La Commission de surveillance financière (CSF) exige la remise d’un rapport complet sur les incidents de sécurité informatique ayant touché la SinoPac Bank et la Taipei Fubon Commercial Bank. Le régulateur financier a formulé cette exigence après la découverte d’anomalies de transfert sur les comptes de plusieurs centaines de clients.
Cette affaire est suivie de près par les autorités. Selon les informations communiquées par les dirigeants de la SinoPac Bank, dont le président du conseil d’administration Tsao Wei-shih et le président Chiang Ming-fu lors d’une conférence de presse, l’incident initial est survenu le 3 novembre.
L’attaque, qualifiée d’usage abusif d’API et de contournement d’authentification plutôt que de hameçonnage classique, a touché 418 clients pour un total de 427 transactions non autorisées. La somme globale s’élève à 4,176 millions de nouveaux dollars taïwanais.
Les investigations ont révélé que les victimes possédaient majoritairement un numéro d’identification commençant par la lettre P. Cela indique une sélection aléatoire par balayage d’adresses valides plutôt qu’une fuite massive de données personnelles des fichiers de la banque.
Dès les premières alertes reçues par le service client le matin du 3 novembre vers 9 h 29, l’établissement a enclenché ses procédures internes d’urgence. Vers 10 h 30, la Taipei Fubon Commercial Bank a été prévenue afin de bloquer et de geler le compte récepteur.
« Le compte de la partie réceptrice est actuellement gelé, de sorte que l’argent ne sortira pas, » a précisé le directeur général adjoint du Bureau de la banque de la CSF, Wang Yun-chung. La SinoPac Bank a ensuite suspendu et retiré l’application mobile mise en cause, tout en confiant une enquête approfondie à une équipe de sécurité externe.
La gestion de la chaîne d’approvisionnement logicielle et la sous-traitance en cascade font désormais l’objet d’un examen minutieux de la part des experts en cybersécurité et des autorités. Des sources proches du dossier indiquent que le fournisseur principal aurait fait appel à un sous-traitant (Luxoft), dont certaines modifications techniques auraient été effectuées à distance depuis l’étranger.
La Commission de surveillance financière (CSF) exige la remise d’un rapport complet de la part de l’établissement financier. La CSF a fixé au 12 novembre la date limite pour la remise du rapport d’incident majeur par la banque, qui prévoit par ailleurs d’engager des poursuites en vue d’une demande de dédommagement auprès de son fournisseur.
À ne pas manquer