CERT-In alerte les fintechs sur les risques de détournement d'API
L'agence indienne de cybersécurité, CERT-In, a émis un avertissement critique aux entreprises fintech et NBFC concernant des cyberattaques coordonnées exploitant des vulnérabilités d'API pour contourner le KYC et effectuer des transferts de fonds non autorisés.
L'équipe indienne de réponse aux urgences informatiques (CERT-In), ainsi que son bras de cybersécurité dédié aux finances, CSIRT-Fin, ont alerté les NBFC, les plateformes de prêt numérique, les entreprises fintech et les fournisseurs de services de paiement sur des campagnes de cyberattaques sophistiquées. Ces attaques contourneraient les exigences de connaissance du client (KYC) par le détournement d'API, entraînant des transferts de fonds non autorisés. L'avis suggère que les attaquants pourraient utiliser des outils d'IA pour ces opérations.
L'avis "critique", publié le 9 octobre, détaille comment les acteurs malveillants compromettent les applications et les API exposées sur Internet. Ils volent ensuite les identifiants des agrégateurs de paiement ou des banques partenaires et invoquent les API de décaissement directement depuis l'infrastructure autorisée de l'entité. Cette méthode contourne les contrôles au niveau de l'application tels que la création de prêt, les vérifications KYC et la vérification des bénéficiaires.
Les transactions frauduleuses identifiées dans l'avis présentent souvent des identifiants de référence factices, dépassent les limites par transaction et créditent des fonds sur des comptes "mules" contrôlés par les attaquants auprès de plusieurs banques. Les fonds sont rapidement déplacés via les réseaux de paiement instantané comme IMPS et NEFT et retirés immédiatement. CERT-In note une réduction significative du temps entre la compromission initiale et le transfert frauduleux, indiquant une exécution avancée et rapide.
CERT-In recommande aux entités de renforcer l'authentification multifacteur (MFA) sur les plateformes de paiement et les portails d'administration, de remplacer les identifiants statiques de longue durée par une authentification par session, et de déclasser les API inutilisées. L'avis souligne également la nécessité d'améliorer la détection des menaces et les capacités de surveillance.
Bien que les recommandations techniques soient des pratiques de sécurité standard, leur mise en œuvre efficace et l'efficacité globale du mécanisme de reporting de CERT-In ont été remises en question par des experts en cybersécurité. Les préoccupations incluent le potentiel d'une conformité nominale sans sécurité robuste et le flux d'informations unilatéral vers CERT-In sans responsabilité claire pour la confidentialité des données ou des retours tangibles pour les entités déclarante.