Cyberattaques: la BCE demande un plan d'urgence aux grandes banques

La Banque centrale européenne demande mardi aux patrons de grandes banques européennes de lui présenter d’ici fin octobre leurs plans d’action face à l’aggravation des cybermenaces liée aux progrès récents de l’intelligence artificielle (IA).

Dans une lettre adressée aux 110 établissements placés sous sa supervision directe, la présidente du conseil de surveillance prudentielle de la BCE, Claudia Buch, estime que les nouveaux modèles d’IA capables d’identifier des vulnérabilités informatiques et de générer des outils d’attaque automatisés constituent « une transformation durable du paysage des menaces et non un phénomène temporaire ».

L’annonce début avril par la start-up américaine Anthropic de nouveaux modèles d’intelligence artificielle a conduit à un changement significatif du paysage de la cybersécurité, avec une menace pesant sur le système financier européen.

« Si ces évolutions n’introduisent pas de nouveaux risques à proprement parler, elles augmentent considérablement la vitesse et l’ampleur avec lesquelles ces risques peuvent se matérialiser », selon Mme Buch.

La BCE demande ainsi aux grands établissements, de Deutsche Bank à BNP Paribas en passant par Santander, de lui soumettre avant le 31 octobre un plan détaillant les mesures immédiates et de plus long terme envisagées pour renforcer leur résilience face aux cyberattaques.

Le superviseur européen insiste pour que cette démarche soit portée au plus haut niveau des banques.

« La responsabilité de la réponse à cet environnement de risque en mutation incombe avant tout aux organes de direction des banques », souligne Mme Buch.

Cette initiative intervient parallèlement à un avertissement publié mardi par le Comité européen du risque systémique (CERS), qui met en garde contre les « risques cyber systémiques découlant des modèles d’intelligence artificielle de pointe ».

Selon le CERS, ces modèles dits « frontier » pourraient à terme renforcer la sécurité informatique mais offrent actuellement « un avantage aux acteurs malveillants », en leur permettant d’identifier des failles et de mener des cyberattaques « avec une vitesse, une ampleur et une sophistication accrues ».

L’organisme a relevé en juin son évaluation du risque cyber systémique de « élevé » à « sévère » et appelle l’Union européenne à renforcer ses capacités et son autonomie stratégique dans ce domaine.

La BCE ne prévoit pas, elle, d’imposer une réponse uniforme à l’ensemble du secteur. Les mesures attendues devront tenir compte de la situation propre à chaque établissement, notamment de sa dépendance à certains fournisseurs technologiques, de ses logiciels open source ou encore de l’ancienneté de ses systèmes informatiques.

Même si l’accès à ces modèles d’IA reste encore limité pour de nombreuses banques, la BCE les exhorte à corriger sans délai les vulnérabilités déjà identifiées lors de précédents contrôles prudentiels.

En France, l’Autorité des marchés financiers (AMF) a également appelé en juin les acteurs financiers à renforcer leurs dispositifs de cybersécurité face à la montée des risques liés à l’intelligence artificielle.

jpl/clp/spi