Vol de la Banque centrale du Bangladesh : les techniciens SWIFT auraient fait preuve de négligence

Et laissé les banques vulnérables selon la police

Vol de la Banque centrale du Bangladesh : les techniciens SWIFT auraient fait preuve de négligence,
et laissé les banques vulnérables d'après la police

En février dernier, une erreur de frappe dans une instruction de virement bancaire a permis de mettre fin à une opération de vol d’une banque dont le butin s’élevait à près d’un milliard de dollars. Les responsables de la banque affirment que les pirates ont tout de même réussi à voler plus de 80 millions de dollars avant de voir leur manœuvre stoppée. Les pirates avaient réussi à entrer dans le système de transfert et de paiement, d’après deux hauts fonctionnaires de la banque. Ils ont, par la suite, envoyé près de trois douzaines de demandes de virement à la Federal Reserve Bank de New York du compte de la banque centrale du Bangladesh, vers des entités en Philippines et au Sri Lanka.

Selon Mohammad Shah Alam, le chef du département des enquêtes criminelles de la police du Bangladesh en charge de cette affaire, les techniciens du réseau SWIFT sont mis en cause dans la mesure où ils auraient introduit des failles lorsqu’ils ont connecté le premier système de règlement en temps réel interne aux différentes banques du Bangladesh (RTGS). « Nous avons trouvé un grand nombre de failles », a-t-il indiqué dans une interview à Dhaka. Et de continuer en précisant que « les changements ont multiplié les risques encourus par les banques du Bangladesh ».

Du côté des banques, un responsable a fait écho à la police, expliquant que les techniciens semblent ne pas avoir suivi leurs propres procédures pour s’assurer de la sécurité du système. C’est la raison pour laquelle la messagerie SWIFT à la banque centrale était largement accessible : durant leurs travaux, les techniciens ont paramétré une connexion sans fil afin de pouvoir avoir accès aux ordinateurs connectés à SWIFT. Lorsqu’ils ont fini, ils ont oublié de désactiver cet accès qui était sécurisé par un mot de passe. Ils ont également oublié de désactiver un port USB relié au système SWIFT, comme cela est fait habituellement sur les réseaux critiques pour empêcher que des logiciels malveillants soient installés par exemple depuis un lecteur contaminé. La police a noté l’absence de pare-feu entre le RTGS et SWIFT ainsi que d’un switch rudimentaire. « Cela relevait de la responsabilité de SWIFT de vérifier les faiblesses d’un système une fois qu’il avait été mis en place. Mais il semble que cela n’a pas été fait », a avancé le responsable.

Il faut préciser que Reuters, qui a rapporté l’information, souligne que la police n’a apporté aucune preuve de ce qu’elle a avancé. Mais une autre banque a confirmé le fait que le port était actif jusqu’à ce que le vol soit démasqué.

Natasha de Teran, la porte-parole de SWIFT s’est refusé de commenter les allégations des autorités du Bangladesh.

Le RTGS, qui permet aux banques nationales et à la banque centrale de régler entre elles d'importants transferts, a été installé à la Banque du Bangladesh en octobre de l'année dernière, puis connecté à SWIFT. En février, les pirates ont envoyé des messages frauduleux, qui semblaient provenir de la banque centrale à Dhaka, sur le système SWIFT pour faire transférer un montant de près d’un milliard de dollars.

Pour Richard Dzina, un responsable de la New York Fed, le système a été violé parce que les pirates ont acquis des identifiants valides pour effectuer les transferts : « il semble que ce soit un cas de négligence extrême », a-t-il regretté.

Source : Reuters