Le régulateur américain monte au créneau après l’attaque informatique contre Citigroup

C’est un contrôle de routine qui a révélé l'étendue de l’attaque informatique que vient de subir Citigroup. La banque américaine a indiqué hier que des données associées à 210.000 cartes de crédit américaines avaient été «visitées». Les pirates informatiques ont eu accès à l’identité des clients, à leurs numéros de compte et à leur coordonnées. Ils n’ont en revanche pas pu consulter leur numéro de sécurité sociale, leur date de naissance ou encore leurs codes de cartes bancaires, a précisé Citigroup. L'établissement compte remplacer la majorité de ces 210.000 cartes qui représentent environ 1% du portefeuille total.

Au vu de ce qui est considéré par les experts comme l’une des plus importantes attaques directes visant un établissement financier américain, le régulateur n’a pas tardé à réagir. Le fonds de garantie américain des dépôts (FDIC) a rappelé qu’il élaborait de nouvelles directives pour les banques et qu’il pourrait demander «à certains établissements de renforcer leurs procédures d’authentification lorsqu’un client se connecte à un compte en ligne». Selon Sheila Bair, présidente de l’autorité de régulation, les banques constituent des cibles particulièrement attrayantes pour les cybercriminels. «C’est une constante. Il s’agit d’un des nombreux risques que vous devez traiter», estime-t-elle.

Mais pour le parlementaire du Rhode Island Jim Langevin, qui préside le Caucus du Congrès sur la cybersécurité, la conduite de Citigroup n’est pas exemplaire. «J’ai été choqué par l’article (du Financial Times, qui a relayé le premier l’information, ndlr) indiquant que Citigroup savait que les données de clients avaient été potentiellement exposées en mai, alors que ce n’est que maintenant, un mois plus tard, que le public est informé de cette atteinte à ses informations personnelles», a-t-il déclaré dans un communiqué. Une attitude qui rappelle celle adoptée il y a quelques semaines par Sony. La banque signale qu’elle est en train de contacter tous les clients affectés par cette intrusion et affirme avoir «mis en place des procédures renforcées pour empêcher la récurrence de ce genre d'événement».