La BCE impose un plan de cybersécurité basé sur l’IA aux banques de la zone euro d’ici octobre 2026
Le 7 juillet 2026, la Banque centrale européenne (BCE) a ordonné aux banques de la zone euro de développer un plan pour contrer les cybermenaces liées à l’intelligence artificielle (IA) avant le 31 octobre 2026. Ce mandat concerne les institutions financières opérant en Autriche, Belgique, Bulgarie, Croatie, Chypre, Estonie, Finlande, France, Allemagne, Grèce, Irlande, Italie, Lettonie, Lituanie, Luxembourg, Malte, Pays-Bas, Portugal, Slovaquie, Slovénie et Espagne.
Cette initiative ne se limite pas à une simple directive : elle fixe une échéance cruciale pour que les banques prennent des mes face à des cybermenaces de plus en plus sophistiquées. L’identité des utilisateurs est présentée comme l’une des rares couches de sécurité que les banques peuvent renforcer rapidement, sans attendre des mises à jour d’infrastructure ou des directives de fournisseurs.
La BCE agit dans un contexte où l’identité est devenue la principale cible pour les cybercriminels, avec 86 % des attaques de phishing désormais alimentées par l’IA. Les régulateurs soulignent que l’écart entre la découverte d’une vulnérabilité et son exploitation s’est considérablement réduit, passant de plusieurs semaines à quelques minutes dans le cas d’attaques assistées par l’IA.
Trois tendances majeures exacerbent cette situation :
Exploitation autonome des vulnérabilités : Les modèles d’IA avancés peuvent identifier et exploiter des failles de sécurité sans intervention humaine.
Phishing à grande échelle : Les cybercriminels utilisent l’IA pour créer des contenus d’hameçonnage personnalisés plus rapidement et en plus grand nombre.
Prise de contrôle rapide des comptes : L’IA permet aux attaquants de passer du vol d’identifiants à la prise de contrôle de comptes en quelques minutes.
Pour faire face à cette réalité, la BCE recommande aux banques de mettre en place des contrôles d’identité robustes, notamment :
Authentification résistante à l’hameçonnage : Utilisation de méthodes telles que l’authentification matérielle FIDO2/WebAuthn pour limiter les risques liés aux codes et approbations push.
Protection des points d’accès : Renforcement de la sécurité des connexions publiques et des services d’assistance pour prévenir les attaques ciblant ces vecteurs.
Les banques doivent également évaluer leur exposition aux menaces liées à l’IA et élaborer des plans d’action documentés.
Ce mandat s’inscrit dans un cadre réglementaire plus large, notamment en lien avec la directive DORA, qui exige également des mes de sécurité renforcées. En effet, les banques qui mettent en œuvre une authentification robuste répondent à plusieurs exigences réglementaires simultanément.
La recherche en cyber-renseignement d’IBM a révélé une augmentation de 44 % d’une année sur l’autre concernant l’exploitation des applications publiques, principalement due à la collecte d’identifiants assistée par l’IA. Les organisations qui adoptent des solutions d’authentification modernes, comme les clés de sécurité matérielles, observent une réduction des prises de contrôle de compte allant jusqu’à 99,9 %.
En résumé, le mandat de la BCE met en lumière l’urgence pour les banques de renforcer leur cybersécurité face à des menaces de plus en plus complexes.
Source : Banque centrale européenne (BCE)
