Code généré par IA : sécuriser la chaîne de développement quand une partie du code n’est plus écrite par des humains
Les assistants de programmation fondés sur des grands modèles de langage se sont installés dans les directions informatiques, y compris dans la banque et l’assurance. L’ANSSI et son homologue allemand, le BSI, le constataient dès octobre 2024 : ces outils sont déjà largement utilisés dans de nombreuses organisations publiques et privées. Ils complètent des fonctions, suggèrent des bibliothèques, rédigent des tests et peuvent, par des extensions, agir pour le compte du développeur.
Certificats TLS : la fin des renouvellements annuels impose l’automatisation
Depuis le 15 mars 2026, un certificat TLS publiquement reconnu ne peut plus être émis pour plus de 200 jours. Jusqu’alors, la limite était de 398 jours, et beaucoup d’organisations vivaient au rythme d’un renouvellement annuel, déclenché par une alerte et traité à la main. Ce rythme ne tient plus : il faut désormais renouveler au moins deux fois par an, et le calendrier adopté par le CA/Browser Forum prévoit encore deux réductions, à 100 jours en mars 2027 puis à 47 jours en mars 2029.
Menace interne : prévenir et détecter le risque venant de l’intérieur
La plupart des dispositifs de sécurité ont été pensés contre un attaquant venu de l’extérieur. La menace interne renverse cette logique : celui qui la porte dispose d’identifiants légitimes, connaît les processus et bénéficie de la confiance de l’organisation. D’où la difficulté, relevée par l’ENISA, de distinguer un accès légitime d’un accès malveillant ou erroné.
Exposition publique et reconnaissance : ce que les attaquants savent de vos collaborateurs avant de passer à l’action
Une demande de modification de coordonnées bancaires arrive au service comptabilité fournisseurs. Elle cite le bon prestataire, le bon interlocuteur, la bonne référence de contrat, et tombe la semaine de la campagne de paiements trimestrielle. Le lendemain, le centre d’assistance informatique reçoit l’appel d’un collaborateur qui connaît le nom de son responsable, son service, sa date d’arrivée, et qui demande à réenrôler son second facteur d’authentification après la perte de son téléphone. Aucune de ces sollicitations ne contient d’élément technique malveillant. Leur force tient à leur exactitude.
Loi Résilience : ce que la transposition de NIS2 change pour le secteur financier et surtout pour ses fournisseurs
La directive NIS2 devait être transposée au plus tard le 17 octobre 2024. Près de deux ans plus tard, la France n’a toujours pas adopté sa loi de transposition. Le 8 juillet 2026, la Commission européenne a décidé de saisir la Cour de justice de l’Union européenne contre la France, ainsi que contre l’Irlande, l’Espagne et les Pays-Bas, pour défaut de communication des mesures de transposition. Elle demande une somme forfaitaire et des astreintes journalières.
Usurpation de domaine et sécurité de la messagerie : SPF, DKIM, DMARC et protection de la marque
Un client reçoit un courriel lui demandant de mettre à jour ses informations de connexion. Le message reprend la charte de sa banque, et l’adresse d’expéditeur porte le nom de domaine exact de l’établissement. Rien, dans le protocole de messagerie, n’empêche un tiers d’écrire cette adresse. L’ANSSI le rappelle : l’adresse source d’un courriel est laissée à la discrétion de l’expéditeur, et SMTP permet par construction d’usurper un domaine. Pour le CERT-FR, sans compromettre le moindre compte, il est aisé de contrefaire des courriels avec le nom de domaine d’une entité ou de ses interlocuteurs.
Threat intelligence et partage d’information sectoriel : renforcer la défense collective de la place financière
Un établissement financier attaqué l’est rarement seul. Les campagnes de phishing visant la place financière reprennent les mêmes infrastructures d’un établissement à l’autre. Les groupes cybercriminels réutilisent les mêmes modes opératoires. Les vulnérabilités exploitées affectent les mêmes produits, et les prestataires compromis sont souvent communs à plusieurs acteurs.
Cyber Resilience Act (CRA) : ce qui vient de changer pour les produits numériques utilisés dans la finance
Un collaborateur du secteur financier manipule couramment plusieurs dizaines de comptes : applications métier, outils bureautiques, portails de prestataires, services en ligne professionnels.
Exploitation des équipements exposés (VPN, pare-feu, passerelles) : un vecteur d’accès initial majeur pour le secteur financier
Un collaborateur du secteur financier manipule couramment plusieurs dizaines de comptes : applications métier, outils bureautiques, portails de prestataires, services en ligne professionnels.
Agents IA autonomes (agentic AI) : sécuriser les IA qui agissent, pas seulement celles qui répondent
Un collaborateur du secteur financier manipule couramment plusieurs dizaines de comptes : applications métier, outils bureautiques, portails de prestataires, services en ligne professionnels.