L'Autorité des services financiers appelle à la vigilance face aux e-mails suspects et encourage l'utilisation de l'authentification multi-facteurs

Points clés de cet article

• L'Autorité des services financiers recommande l'utilisation de clés de sécurité pour lutter contre le phishing
• Le gouvernement a décidé d'un paquet d'actions d'urgence

Appel à la responsabilité individuelle

Le 6, l'Autorité des services financiers a appelé les utilisateurs des institutions financières à se méfier des e-mails suspects se faisant passer pour de véritables entreprises ou organismes gouvernementaux. Des fuites d'informations clients dues à des accès non autorisés se produisent fréquemment, et il est possible que des e-mails sophistiqués utilisant ces informations divulguées pour se faire passer pour de véritables entreprises ou organismes gouvernementaux augmentent.

L'Autorité des services financiers a expliqué que des accès non autorisés aux services clients et systèmes d'affaires publiés sur Internet continuent. Elle a demandé aux utilisateurs des institutions financières de prendre les mesures suivantes :

• Ne pas cliquer facilement sur les liens dans les e-mails
• Ne pas réutiliser les mots de passe
• Utiliser une authentification multi-facteurs résistante au phishing
• Contacter rapidement l'institution financière concernée en cas de notification de transactions inconnues

Face à l'augmentation des fraudes par phishing se faisant passer pour des institutions financières, l'Autorité des services financiers collabore avec les institutions financières et la police pour sensibiliser à travers des brochures et des vidéos. Elle appelle également à l'utilisation d'une authentification multi-facteurs résistante au phishing.

Les brochures de sensibilisation soulignent que même les e-mails contenant le nom d'une institution financière peuvent être des imitations, et encouragent à vérifier l'adresse e-mail de l'expéditeur ainsi que les liens mentionnés. Les faux sites sont devenus si sophistiqués qu'il est conseillé de mettre en favori le site officiel de l'institution financière et d'installer l'application officielle à partir de magasins d'applications légitimes.

De plus, l'Autorité des services financiers recommande l'authentification par clés de sécurité, affirmant que les mesures traditionnelles de mots de passe ne suffisent pas à prévenir la criminalité financière. Les clés de sécurité permettent de se connecter via des biométries telles que les empreintes digitales ou la reconnaissance faciale, ainsi que par un code PIN.

Elle a également présenté l'authentification par PKI (Infrastructure à clé publique) utilisant une paire de clés publiques et privées. Cela implique qu'une autorité de certification (CA) ou un tiers de confiance émette des certificats électroniques, prouvant la relation entre la clé publique et le propriétaire, ce qui augmente la fiabilité de l'identification.

D'autre part, l'authentification multi-facteurs utilisant des mots de passe à usage unique reçus par e-mail ou SMS peut être contournée par des attaques de phishing en temps réel, des attaques de type homme du milieu, ou le vol d'informations par des malwares. L'Autorité des services financiers appelle à une transition vers des méthodes d'authentification plus résistantes au phishing, telles que les clés de sécurité ou la PKI.

L'Autorité des services financiers a mis en œuvre une révision des directives de supervision et des lignes directrices administratives incluant l'introduction d'une authentification multi-facteurs résistante au phishing. Elle promeut la sensibilisation auprès des utilisateurs à travers le secteur public et privé, ainsi que l'industrie financière.

Le gouvernement décide également d'un paquet d'actions d'urgence

Cette alerte fait suite à la décision du gouvernement le même jour d'un "paquet d'actions d'urgence en matière de cybersécurité". En réponse à des fuites d'informations causées par des cyberattaques répétées, ce paquet a été élaboré lors de la deuxième réunion des ministres concernés sur la cybersécurité, tenue au bureau du Premier ministre.

Le gouvernement considère ce paquet comme un point de départ pour passer à un système de cybersécurité adapté à l'ère de l'IA. En vue de renforcer la réponse aux cyberattaques, un budget d'environ 10 milliards de yens a également été prévu.

Les cas de dommages ont souvent été dus à des vulnérabilités connues laissées sans surveillance, à des configurations de sites web inadéquates, et à un manque de mesures de sécurité lors du développement, ce qui montre que les mesures de base des organisations ou des sous-traitants étaient insuffisantes. Ces faiblesses peuvent être exploitées rapidement et à grande échelle grâce aux avancées de l'IA, ce qui constitue un "problème que notre société doit aborder dans son ensemble".

L'objectif final est d'atteindre une "société avec un niveau de résilience cybernétique parmi les plus élevés au monde".

Le paquet se compose des quatre piliers suivants :

• Renforcement des mesures de sécurité de base utilisant l'IA
• Collecte et agrégation des informations sur les attaques, et renforcement des capacités d'enquête et d'analyse
• Réponse stratégique aux cyberattaques
• Renforcement du soutien aux victimes et des mesures pour prévenir l'aggravation des dommages

Comme mesures concrètes, une "équipe de talents de haut niveau" composée de professionnels spécialisés sera mise en place au sein de l'Organisation pour la promotion du traitement de l'information (IPA) pour effectuer des vérifications de vulnérabilités et des tests de pénétration utilisant l'IA. Un système sera également mis en place pour collecter et analyser les informations sur les attaques auprès des entreprises et des fournisseurs de sécurité, sous la direction du Bureau national de cybersécurité.

Pour éviter que les organisations ou les individus touchés ne se retrouvent isolés, des lignes de consultation seront également mises en place. Pour les entreprises, des lignes de consultation gratuites seront établies, notamment un bureau de la police dédié aux victimes d'entreprises et l'IPA. Pour les particuliers, un point d'entrée sera fourni par le Centre de consommation (188), avec des informations sur les lignes de consultation pour les personnes touchées par des fuites d'informations sur le site web du bureau du Premier ministre.

Le Bureau national de cybersécurité partagera les informations sur les méthodes d'attaque avec tous les points de consultation, afin que toute personne qui consulte puisse obtenir de l'aide.

Le "site spécial de réponse aux cybermenaces" ouvert le 30 octobre regroupe les lignes de consultation et les alertes. En cas de fausses informations ou de désinformation, des informations précises seront diffusées en collaboration avec les ministères concernés.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.