Le détournement de plus de 100 millions d’euros chez Crédit Mutuel Arkéa relance les interrogations sur la capacité des banques à résister aux cyberattaques. Au Maroc, Bank Al-Maghrib a progressivement renforcé ses exigences en matière de sécurité informatique. Mais jusqu’où vont les contrôles du régulateur et les tests auxquels sont soumis les établissements ?
Le secteur bancaire a découvert une nouvelle illustration de la sophistication des cyberattaques. Chez Crédit Mutuel Arkéa, plus de 100 millions d’euros ont été détournés à la faveur d’une intrusion informatique impliquant un prestataire. Au-delà du montant, l’affaire pose une question qui concerne l’ensemble des établissements financiers : les dispositifs de sécurité sont-ils capables de prévenir une attaque qui parvient à contourner les protections habituelles et à accéder aux circuits de paiement ?
Au Maroc, cette menace n’est pas ignorée par Bank Al-Maghrib. La Banque centrale a progressivement étoffé son dispositif de surveillance. Depuis 2016, les établissements de crédit sont notamment tenus de réaliser des tests d’intrusion de leurs systèmes d’information, d’établir une cartographie des cyber-risques et de transmettre annuellement les résultats de ces exercices au superviseur.
La surveillance ne s’arrête pas aux infrastructures des banques. La directive de 2022 encadrant le recours au cloud impose également des exigences relatives à la sécurité des prestataires, à la gestion des accès et à la continuité des services externalisés. Un point particulièrement sensible au regard du mode opératoire observé dans l’affaire Arkéa.
Bank Al-Maghrib soumet-elle les banques à des stress tests cyber ?
La question mérite d’être posée. Dans son rapport sur la supervision bancaire au titre de 2024, Bank Al-Maghrib fait état de 18 missions de vérification thématiques réalisées auprès de neuf banques. La cybersécurité figure parmi les domaines examinés. Le régulateur indique également avoir déployé un tableau de bord spécifique pour suivre les indicateurs de cybersécurité des établissements et analyser les rapports de tests d’intrusion.
Le risque technologique est par ailleurs intégré au processus d’évaluation prudentielle SREP, qui permet au superviseur d’apprécier les risques auxquels sont exposés les établissements, notamment en matière de gouvernance et de contrôle interne.
Pour autant, ces évaluations ne doivent pas être confondues avec des stress tests cyber. Les exercices prudentiels classiques évaluent notamment la résistance des banques à des chocs économiques et financiers. Ils ne mesurent pas nécessairement leur capacité à faire face à un détournement de fonds consécutif à la compromission d’un prestataire.
Un nouveau cadre réglementaire en préparation
C’est précisément sur ce terrain que Bank Al-Maghrib entend renforcer son dispositif. Le 22 octobre dernier, le Comité des établissements de crédit a émis un avis favorable sur une directive consacrée à la résilience opérationnelle numérique. Le texte prévoit notamment des exigences renforcées en matière de détection des incidents, de gestion des cyberattaques, de surveillance des prestataires informatiques critiques et de tests de résilience opérationnelle.
L’objectif est de vérifier non seulement la capacité des banques à prévenir les attaques, mais aussi leur aptitude à maintenir leurs activités et à rétablir leurs services lorsqu’un incident survient.
Reste une question : les dispositifs actuels permettent-ils de mesurer la résistance de l’ensemble du système bancaire à une attaque d’ampleur, notamment si plusieurs établissements dépendent du même prestataire technologique ? Car le risque ne concerne plus seulement la sécurité informatique d’une banque. Il touche désormais à la continuité des paiements, à la circulation des fonds et, in fine, à la confiance dans le système financier.
