Lutter contre les fraudes sur Internet

Internet, les appareils mobiles et tous les autres gadgets ont apporté tant de choses incroyables dans nos vies qu’il est parfois difficile d’imaginer comment il était possible de vivre sans eux avant. Acheter des billets d’avion et enregistrer, faire du shopping en ligne et gérer ses comptes bancaires, partager des données avec plusieurs appareils, garder les enfants occupés à l’arrière de la voiture avec un film sur leurs tablettes (dans ma jeunesse on se contentait de rester assis ou de jouer à « Jacadi a dit »). Mais je m’écarte du sujet et ce très tôt dans ce post…

Hélas, en plus de toutes les bonnes choses  utiles pour rendre notre vie plus facile, Internet nous a apporté d’autres choses – de mauvaises choses qui peuvent être dangereuses. Les malwares, les courriers indésirables, la cybercriminalité difficile à démanteler, les armes cybernétiques, etc., etc. Il existe aussi la fraude sur Internet, dont je vais parler dans ce post ou, pour être plus précis, comment la combattre.

Mais commençons par les bases : qui souffre vraiment des fraudes sur Internet ?

Les consommateurs ? Eh bien, oui mais ce n’est rien comparé aux entreprises. Les principales victimes de la fraude en ligne sont les banques, les détaillants, en résumé : tous les services en ligne.

Quelques chiffres pour illustrer l’étendue de la fraude sur Internet :

• En 2012, aux États-Unis seulement, les pertes directes de la fraude en ligne atteignaient les 3,5 milliards de dollars.
• Ces pertes représentaient environ 24 millions de commandes en ligne frauduleuses.
• Près de 70 millions de commandes ont été annulées dû à des suspicions d’arnaque.

Plutôt alarmant.

En attendant, les opérateurs en ligne prennent-ils vraiment des mesures contre la fraude ?

Bien sûr que oui, et ils en prennent même plein !

Ils disposent tous de budgets importants pour couvrir les « risques », d’équipes spéciales qui vérifient manuellement les opérations et ils emploient différentes technologies de protection. Mais ces budgets ne sont pas illimités, ces équipes coûtent cher – et peuvent faire des erreurs, et les systèmes d’analyse automatique sont loin d’être pratiques. Même les inventions les plus créatives du secteur de l’authentification à deux facteurs ne garantissent pas notre sécurité. Par exemple, chipTAN, qui est très populaire en Allemagne, a été piraté en deux mois par les cyber-escrocs, alors que l’interception des SMS contenant les codes permettant de réaliser des transactions existe depuis déjà plusieurs années. Il est claire que l’offensive prend le dessus sur la défense : de nouvelles technologies sont rarement lancées et elles sont toujours très vite rattrapées.

Nous avons donc besoin d’une nouvelle approche de la protection et d’un temps de réaction rapide face aux nouveaux défis de la sécurité.

L’industrie anti-malware peut-elle aider à améliorer les choses ici ? Bien sûr qu’elle le peut !

Cela fait plusieurs années que nous jouons à ce jeu de recherche et de destruction avec les cybercriminels et nous savons parfaitement comment identifier et corriger les problèmes de sécurité. Néanmoins, afin d’appliquer notre expérience au monde réel et ainsi combattre la fraude  sur Internet, nous avons besoin de la coopération des banques et des revendeurs en ligne ou de toute société réalisant des affaires sur Internet – leur soutien pourrait faire une grande différence. Le défis est intimidant et le consommateur moyen peut difficilement y faire face. D’un autre côté, les opérateurs en ligne ont tout à leur disposition – le savoir, la technologie et un contact direct avec leurs clients (leurs ordinateurs et leurs appareils). De plus, les consommateurs ont tendance à voir les sociétés en ligne comme étant capables et même obligés de leur fournir une sécurité. La seule chose qui manque ici ce sont les bons outils.

Vous pourriez alors vous demander : « n’est-ce pas le rôle de l’antivirus de protéger les consommateurs quand ils réalisent des transactions en ligne ? »

Eh bien, premièrement, tout le monde ne dispose pas d’un antivirus. Surtout sur les appareils mobiles. Deuxièmement, même s’il est installé, tous les antivirus sont loin d’être capables de suivre les inventions de la cybercriminalité : le montant des pertes ci-dessus montre clairement que le niveau général de la protection mobile n’est pas vraiment un obstacle pour les criminels. Enfin, il existe des technologies de protection additionnelles qui ne sont pas forcément présentes dans les antivirus et qui peuvent être utilisées pour combattre la fraude sur Internet (de manière très spécifique et différente).

