89 millions d’euros de pertes : ce que révèlent les failles des contrôles de risques TIC

L’Oesterreichische Nationalbank a enregistré pour 2025 un montant total de fraude aux paiements de 115,4 millions d’euros, en hausse de 17,6 % par rapport à l’année précédente. Les virements ne représentaient que neuf pour cent des cas de fraude, mais ont causé environ 89 millions d’euros, soit 78 % des pertes totales. Les attaques d’ingénierie sociale, dans lesquelles les victimes autorisent elles-mêmes le paiement, étaient responsables de 83 % de ces cas. Pour les contrôles des risques TIC sous DORA, cela renferme un enseignement que la seule documentation des contrôles ne révèle pas.

Pourquoi si peu de cas de virement causent-ils la plus grande part des pertes ?

Parce que la perte moyenne par virement frauduleux, environ 3’000 euros, dépasse largement celle d’un paiement par carte, et atteint dans certains cas plus d’un million d’euros.

Selon l’Oesterreichische Nationalbank, neuf cas de fraude sur dix concernaient des paiements par carte, avec une perte moyenne d’environ 75 euros par cas. Pour les virements, la moyenne s’élevait à environ 3’000 euros, et a dépassé un million d’euros dans certains cas. Mesuré en volume de transactions, le taux de fraude sur virements de l’Autriche, à 0,004 %, est deux fois supérieur à la moyenne de l’UE.

Cette répartition suit un schéma souvent sous-représenté dans de nombreux registres de risques : forte fréquence à faible perte unitaire contre faible fréquence à forte perte unitaire. Les catalogues de contrôle calibrés principalement sur le nombre de cas ont tendance à sous-estimer le second schéma, même s’il représente la plus grande part des pertes totales.

Quel est le lien entre l’ingénierie sociale et le cadre de gestion des risques TIC de DORA ?

DORA exige une fonction de contrôle des risques TIC indépendante, mais cette fonction surveille avant tout des contrôles techniques et procéduraux, non le moment où une personne autorisée valide elle-même un paiement.

Selon l’article 6, paragraphe 4, du règlement DORA, les entités financières doivent garantir un niveau d’indépendance approprié pour leur fonction de contrôle des risques TIC, mise en œuvre par une séparation des fonctions de gestion des risques, de contrôle et d’audit selon le modèle des trois lignes de défense, comme l’explique l’Autorité des marchés financiers autrichienne (FMA).

L’ingénierie sociale contourne cette structure sans la violer formellement : la personne qui valide le paiement agit dans le cadre de ses attributions, trompée par un sentiment d’urgence fabriqué. Comme le décrit l’article « ISMS : les personnes, les processus et la technologie sont déterminants », un contrôle technique n’est efficace qu’à la mesure du comportement de la personne qui l’applique lors d’un incident réel.

Pourquoi la documentation ne révèle-t-elle pas une lacune de contrôle ?

Parce qu’un principe des quatre yeux documenté paraît complet dans chaque dossier d’audit, mais ne dit rien sur son respect effectif sous la pression du temps et un sentiment d’urgence perçu.

Un registre de contrôle confirme l’existence d’une étape de processus, pas son effet dans un scénario d’attaque concret. Comme le souligne l’article « La gestion des risques sert les objectifs, pas elle-même », un dispositif manque son objectif lorsqu’il paraît complet sur le papier mais n’a jamais été testé opérationnellement dans des conditions réelles.

Seul un examen ciblé montre si l’obligation de rappel en cas de modification des coordonnées bancaires est réellement respectée, ou si les approbations d’exception sous la pression du temps deviennent discrètement la norme. Cette différence précise entre contrôle documenté et contrôle vécu passe souvent inaperçue dans un audit standard.

Quels éléments de contrôle spécifiques faut-il examiner dès maintenant ?

Trois éléments sont les plus susceptibles de révéler, lors d’un incident réel, si la chaîne de validation tient : le canal de rappel, la logique des seuils et le circuit d’escalade.

Ces trois éléments peuvent être examinés individuellement et fournissent donc des constats plus fiables qu’une simple description de processus.

• Obligation de rappel : existe-t-il une obligation de vérifier les coordonnées de paiement modifiées via un second canal indépendant, et cette obligation est-elle contrôlée par échantillonnage ?
• Seuils : les virements dépassant un montant défini font-ils l’objet d’une contre-vérification manuelle, indépendamment de l’heure ou d’un sentiment d’urgence fabriqué ?
• Escalade : les employés peuvent-ils arrêter un paiement sans que cela soit perçu comme une rupture de confiance envers un supérieur apparent ?

Quelle est la prochaine étape pour son propre dispositif de contrôle ?

L’audit interne devrait réaliser un cas de test simulé d’ingénierie sociale pour la validation des paiements lors du prochain cycle d’audit, plutôt que de se limiter à confirmer la documentation des processus.

L’idée développée dans « Communication de surveillance FINMA 05/2025 : un signal d’alarme pour la résilience dès la conception » — intégrer la résilience dans les processus dès le départ plutôt que de la vérifier après coup — s’applique directement à la validation des paiements.

Une première étape concrète consiste en un cas de test simulé de fraude au président lors du prochain cycle de revue du SCI, porté conjointement par l’audit interne et l’équipe des paiements, évaluant les temps de réaction réels et les circuits d’escalade plutôt que la seule documentation des processus.