La BCE exige des banques leur plan de bataille face aux attaques dopées à l’IA

Face à Mythos, la Banque centrale européenne (BCE) appelle à la mobilisation générale. D’ici le 31 octobre 2026, chaque institution bancaire placée sous sa surveillance doit soumettre son plan d’action face aux menaces cyber dopées à l’intelligence artificielle (IA). Les banques ont un peu moins de quatre mois pour élaborer et détailler leur stratégie.

«Les modèles d’IA émergents sont capables d’identifier des vulnérabilités logicielles et de générer des exploits fonctionnels à une vitesse inédite, réduisant ainsi considérablement le délai entre la découverte d’une vulnérabilité et son exploitation», souligne Claudia Buch, présidente de la BCE, dans un courrier adressé ce 7 juillet aux patrons des grandes banques européennes.

Pas un phénomène passager, mais une mutation

Les Mythos et autres nouveaux modèles d’IA changent la donne : là où des humains mettaient des semaines pour concevoir une attaque, l’IA met au jour failles et vulnérabilités en quelques minutes. «Il s’agit d’une mutation durable du paysage des menaces, et non d’un phénomène passager ou d’un risque lié à un outil spécifique», poursuit Claudia Buch.

A lire aussi : Les banques anglo-saxonnes sont priées de tester le nouveau modèle d’IA d’Anthropic

La BCE exige donc une évaluation «sans délai» de l’incidence sur chaque banque de l’évolution des menaces, doublé d’un «plan d’action complet détaillant des mesures concrètes», avec les ressources nécessaires, les responsabilités clairement établies et les calendriers de mise en œuvre. C’est une nouvelle demande, et c’est une priorité. Pour l’occasion, la remise du questionnaire sur les risques informatiques, attendue en septembre, est reportée en février 2027, histoire que les troupes IT se concentrent sur la nouvelle demande.

La menace d’un maillon faible non bancaire

La BCE détaille plusieurs urgences, comme l’accélération de la gestion des vulnérabilités et des correctifs, le renforcement de la surveillance et de la détection des attaques, la sécurisation des actifs exposés et la gestion des risques liés aux tiers. Et, justement, le Comité européen du risque systémique (CERS) met de son côté en garde contre l’asymétrie croissante entre les institutions supervisées, réputées solides, et des établissements plus jeunes, plus fragiles, moins bien équipés, et moins régulés.

Dans le système actuel où les interconnexions sont fortes, la vulnérabilité du maillon le plus faible peut constituer le point d’entrée et affecter la stabilité de tout le système. La vigilance doit s’étendre bien au-delà des géants bancaires et englober le monde des fintechs et des acteurs des cryptoactifs, estime le CERS.

Prochain rendez-vous, le quantique

A plus long terme, la BCE appelle à des mesures stratégiques, comme la modernisation de l’infrastructure et l’abandon des systèmes obsolètes, mais aussi l’adoption du «Zéro Trust» avec notamment une vérification continue des utilisateurs et des applications, et la mise en place de plans de continuité testés face à des scénarios d’attaques à haute vitesse et haut volume. La collaboration entre pairs, avec la mise en place de cadres sécurisés d’échange de renseignements sur les menaces et les stratégies de défense entre institutions est fortement encouragée.

A plus long terme, les banques doivent prévoir une modernisation radicale des infrastructures et remplacer leurs systèmes obsolètes et en fin de vie. En conclusion, le courrier de la BCE évoque l’informatique quantique, qui elle aussi aura une incidence sur le paysage de la cybersécurité. «La BCE abordera, en temps voulu et dans un courrier distinct, le risque que les avancées de l’informatique quantique font peser sur les méthodes de chiffrement traditionnelles» conclut le courrier. A la mobilisation générale du jour succèdera donc rapidement un autre appel à la mise en ordre de bataille, sur le quantique cette fois.