Les app personnelles et l’IA générative représentent un risque important pour la protection des données réglementées dans le secteur des services financiers

Face à l’adoption généralisée de diverses applications personnelles et d’outils utilisant l’IA générative dans le secteur des services financiers, les chercheurs du Threat Labs de Netskope mettent en garde contre le risque associé à ce phénomène pour les données réglementées (notamment celles qui sont couvertes par le RGPD).

Tribune Netskope – Le rapport, consacré aux tendances les plus récentes en matière de cybersécurité dans les entreprises et services financiers, couvre trois risques majeurs affectant ce secteur : l’utilisation d’applications personnelles, l’usage de l’IA générative et les diverses menaces d’ingénierie sociale.

Principales conclusions de cette étude :

• Risques liés aux applications personnelles : 13 % des employés du secteur des services financiers téléchargent des données sensibles sur des applications cloud personnelles. Certes, 83 % des entreprises mettent en place des systèmes de contrôle pour bloquer ce type de téléchargement, mais certaines restent vulnérables.
• • Le plus inquiétant : 74 % des atteintes aux politiques en matière de données pour les applications personnelles sont dues au téléchargement de données personnelles et financières réglementées.

• • Google Drive et OneDrive sont, respectivement, en troisième et quatrième position des destinations les plus populaires pour les activités d’importation, de publication ou d’envoi de données vers les boîtes mail, les applications d’IA générative, les réseaux sociaux ou les stockages cloud utilisés à titre personnel.

• • Cela démontre l’importance d’inclure une visibilité contextuelle dans toute politique de sécurité afin de pouvoir différencier les instances professionnelles et personnelles des applications offrant ces deux types d’usage.

• Risques liés à l’IA générative : 95 % des entreprises de services financiers utilisent des applications d’IA générative.
• • ChatGPT reste l’application la plus utilisée dans les services financiers, mais son adoption s’est stabilisée. Copilot (Microsoft) a connu une croissance rapide tout au long de l’année, tout comme Gemini (Google) et Claude (Anthropic), ainsi que les assistants QuillBot et Gamma pour, respectivement, la réécriture de textes et la conception de présentations.

• • Les atteintes constatées aux politiques des données dans les applications d’IA générative étaient liées, en proportion égale, à des contenus relevant de la propriété intellectuelle, à du code source et à des données soumises à réglementation.

• • 90 % des entreprises du secteur financier bloquent au moins une application d’IA générative, avec un nombre d’applications bloquées qui ne cesse d’augmenter.

• • Des stratégies plus nuancées, comme la prévention des pertes de données (DLP) et un accompagnement des utilisateurs en temps réel, ont gagné en popularité cette année ; l’utilisation de la DLP pour contrôler l’IA générative est ainsi passée de 35 % à 52 % au cours de l’année dans le secteur financier.

• Menaces d’ingénierie sociale : tous les mois, dans le secteur financier, près de 1,5 utilisateur sur 100 rencontre une tentative de phishing ou une incitation au téléchargement d’un logiciel malveillant. Sur ce total, 4,7 utilisateurs sur 1 000 visitent une page de phishing, tandis que 9,8 utilisateurs sur 1 000 téléchargent un malware.
• • La plateforme de partage de code GitHub est l’application cloud la plus utilisée pour diffuser des logiciels malveillants.

• • Près de la moitié des attaques de phishing recensées imitaient des applications cloud et des institutions bancaires. Microsoft est la marque la plus souvent imitée dans les attaques de phishing sur le cloud, tandis que de fausses pages DocuSign et Adobe ont été fréquemment utilisées pour voler les identifiants de connexion à destination de divers autres services.

• • L’empoisonnement SEO, qui consiste à manipuler les référencements des moteurs de recherche en faveur de pages de phishing, s’avère être une technique efficace pour pousser les professionnels du secteur financier à télécharger des malwares.

