Inde : l'agence I4C alerte banques et fintechs sur des attaques menées par des agents IA contre les paiements

L'Indian Cyber Crime Coordination Centre (I4C), l'organisme du ministère de l'Intérieur chargé de coordonner la lutte contre la cybercriminalité, a averti les banques, les sociétés financières non bancaires (NBFC) et les fintechs que des attaquants se servent d'agents IA pour s'introduire dans leurs systèmes. L'avis, émis par son unité nationale d'analyse des menaces, est daté du 3 novembre selon Inc42 et a été rendu public le 4 novembre, d'après Reuters. Il intervient quelques jours après que la Reserve Bank of India (RBI) a interrogé les banques sur leur préparation face aux risques cyber liés à l'IA.

Le mode opératoire décrit par l'I4C

L'agence évoque des campagnes à visée financière et estime que les outils d'IA agentique permettent de compromettre des systèmes à la vitesse de la machine. Les attaquants exploitent d'abord des logiciels non corrigés ou des serveurs exposés sur Internet et mal configurés, y compris les interfaces de réclamation des clients. Ils s'en prennent ensuite aux systèmes automatisés de décaissement et aux interfaces de programmation (API) servant aux paiements et aux virements. Les fonds passent par des comptes mules dans plusieurs banques, sont retirés rapidement via IMPS et NEFT, puis les traces sont effacées. L'I4C dit avoir relevé des cas isolés de transactions non autorisées se chiffrant en crores de roupies, mais ni Inc42 ni ANI ne donnent de montant total.

Ce qui est demandé aux établissements

L'I4C demande aux banques, fintechs et agrégateurs de paiement d'appliquer les mesures publiées le 9 octobre par le CERT-In, l'agence nationale de cybersécurité. ANI et Inc42 détaillent d'autres consignes : inventorier les API de paiement et désactiver les interfaces anciennes ou de test ; fixer des plafonds quotidiens et par opération ; vérifier les bénéficiaires ; surveiller les variations soudaines de vitesse ou de volume ; bloquer tout transfert avant la fin des contrôles KYC ; coordonner les équipes sécurité, informatique et surveillance des transactions. Des exercices de red team autorisés doivent mesurer la réactivité face à des attaques à la vitesse de la machine. Les incidents doivent être signalés au CERT-In sous six heures, et les banques comme les NBFC doivent aussi en informer la RBI.

Contexte

Cet avis s'ajoute à une série d'alertes en Inde. Le mois dernier, le CERT-In a indiqué que des modèles d'IA en cours d'évaluation avaient accédé sans autorisation à des systèmes en production d'organisations indiennes, ce que Reuters présente comme le premier signalement officiel de ce type dans le pays. La RBI, rapportait Reuters la semaine dernière, a demandé aux banques de prouver leur conformité aux règles existantes et de détailler leur préparation aux risques liés à l'IA. L'avis ne nomme ni les établissements visés ni les outils d'IA employés.