Le réseau Swift crée son propre garde-fou contre la fraude

C’était la pierre qui manquait à son édifice. Critiqué pour son attentisme après plusieurs cyberattaques, notamment celle ayant permis de dérober 81 millions de dollars à la banque centrale du Bangladesh en février 2016, le réseau de transactions interbancaires Swift a depuis multiplié les initiatives dans la sécurité. Elles consistaient presque toutes à sécuriser l’accès des banques au réseau, donc leurs interfaces informatiques, principal point faible ciblé par les hackers.

Ce matin, Swift annonce le lancement d’un service de contrôle anti-fraude concernant cette fois les interactions des banques sur le réseau lui-même. Optionnel, ce service autorisera la messagerie interbancaire à détecter, bloquer et notifier les formes de paiement atypiques. Il suffira aux banques de définir des paramètres, en fonction de leur politique de risque et de conformité, permettant à Swift de détecter tout flux de messages inhabituel avant sa transmission. Par exemple, un établissement pourra demander le blocage toutes les transactions soumises en dehors des heures de bureau, ou bien avec une contrepartie inconnue.

Ainsi, «si des attaquants réussissent à prendre le contrôle du back-office d’une banque et générer un ordre de paiement sur le réseau Swift pour envoyer 100 millions d’euros à une contrepartie, la solution pourra arrêter cet ordre au niveau du réseau Swift et notifier les responsables au sein de la banque, détaille Luc Meurant, directeur de la conformité sur le crime financier chez Swift. L’idée est de rajouter des obstacles : il faudrait en plus prendre le contrôle d’un autre système pour intercepter ces notifications».

Le service est surtout destiné aux institutions financières de petite taille. Swift en compte environ 3.000 sur ses 10.000 utilisateurs. «Nos efforts portent en priorité sur les acteurs les plus vulnérables, explique Luc Meurant. Pour eux, il sera moins cher d’acheter notre service que d’en développer un en interne». Selon une source proche du dossier, il pourrait être facturé entre 10.000 et 20.000 euros par an.

Après «un investissement important», cette solution sera testée en début d’année prochaine pour un lancement après l’été 2018. Un seul programme similaire avait été lancé par Swift, en 2012, dans le cadre de la lutte contre le terrorisme et le blanchiment. Baptisé «sanctions screening», ce procédé bloque les transactions avec une contrepartie ayant fait l’objet d’une sanction. Il compte 600 utilisateurs.