Il y a d'abord quelques ordres de grandeur à avoir en tête. Depuis 2020, les pertes directes (coût de rétablissement, amendes, rançons, pertes de chiffre d'affaires dû à la paralysie) cumulées d'incidents cyber se montent à 28 milliards de dollars. Et on ne parle même pas des pertes indirectes (perte de réputation, déclin du business, dépenses supplémentaires pour se protéger...).

20 % déjà des attaques cyber-affectent le secteur financier, dans l'ordre, les banques puis les assurances. Les services financiers auraient perdu 12 milliards d'USD depuis 2004, dont 2.5 milliards ces trois dernières années. Et pourtant aucune attaque n'a eu une ampleur systémique dans la finance. Cela ne va pas durer, dit le FMI, avec l'innovation technologique, la transformation digitale des banques qui augmente la surface d'attaque et qui font qu'une attaque du passé qui se reproduirait aujourd'hui provoquerait bien plus de dégâts. Le FMI cite à juste titre l'événement précurseur de la filiale américaine de la plus grande banque chinoise qui a été paralysée par un rançongiciel et qui a perturbé le marché de la dette américaina (qui heureusement ne dépendait pas que d'elle pour bien fonctionner).

Le coût médian d'un incident cyber, tel que le calcule le FMI, est de 400.000 de dollars. Le 3e quartile de ce coût est de 2,8 millions de dolalrs, mais attention : la distribution des coûts dus à des cyberattaques est très déformée avec en cas de rançongiciels, des pics jusqu'à 12 millions de dollars. Certaines attaques ont même généré des pertes jusqu'à des centaines de millions de dollars.

Le cours de bourse diminue aussi en cas de cyber-incidents : ce n'est pas encore très fort, admet le FMI avec un recul de 0,1 à 0,2% en moyenne et parfois 0,3 à 0,6% pour les sociétés à plus petite capitalisation. Après un cyber-incident, le montant des dépôts a tendance à diminuer de 5% tant retail que wholesale sur plusieurs mois. Là, un vrai problème de liquidité se pose.

Le FMI note une prise de conscience qui s'envole sur le sujet cyber et c'est tant mieux. Tout le monde veut s'assurer contre le risque cyber et les banques centrales tout comme les régulateurs financiers voient la matérialité du risque cyber. Il était temps.

Le parcours incident-perte

Comment se matérialise les pertes financières dues à un cyber-incident ? D'abord par une perte de confiance qui peut mener à un cyber run, un terme inspiré d'un bank run. L'idée d'une banque passoire aux données va amener ses clients à retirer leur argent. Comment avoir confiance ? Un problème de liquidité se posera immédiatement et une contamination au système financier. On l'a vu en 2023 avec les banques américaines qui tombèrent en faillite à cause d'un bank run qui s'est propagé et la panique des autorités américaines.

Un incident cyber qui paralyse ou perturbe une infrastructure financière non substituable, par exemple une entreprise qui opère les paiements pour plusieurs banques ou une chambre de compensation peut aussi tout paralyser. Autre effet en cascade possible : les risques liés à l'utilisation par trop d'institutions financières d'un même logiciel, vulnérable ou lorsque ces institutions sont trop interconnectées de sorte que tout déséquilibre provenant de l'un quand il est affecté par une cyberattaque provoque les mêmes déséquilibres chez les autres qui lui sont interconnectés (via le marché interbancaire).

Ensuite, n'oublions pas les attaques qui peuvent affecter les infrastructures dont a besoin le secteur financier : sans électricité, car le réseau est attaqué, une banque ou une infrastructure financière tombe à l'arrêt aussi ! Le FMI va même plus loin et imagine des institutions publiques paralysées par une attaque : imagions, dit-elle, l'agence de la dette paralysée par une attaque cyber, ce qui ne permet plus à l'État de se financer sans compter le rating de l'État qui va être très vite dégradé pour incapacité à gérer sa dette.

Technologies émergentes

Pour pimenter ce portrait, ajoutons l'informatique quantique qui pourra briser tous les chiffrements d'aujourd'hui ou l'IA qui peut autant améliorer la détection de la fraude ou l'identification de certains risques à partir du bruit ambiant sur les marchés ou dans les opérations d'une banque que l'inverse, générer de la voix clonée, des vidéos parfaites de personnes qui n'ont pas demandées à y figurer.

Ajoutons-y une dose de Fintech qui sont digitales jusqu'au bout des ongles et qui peuvent occuper sans qu'on s'en rende compte une place niche systémique dans les systèmes financiers (pensons aux paiements on line). Ironiquement, le FMI vise aussi les banques centrales et leur côté apprenti-sorcier pour celles qui développent les monnaies de banque centrales numériques à partir des blockchains (ce ne sera pas le cas de l'e-euro, ouf). Les maitrisent-elles quand on sait tous les problèmes de hacking et de fraude qui agrémentent ces technologies ?

Le FMI note aussi que des entreprises qui ont subitement et massivement introduit le teleworking pendant la pandémie se sont retrouvés avec plus de cyber incident que ceux qui en proposaient déjà avant. La raison : elles avaient déjà plus de gouvernance en place pour mitiger les risques cyber que pour se permettre du teleworking. Elles étaient plus matures. Ces sociétés avaient dans leurs organes dirigeants plus de gens au fait du cyber. Après un incident, les entreprises sont subitement plus motivées à investir dans le cyber. Même si prévenir c'est mieux que guérir, c'est déjà bien de vouloir guérir.

Le secteur financier hélas présente trois effets démultiplicateurs aux attaques cyber :

• La concentration des banques et des institutions financières qui forment des nœuds très interconnectés sur un ou plusieurs services financiers comme les paiements, les règlements d'opérations sur titres, les dépositaires centraux de titres, les contreparties... Ce sont des activités tellement spécialisées que les institutions qui ont acquis une position incontournable deviennent aussi incontournables.
• La dépendance à quelques fournisseurs IT systémiques, toujours les mêmes dont la panne serait catastrophique même s'ils offrent aujourd'hui plus de résilience aux banques. Mais il ne faut jamais dire jamais.
• La contagion d'un problème rencontré par une institution aux autres institutions pourtant saines, du fait de la grande interconnexion entre institutions financières.

Pays cybervertueux

Pour le FMI, un pays est bien équipé pour faire face au risque cyber s'il s'octroie le pouvoir d'inspecter les fournisseurs IT concentrés du secteur financier. Il faut aussi imposer des cyber-stress tests au secteur, mais c'est encore peu répandu. Un pays vertueux devrait dresser la cartographie es connexions qui existent entre ses institutions financières.

Il devrait y avoir aussi bcp plus d'échanges d'informations dans le secteur financier, épaulés par les autorités du pays. Et il faut rapporter les incidents, la seule manière pour un pays pour monitorer les crises cyber.

Là où le FMI a raison, c'est que les efforts cyber des banques et leur investissement manque la « big picture » ; Tout le monde se protège lui-même, mais ne prend pas assez en compte les effets de réseau des cyber attaques pour se protéger d'autrui. Il manque d'un chef d'orchestre qui prépare la partition cyber et ensuite la joue. La diversité des méthodes de connexion, de logiciel pourrait aussi réduire le risque d'une chute en domino.

_____

Pour en savoir plus

Global Financial Stability Report, April 2024, Chapter 3, FMI