vigilant, en s’assurant que les sites consultés sont sécurisés et que leurs barres d’adresse débutent par la syntaxe «https» avec à côté un cadenas en couleur verte». Et comme il estime que la responsabilité de la sécurité des cartes bancaires est partagée entre le client, la banque et les autorités compétentes, il ajoute que «la banque est elle aussi censée former et sensibiliser ses clients sur les règles basiques de sécurité que la plupart d’entre eux ignorent. Mais aussi assurer la formation continue de son personnel pour faire face aux nouvelles techniques d’attaque des systèmes d’information, dont les attaques via applications mobiles » Idem pour les autorités compétentes. Le professeur Youssef Bentaleb espère qu’elles poursuivront leurs efforts de lutte et de prévention au même titre que la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP).
En partant du principe que dans la cybersécurité, le risque zéro n’existe pas, la synergie des efforts des utilisateurs, des banques et des autorités compétentes ne suffira pas à éradiquer ce fléau mais au moins elle l’atténuera. D’ailleurs, le professeur Youssef Bentaleb nous a précisé qu’avec les nouvelles mesures de sécurité adoptées ces dernières années, dont la carte à puce et la double identification via SMS, on a constaté une stabilité voire une baisse des fraudes liées à la falsification des cartes bancaires. Cela dit, sait-on jamais, en cas de fraude avérée, il nous expose les démarches à suivre : « Tout d’abord, il vous faut informer votre banque. Ensuite, en coordination avec les autorités compétentes, à savoir les brigades de cybercriminalité, elle sera en mesure de comprendre les circonstances liées à cette fraude et déterminer les responsabilités, et dans le cas où l’utilisateur n’a aucune responsabilité, il sera remboursé suivant les conditions et le contrat le reliant à sa banque. La victime se réserve aussi le droit de porter plainte directement auprès du parquet, de la police ou de la gendarmerie».