Attaques contre les paiements bancaires : quatre arrestations au Brésil dans une fraude de 30 millions d’euros

L’opération entre le Brésil et l’Allemagne

Quatre cybercriminels présumés ont été arrêtés au Brésil dans le cadre d’une enquête coordonnée par la Polícia Federal brésilienne et le Bundeskriminalamt (BKA) allemand. Trois autres suspects ont été identifiés en Europe et pourraient faire l’objet de poursuites judiciaires en Espagne et en Bulgarie.

L’opération, baptisée Operation Klonen, a donné lieu à l’exécution de 21 mandats de perquisition et de saisie dans sept villes brésiliennes. Les arrestations ont eu lieu à Rio de Janeiro, Guarulhos, Goiânia et Carapicuíba.

Les autorités reprochent aux suspects un vol aggravé par fraude informatique, la participation à une organisation criminelle et le blanchiment d’argent. Un tribunal fédéral brésilien a également ordonné la saisie d’avoirs financiers, de véhicules et de biens immobiliers pour un montant pouvant atteindre 106 millions de réaux brésiliens, soit environ 22,4 millions de dollars.

L’enquête porte sur une opération criminelle menée sur quatre jours en novembre 2023. Le préjudice total est estimé à environ 30 millions d’euros, soit 34,6 millions de dollars.

Une vulnérabilité introduite par une mise à jour défectueuse

Selon les éléments de l’enquête, les attaquants auraient exploité une vulnérabilité apparue après l’installation d’une mise à jour logicielle défectueuse chez un prestataire de services.

Le composant concerné faisait partie de l’infrastructure utilisée par un établissement financier pour traiter les paiements et les transactions. Le problème aurait permis d’initier de nombreux prélèvements ou retraits non autorisés sur des comptes de banque en ligne allemands.

L’affaire n’est donc pas présentée comme une simple compromission des identifiants des clients. Le point d’entrée serait un défaut introduit dans la chaîne technologique du prestataire, au sein d’un système ayant accès aux flux de paiement.

Ni l’identité du prestataire ni les versions logicielles concernées n’ont été communiquées. Aucun correctif, mise à jour corrective ou contournement technique destiné aux opérateurs utilisant la plateforme n’a été signalé.

Les autorités allemandes n’ont pas identifié publiquement l’établissement financier touché. Des médias brésiliens l’ont associé à Commerzbank, une banque européenne dont les revenus annuels dépassent 11,1 milliards d’euros.

La banque a confirmé que certains de ses clients avaient été concernés par des prélèvements automatiques non autorisés, causés par des problèmes techniques chez un prestataire. Commerzbank a toutefois précisé que ses clients n’avaient subi aucune perte financière et a déclaré avoir coopéré avec les enquêteurs.

Du retrait au transfert des fonds

Les auteurs présumés auraient ordonné de nombreux retraits depuis plusieurs comptes bancaires en ligne, avant de transférer les fonds vers le Brésil au moyen d’un réseau conçu pour compliquer la traçabilité de leur origine.

La majeure partie des sommes aurait été retirée au Brésil. Une part moins importante aurait été convertie en espèces dans quatre pays européens.

Le blanchiment aurait reposé sur plusieurs niveaux financiers et sociétaires : comptes de transit, sociétés, établissements de paiement, plateformes d’actifs virtuels et cartes de paiement émises sans le consentement des bénéficiaires.

Cette structure aurait permis de dissocier l’accès initial aux comptes des étapes ultérieures de transfert et d’encaissement. Les fonds pouvaient ainsi transiter par plusieurs intermédiaires avant d’être retirés ou convertis, ce qui complexifiait l’analyse forensique.

La présence d’acteurs dans plusieurs pays explique la coopération entre la Polícia Federal et le BKA. Les arrestations au Brésil s’accompagnent de procédures prévues en Espagne et en Bulgarie, où trois autres suspects auraient été identifiés.

Une enquête aux conséquences également politiques

Parmi les personnes arrêtées figure un candidat à une fonction élective en 2024. Selon les enquêteurs, une partie des fonds obtenus illégalement aurait servi à financer sa campagne politique.

Cet élément ajoute une dimension supplémentaire à une affaire initialement présentée comme une fraude visant des systèmes de paiement. La saisie de biens pouvant atteindre 106 millions de réaux brésiliens vise non seulement à récupérer une partie des sommes, mais aussi à empêcher le transfert ou la dispersion du patrimoine accumulé.

La valeur des biens saisis est supérieure à la perte estimée en euros, mais les deux montants ne sont pas directement comparables : la mesure brésilienne concerne des avoirs financiers et des biens attribuables aux suspects, et pas nécessairement des fonds encore présents sur les comptes utilisés pour la fraude.

L’enquête devra déterminer le rôle précis de chaque suspect, l’origine des fonds et les liens entre les personnes arrêtées au Brésil et celles identifiées en Europe.

Le risque pour les banques et les prestataires de services

Cet épisode illustre le risque associé aux mises à jour logicielles distribuées par des prestataires intervenant dans des processus financiers critiques. Un défaut au sein d’une plateforme de traitement peut avoir des conséquences bien plus vastes que celles généralement associées à une vulnérabilité applicative.

Lorsque le composant gère des paiements, des prélèvements ou des transferts, une erreur peut affecter directement l’intégrité des transactions. La surface d’attaque englobe alors non seulement les systèmes de la banque, mais aussi le code, les accès et les processus de contrôle du prestataire.

L’affaire souligne également la difficulté de distinguer rapidement un dysfonctionnement technique d’une action frauduleuse. Une mise à jour défectueuse peut modifier les flux opérationnels ; en exploitant cette situation, les attaquants peuvent transformer l’anomalie en une série coordonnée de transactions.

Une donnée contextuelle du Blue Report 2026 indique qu’après un accès initial obtenu avec des identifiants valides, les défenses ne bloquent les activités des attaquants que dans 37 % des cas. Cette statistique provient de 338 millions de simulations réalisées dans les environnements de production des clients et concerne la capacité à contrer des techniques individuelles.

Cette donnée ne mesure pas directement cet incident, mais elle aide à comprendre pourquoi un accès légitime ou apparemment légitime à des systèmes financiers peut rester opérationnel suffisamment longtemps pour permettre des fraudes complexes.

Ce que les organisations peuvent vérifier

Les versions vulnérables, les indicateurs techniques, les noms de fichiers, les adresses et autres éléments utiles à une recherche immédiate dans les systèmes n’ont pas été communiqués. Il n’est donc pas possible d’associer l’affaire à un correctif précis ou à une règle de détection spécifique.

Les banques et les prestataires impliqués dans des processus de paiement peuvent néanmoins examiner les mises à jour installées au cours de la période précédant l’opération criminelle, en corrélant les modifications avec les pics inhabituels de prélèvements et de retraits.

Les contrôles suivants sont également pertinents :

• transactions répétées vers des comptes récemment ouverts ;
• transferts vers des intermédiaires ou des plateformes d’actifs virtuels ;
• émission anormale de cartes de paiement ;
• accès effectués avec des identifiants valides, suivis d’opérations inhabituelles ;
• changements soudains de bénéficiaires ou de limites de transaction.

Le prestataire devrait également être en mesure de déterminer quels composants ont été mis à jour, quels comptes techniques ont opéré sur les systèmes et quels contrôles ont validé les transactions.

À ce stade, les mesures rendues publiques sont principalement d’ordre judiciaire et répressif : coopération internationale, arrestations, perquisitions et saisie de biens. On ignore si le prestataire a déployé un correctif, modifié l’architecture du service ou mis en place des contrôles supplémentaires sur les opérations de paiement.