BT annonce le lancement mondial de « BT Assure Ethical Hacking for Finance », un nouveau service conçu pour tester le niveau d’exposition des organismes financiers aux cyberattaques.

Les données personnelles sensibles détenues par les organismes financiers, banques de détail et d’investissement, et compagnies d’assurances, en font des cibles particulièrement intéressantes aux yeux des cybercriminels. Le risque s’intensifie depuis quelques années avec la généralisation des opérations financières en ligne et l’augmentation des transactions sur les sites de e-commerces.

Assure Ethical Hacking for Finance utilise des méthodes avancées qui s’inspirent de celles des cybercriminels pour conduire une série de tests visant à mettre à l’épreuve les points d’entrée des systèmes IT pour révéler les vulnérabilités potentielles. Ces tests peuvent utiliser les techniques de l’hameçonnage, à travers des terminaux distants (des ordinateurs portables aux imprimantes), via les réseaux internes et externes, des bases de données et des ERP. En plus de vérifier l’intégrité des réseaux, BT évalue aussi les risques de défaillance humaine. Les techniques d’ingénierie sociale permettent d’évaluer l’observation des règles en vigueur par les employés.

Ce nouveau service s’appuie sur l’expertise d’ethical hacking de BT acquise depuis près de 20 ans aux côtés de grandes institutions financières aux Etats-Unis. Dans le cadre strict de leur mission, les ethical hackers de BT sont parvenus à s’infiltrer dans des bases de données pour aspirer des dizaines de milliers de numéros de sécurité sociale et de carte bancaire. Ils ont pu intercepter et modifier les données de dépôts de chèques par mobile, remonter des flux de chiffrement propriétaires par l’ingénierie inverse et générer de grosses quantités de cartes-cadeaux valides avec les coordonnées bancaires d’autres comptes tests. Ils arrivent également à créer des comptes administrateur simplement en obtenant d’un salarié qu’il ouvre un e-mail, à s’extraire de sessions d’accès à distance pour obtenir un accès shell aux systèmes, et établir par la suite des tunnels au sein de l’entreprise victime. Enfin, ils savent transférer des fonds entre des comptes tests non autorisés ou aspirer les données des comptes de tous les utilisateurs en piratant les communications machine-to-machine (M2M).[1]

→ L’objectif final de la solution est d’identifier les vulnérabilités dont l’exploitation malveillante pourrait porter préjudice aux processus métiers stratégiques et donc à la marque et la réputation d’une entreprise.

Dans le cadre du nouveau service Assure ‘Ethical Hacking for Finance’, BT mettra également à profit ses services Simulated Targeted Attack and Response (STAR) certifiés CREST[2] pour aider les sociétés de services financiers à renforcer la fiabilité de leurs solutions de sécurité pour protéger les données sensibles de leurs clients. BT est l’une des premières sociétés au monde accréditées par CREST pour délivrer les services STAR.

CREST a développé la certification STAR pour encadrer la conduite de tests de sécurité sur mesure et contrôlés, fondés sur le renseignement. L’offre de services STAR, développée en partenariat avec la Bank of England (BoE) et le gouvernement britannique, intègre des tests de pénétration évolués et des services de veille pour pouvoir répliquer le plus précisément possible les cyberattaques qui visent la sécurité d’installations stratégiques.

Mark Hughes, Président de BT Security, explique : « La perspective d’obtenir l’accès à des données financières confidentielles motive énormément les hackers. Rares sont les entreprises qui attirent autant leur attention que les banques. Outre la perte financière directe, un piratage réussi peut provoquer des dommages irréparables en termes de réputation. Si les banques de détail sont en première ligne, la menace plane tout autant sur les banques d’investissement ou le commerce de gros, qui opèrent des transactions commerciales importantes. Nous encourageons toutes les institutions financières à se soumettre à une série de simulations de cybersécurité, opérées par nos consultants en ethical hacking afin de tester les limites de leurs cyberdéfenses. »

BT est à la tête d’une équipe de spécialistes de la sécurité, dont des consultants en ethical hacking, qui appliquent une méthode standard de mise à l’épreuve des systèmes. Ils procèdent par imitation à des attaques de hackers, signalant des vulnérabilités identifiées et réalisent des recommandations d’étapes précises aux clients pour qu’ils puissent combler rapidement les failles de leurs systèmes.