Chevaux de Troie bancaires
Malwares spécialisés qui superposent un faux formulaire à votre application, captent les identifiants puis initient des virements à l'insu du titulaire.
Le contexte
Pourquoi la fraude vise le mobile
Les attaquants ciblent directement le terminal du client. Un enregistreur de frappe ou une surcouche d'affichage y capte les identifiants au moment de la saisie.
L'authentification forte, imposée par la DSP2, suppose que le terminal n'est pas compromis. Quand un malware lit les notifications et les SMS du même terminal, le code de validation reste valide aux yeux du serveur. La réglementation demande donc aussi des mesures contre le risque d'un appareil compromis. La DSP2 est par ailleurs en cours de remplacement.
Depuis le 17 janvier 2025, DORA impose aux entités financières une gestion des incidents liés aux TIC, avec notification des incidents majeurs, et un programme de tests de résilience qui peut inclure des revues du code source.
L'enjeu dépasse la perte financière directe : une fraude médiatisée sur l'application entame la confiance des clients dans le canal mobile.
La solution
La réponse de Pradeo pour la finance
Pour protéger l'application bancaire elle-même, Pradeo propose l'In-App Protection. Elle combine deux solutions complémentaires : l'Application Shielding durcit le code avant publication, pour qu'il devienne difficile à analyser, à modifier et à cloner ; le Runtime Application Self Protection (RASP), intégré à l'application, surveille en continu son environnement d'exécution : applications malveillantes, réseau piégé, système altéré.
Face à une menace, l'application déclenche les réponses configurées, par exemple bloquer une transaction à risque, et les évènements de sécurité remontent pour ajuster la stratégie.