« Les informations personnelles et financières sensibles gérées par les entreprises du secteur des services financiers en font une cible de choix pour les hackers, qui misent largement sur l’ingénierie sociale pour s’implanter dans les structures ciblées, déclare Ray Canzanese, Threat Research Director au Netskope Threat Labs. Le phishing et les malwares sont devenus très répandus, près de 1,5 % des utilisateurs rencontrant une page de phishing ou téléchargeant un logiciel malveillant chaque mois. Ce taux montre à quel point il est urgent de mettre en place des stratégies anti-phishing et anti-malware efficaces dans ce secteur. 

Les risques liés aux applications personnelles et à l’IA générative figurent en tête des préoccupations des banques, compagnies d’assurances et autres sociétés du secteur financier censées protéger les informations sensibles qui leur sont confiées. Alors que l’adoption de l’IA générative ne cesse d’augmenter, ces entreprises continuent de rattraper leur retard, en mettant en œuvre de nouveaux systèmes de contrôle, tels que la DLP et l’accompagnement des utilisateurs avec rappel des règles en temps réel pour réduire les risques. »

Le Threat Labs de Netskope recommande aux entreprises des services financiers de s’assurer qu’elles sont bien protégées contre les risques liés aux applications personnelles, à l’IA générative et aux attaques d’ingénierie sociale en :

• Inspectant l’ensemble du trafic HTTP et HTTPS (cloud et web) afin d’identifier toute présence de phishing, de malwares ou d’autres contenus nuisibles.
• Procédant à une analyse statique et dynamique approfondie avant tout téléchargement de fichiers à haut risque, tels que les exécutables et les archives.
• Bloquant l’accès aux applications dépourvues d’utilité professionnelle légitime ou présentant un risque significatif pour l’entreprise. Cela commence par autoriser les applications validées actuellement utilisées par les équipes et par bloquer toutes les autres.
• Interdisant les téléchargements à partir d’applications et d’instances qui ne sont pas utilisées dans l’entreprise afin de réduire la surface de risque aux seules applications et instances nécessaires à l’activité.
• Bloquant les téléchargements vers des applications et des instances non utilisées par l’organisation afin de réduire le risque d’exposition accidentelle ou délibérée de données par des personnes internes ou d’accès non autorisé par des cybercriminels.
• Appliquant des politiques DLP pour détecter la présence d’informations potentiellement sensibles lors d’envois vers des instances d’applications personnelles, des applications d’IA générative ou d’autres emplacements non autorisés (par exemple du code source, des données soumises à réglementation, des mots de passe et des clés de sécurité, des données relevant de la propriété intellectuelle ou encore des données chiffrées).
• Adoptant l’accompagnement des utilisateurs en temps réel pour leur rappeler, à chaque interaction, les règles à suivre concernant les applications d’IA, les applications personnelles et les données sensibles.
• Analysant les réponses à ces rappels des règles pour affiner et créer des politiques plus nuancées, en veillant à ce que l’accompagnement reste ciblé et efficace et ne soit pas perçu comme inutilement répétitif.
• Passant régulièrement en revue l’activité, les tendances, les comportements et le niveau de sensibilité des données associés aux applications d’IA afin d’identifier les risques pour l’entreprise et de configurer des politiques aptes à atténuer ces risques.
• Utilisant un système de prévention des intrusions (IPS) pour identifier et bloquer les profils de trafic nuisibles, tels que les trafics de commande et de contrôle associés aux malwares les plus répandus. Le blocage de ce type de communication peut prévenir d’autres incidents en entravant la capacité d’action des attaquants.
• Adoptant une plateforme d’analyse des comportements pour identifier certaines menaces furtives, telles que les appareils ou comptes compromis, ainsi que diverses menaces internes. Une telle plateforme peut en effet détecter des éléments malveillants complexes et difficiles à identifier dans l’environnement, par exemple, les balises C2 modulables propres aux frameworks comme Mythic et Cobalt Strike.
• Utilisant la technologie RBI (Remote Browser Isolation) pour fournir une protection supplémentaire lors de la visite de sites web au profil de risque élevé, en particulier les domaines nouvellement détectés ou nouvellement enregistrés.

Les informations présentées dans ce rapport sont basées sur des données d’utilisation anonymes collectées par la plateforme Netskope One et concernant un sous-ensemble de clients de Netskope ayant reçu une autorisation préalable. Pour obtenir le rapport complet, veuillez cliquer ici.