Partager:
Le protocole de cryptage SSL utilisé par les banques belges est très vulnérable, avertit un blogueur spécialisé dans le domaine. Une information que dément toutefois ce lundi matin ING Belgique.
Le protocole de cryptage SSL utilisé par les institutions financières belges pour protéger leurs communications avec leurs clients est souvent très vulnérable, a découvert Yeri Tiete, un blogueur belge spécialisé dans le domaine. "Le danger est réel que des pirates informatiques puissent assister à voire détourner des sessions", écrit Data News, un site internet consacré aux technologies de l'information et de la communication.
"Un faux sentiment de sécurité"
Les sites internet disposant d'une protection SSL sont reconnaissables par le petit cadenas et au "https://" qui s'affichent dans la barre de navigation. "Nos banques implémentent SSL d'une mauvaise manière et tergiversent trop longtemps avant d'entreprendre des mises à jour ou d'importantes corrections de problèmes techniques. Ils créent de la sorte un faux sentiment de sécurité", explique le blogueur. "Si les liens https:// sont vulnérables, les pirates informatiques peuvent alors assister sans le moindre problème aux sessions de communication entre la banque et le client, détourner ces sessions et s'en donner à coeur joie pour adapter les données."
Plusieurs banques hésitent souvent à mettre à jour leurs protocoles
Selon Yeri Tiete, bpost et BNP Paribas Fortis ont mis en ordre leur configuration SSL ces deux dernières semaines. Argenta serait en train de faire de même. La situation n'est en revanche pas aussi réjouissante chez ING, Record Bank, Hello bank! ou encore Ogone, le spécialiste des solutions de paiement en ligne. D'après le blogueur, nos banques hésitent souvent à mettre à jour leurs protocoles de cryptage SSL car elles veulent s'assurer que les ordinateurs fonctionnant encore avec le vieux système d'exploitation Windows XP ou Internet Explorer 6 peuvent toujours utiliser leurs applications.
"La sécurité des transactions en ligne n'a pas été mise en danger"
"La sécurité des transactions en ligne n'a pas été mise en danger", a toutefois réagi ce lundi ING Belgique. La banque précise également que quatre des cinq points sensibles en matière de sécurité évoqués dans l'article ont été renforcés dans le courant de cette matinée. ING affirme encore être "pleinement consciente" de l'importance de la sécurité liée aux services bancaires et du traitement confidentiel des données de ses clients."Nous soulignons le fait qu'il s'agit pour nous en permanence d'une priorité absolue, que nous monitorons et améliorons constamment", poursuit ING. La banque indique encore avoir été au courant depuis un certain temps des points sensibles évoqués, qu'elle tenait à l'œil afin de garantir la prise des mesures nécessaires à l'amélioration et au renforcement de la sécurité.
"Une priorité absolue"
"La sécurité est une priorité absolue pour les banques belges", singulièrement depuis les débuts de l'essor de la banque en ligne par le biais d'appareils mobiles, souligne de son côté Febelfin, la fédération du secteur financier. Depuis 2005, le secteur dispose ainsi d'une plate-forme au sein de laquelle les banques belges ont notamment la possibilité d'échanger de bonnes pratiques.
Les points sensibles soulevés par l'article étaient connus de Record Bank
Le renforcement des mesures de sécurité est en cours "depuis un certain temps déjà" chez Record Bank, a réagi lundi l'entreprise, à la suite de la parution de l'article. Les points sensibles soulevés par l'article étaient connus de Record Bank, assure l'entreprise. "Les adaptations nécessaires seront mises en œuvre plus vite que prévu, si bien que Record Bank passera à un niveau de sécurité élevé dans le courant de la journée. À l'heure actuelle, elle se situe au niveau B et met tout en œuvre pour atteindre le niveau A. La sécurité des paiements en ligne n'a été compromise à aucun moment."
BNP Paribas Fortis souligne que "tous les sites de la banque avaient déjà été adaptés le 27 janvier"
Du côté d'Hello Bank (BNP Paribas Fortis), seule la partie informative du site devait être adaptée, ce qui a été le cas ce lundi, précise son porte-parole. BNP Paribas Fortis souligne que "tous les sites de la banque avaient déjà été adaptés le 27 janvier en vue de renforcer la protection des données des clients. Seule la partie informative du site d'Hello Bank, qui ne contient pas de données confidentielles, devait encore être adaptée, ce qui a été le cas ce lundi." Le site d'Hello Bank avait obtenu lundi un A du SSL Labs, soit la meilleure note en matière de sécurité.
Febelfin souligne encore que les banques mènent régulièrement des campagnes de sensibilisation contre la fraude à la banque en ligne. Ces campagnes et la vigilance accrue des utilisateurs ont permis de faire reculer de près de 85% les cas de fraude enregistrés en 2014 par rapport à l'année 2013. L'an dernier, 277 cas de fraude à la banque en ligne ont été enregistrés, pour un montant détourné d'environ 650.000 euros.