C’est pourquoi nous avons récemment créé KFP (Kaspersky Fraud Prevention) – une solution pour les banques, les revendeurs en ligne et autres sociétés en ligne  pour réduire les pertes financières causées par la fraude sur Internet.

KFP protège plus particulièrement contre : le vol d’informations bancaires, l’interception de transactions, le contournement de l’authentification à plusieurs facteurs et bien d’autres types d’attaques sophistiquées.

KFP se compose de trois modules :

• Un agent léger qui fonctionne sur un ordinateur de bureau (Windows ou Mac) ou une plateforme mobile (Android et iOS) et qui est compatible avec les autres applications antivirus. Il est rapide, suit la situation épidémiologique et punit les tentatives de fraude. Les détails sont ici.

• Un serveur anti-fraude qui détecte les actions suspectes dans des transactions bancaires en ligne ou dans les processus de paiement en ligne à partir d’un certain nombre de paramètres (comportement de l’utilisateur, ID de l’appareil, les notes de l’appareils au sein de KSN, sessions compromises, la présence d’un code malveillant, etc.). Il fonctionne aussi avec les systèmes anti-fraude bancaire et leur fournit des données analytiques importantes. Plus de détails ici.
• Une console de gestion pour : les serveurs et les agents de surveillance, analyser la situation, surveiller les attaques, envoyer des rapports et bien d’autres choses que de telles consoles ne réalisent pas normalement. Plus de détails ici.

KFP repose sur des technologies utilisées dans nos produits qui ont déjà reçu des certificats et des prix qui prouvent leurs capacités à gérer la plupart des attaques ciblant les transactions en ligne et qu’ils le font mieux que leurs concurrents.

Voici un autre exemple pratique :

Environ 10% des commandes en ligne proviennent d’appareils mobiles. Néanmoins, la surveillance des fraudes dans ce secteur est réalisée par seulement 30% des sociétés. Ce qui est choquant quand on sait que le taux de fraudes mobiles est 50% plus haut que celui des appareils non-mobiles. Il existe également des problèmes de l’autre côté de la barrière – peu d’utilisateurs comprennent que comme les ordinateurs, les smartphones et les tablettes ont besoin d’être protégés. En attendant, la diversité et la fonctionnalité des malwares sur ces appareils rattrapent rapidement Windows.

Les banques et les revendeurs importants sont néanmoins en train de développer leurs propres applications mobiles et essaient de faire ce qu’ils peuvent pour les protéger au mieux. Mais pour les petits revendeurs en ligne sans expérience et sans expertise en sécurité, mettre en place un système de protection à partir de rien prend beaucoup de temps, c’est cher et il est parfois difficile d’obtenir les résultats souhaités.

Afin de faire face à ce défi, nous avons décidé que KFP devrait également venir sous forme de kit de développement (SDK) afin que les banques et autres entreprises en ligne puissent créer leurs propres applications pour Android et iOS en intégrant nos fonctionnalités de sécurité ! Et il existe une infinité d’options ici : une protection contre les malwares sur plusieurs niveaux, une analyse du comportement des applications, la vérification des certificats, la vérification de la réputation des URL, une protection contre les attaques d’hameçonnage, un système de stockage des données sécurisé, le chiffrement des SMS, la vérification de la fiabilité des réseaux Wi-Fi, un anti enregistreur de frappes, un anti capture d’écran, un système qui empêche le rootage et le jailbreak, la mise à jour automatique du logiciel, et bien plus encore.

Et tout cela ne vient pas de belles présentations et de la mise en place douteuses d’une startup inconnue mais d’experts qui ont créé l’une des meilleures solutions de sécurité pour les appareils mobiles et qui fêtera ses 10 ans de lutte contre les parasites mobiles dans peu de temps.

Bien évidemment, les revendeurs en ligne pourraient pour le moment survivre sans toutes les fonctionnalités mentionnées ci-dessus. Mais à plus long terme, le taux de fraudes en ligne va augmenter, des réputations seront entachées, certains pourraient s’énerver et nous observerons une augmentation des frais de gestion des commandes. Cela vaut donc le coup de mettre le paquet si vous êtes sérieux sur le long terme. Comme Nike le dit si bien : « Just do it ».