Les experts de Kaspersky Lab ont étudié la façon dont les cybercriminels pourraient exploiter les nouvelles technologies d’authentification des distributeurs automatiques (DAB) prévues par les banques. Tandis que de nombreux établissements financiers envisagent les solutions biométriques comme l’un des ajouts les plus prometteurs aux méthodes existantes d’authentification, voire un moyen de les remplacer totalement, les cybercriminels voient également dans la biométrie une nouvelle opportunité de dérober des informations sensibles.
Les DAB sont depuis des années la cible d’escrocs à la recherche de numéros de carte de crédit. Tout a commencé avec des « skimmers » primitifs : des dispositifs bricolés et fixés sur le distributeur – capables de pirater les informations figurant sur les pistes magnétiques des cartes ainsi que leurs codes confidentiels à l’aide d’un faux clavier ou d’une webcam. Au fil du temps, la conception de ces dispositifs a été perfectionnée afin de les rendre moins visibles. Avec l’apparition des cartes à puce, plus difficiles (quoique pas impossibles) à dupliquer, les dispositifs ont évolué pour devenir des « shimmers », dans une large mesure, identiques mais à même de lire les informations contenues dans la puce, suffisantes pour lancer une attaque relais en ligne. Le secteur bancaire y répond avec de nouvelles solutions d’authentification, dont certaines reposent sur la biométrie.
Des nouveaux systèmes de biométrie à l’étude
Selon une enquête de Kaspersky Lab dans les milieux de la cybercriminalité, on dénombre déjà au moins douze offres de skimmers en mesure de dérober les empreintes digitales de leurs victimes. Par ailleurs, au moins trois chercheurs clandestins travaillent déjà sur des dispositifs capables de pirater les systèmes de reconnaissance du réseau veineux de la paume de la main ou de l’iris.
La première vague de skimmers biométriques a été observée en phase de « tests avant-vente » en septembre 2015. Les indices recueillis par les chercheurs de Kaspersky Lab révèlent que pendant ces premiers tests, les développeurs ont découvert plusieurs bugs. Le principal problème tient à l’utilisation de modules GSM pour le transfert des données biométriques car ceux-ci sont trop lents pour transmettre les importants volumes d’informations obtenues. En conséquence, de nouvelles versions de ces skimmers utiliseront d’autres techniques plus rapides de communication.
Des cybercriminels discutent déjà de manière détournée au sujet du développement d’applications mobiles qui permettraient de superposer un masque à un visage. Avec ce type d’application, des cybercriminels peuvent copier la photo d’une personne sur les réseaux sociaux et s’en servir pour leurrer un système de reconnaissance faciale.