Attaque de comptes bancaires allemands : sept arrestations en Allemagne, au Brésil et en Europe

Sept arrestations dans une fraude de 30 millions d’euros

Les autorités allemandes et brésiliennes ont récemment annoncé l’arrestation de sept personnes dans le cadre d’une attaque qui aurait permis de dérober environ 30 millions d’euros sur les comptes bancaires d’utilisateurs allemands à la fin de 2023.

La police fédérale allemande, la BKA, a annoncé l’interpellation de trois suspects en Europe. Les accusations portent sur une fraude visant des clients de services bancaires en ligne. Des poursuites seront engagées en Espagne et en Bulgarie, avec la participation des autorités locales et du parquet de Francfort.

Au Brésil, la police fédérale a arrêté quatre autres personnes dans le cadre de l’Operação Klonen, également appelée Operation Clone. L’opération a conduit à l’exécution de 21 mandats de perquisition et de saisie dans plusieurs régions du pays.

Le butin est estimé à environ 30 millions d’euros, soit 34,7 millions de dollars. Ce montant illustre l’ampleur financière de l’attaque, mais les autorités n’ont pas précisé quelle somme avait été récupérée.

L’attaque s’est concentrée sur la chaîne de paiement

Selon la reconstitution de la BKA, les attaquants ont opéré pendant quatre jours en novembre 2023. Durant cette période, ils auraient effectué de nombreux retraits non autorisés sur les comptes d’utilisateurs allemands de services bancaires en ligne.

L’attaque aurait exploité une vulnérabilité présente chez un prestataire de services de paiement. L’entreprise concernée et le composant technique vulnérable n’ont pas été identifiés. Les autorités n’ont publié aucune information sur le code, la méthode de contournement de l’authentification, les systèmes compromis ou les outils éventuellement utilisés par les attaquants.

Cette distinction est importante. L’incident n’est pas présenté comme un simple vol d’identifiants par phishing, mais comme une attaque visant un maillon de la chaîne de traitement des paiements. Une faiblesse à ce niveau peut permettre de cibler plusieurs clients à partir d’un seul point d’accès, même lorsque les systèmes de la banque ne sont pas directement compromis.

Les autorités brésiliennes ont apporté une précision opérationnelle : des cartes de paiement clonées auraient été utilisées. Il n’a pas été établi si ces cartes ont servi à retirer directement les fonds, à les transférer entre différents comptes ou à effectuer des achats ensuite convertis en liquidités.

La banque n’a pas été officiellement identifiée

Aucune des forces de l’ordre n’a publiquement mentionné le nom de la banque ciblée. Des médias allemands et brésiliens ont toutefois associé l’enquête à Commerzbank.

La banque avait confirmé fin 2023 une attaque d’un montant de 30 millions d’euros et déclaré que ses clients ne subiraient aucune perte. Elle n’a pas immédiatement fourni de commentaires supplémentaires sur cette nouvelle étape de l’enquête.

L’absence d’identification officielle laisse plusieurs questions en suspens : le prestataire de services de paiement concerné, les systèmes utilisés pour autoriser les retraits et le fait que l’incident ait touché une seule infrastructure ou plusieurs intermédiaires restent inconnus.

Les versions des logiciels concernés n’ont pas non plus été rendues publiques. Il est donc impossible d’associer l’incident à une version précise, à un bulletin de sécurité ou à un identifiant CVE.

L’argent serait passé par plusieurs pays

Après les retraits, les fonds auraient été transférés et blanchis par l’intermédiaire de réseaux actifs au Brésil et dans quatre pays européens. La dimension géographique des opérations a nécessité une coordination entre les polices et les parquets de plusieurs États.

Les trois suspects interpellés en Europe seront poursuivis en Espagne et en Bulgarie. Les autorités espagnoles et bulgares, ainsi que le parquet de Francfort, ont également participé à l’enquête. Au Brésil, l’opération visait à la fois les personnes impliquées et les biens qui auraient pu être acquis avec les produits de la fraude.

Les tribunaux brésiliens ont ordonné la saisie d’actifs financiers, de véhicules et de biens immobiliers pour une valeur supérieure à 20 millions de dollars. Une saisie ne constitue pas une récupération définitive des fonds : les biens devront être évalués dans le cadre des procédures judiciaires et des éventuelles décisions de confiscation.

L’enquête a également mis au jour de possibles liens avec la politique locale. Une personne identifiée par les enquêteurs était candidate à un mandat électif en 2024 et aurait utilisé une partie des produits illicites pour financer sa campagne. Des médias locaux l’ont présentée comme candidate au conseil municipal de Rio de Janeiro, sans révéler son identité.

Lors des perquisitions, une imprimante 3D qui aurait servi à fabriquer des armes a également été saisie. Cette découverte élargit le champ de l’enquête au-delà de la fraude bancaire et du blanchiment, mais ne suffit pas à démontrer l’existence d’un lien opérationnel entre la fabrication des armes et l’attaque des comptes.

Ce que peuvent faire les banques et les clients

Les informations disponibles ne font état d’aucun correctif, mise à jour ou contournement public concernant la vulnérabilité du prestataire de services de paiement. Il n’est donc pas possible de recommander aux utilisateurs une version précise à installer ou une configuration particulière à modifier.

Pour les clients des services bancaires en ligne, les mesures les plus concrètes consistent à vérifier leurs relevés de compte et leurs notifications de paiement, en particulier pour la période durant laquelle les retraits ont eu lieu. Tout mouvement non reconnu, toute nouvelle carte émise sans demande ou toute connexion anormale doit être signalé immédiatement à la banque.

Les établissements financiers devraient quant à eux examiner les contrôles appliqués aux prestataires externes participant à l’autorisation et à l’exécution des paiements. Dans le cadre d’une attaque visant la chaîne d’approvisionnement, les protections de la banque ne suffisent pas si un composant intermédiaire peut générer ou valider des opérations frauduleuses.

Les contrôles prioritaires comprennent notamment la séparation des privilèges, la surveillance des retraits inhabituels, les plafonds dynamiques applicables aux transactions et la corrélation entre les connexions, les appareils, les cartes et les coordonnées des bénéficiaires. Le compte rendu public ne permet toutefois pas de déterminer lesquels de ces contrôles ont fait défaut lors de l’incident.

Une enquête qui manque encore de détails techniques

Les arrestations et les saisies montrent que l’enquête a permis d’identifier un réseau transnational, mais elles ne clarifient pas encore l’ensemble de la chaîne d’intrusion. Le nom du prestataire de services de paiement, la vulnérabilité exploitée, la méthode utilisée pour cloner les cartes et le montant récupéré restent inconnus.

Il ne semble pas non plus que cette vulnérabilité ait été ajoutée au catalogue Known Exploited Vulnerabilities (KEV) de la CISA. Aucune date d’ajout ni échéance de remédiation associée au catalogue n’est donc disponible pour ce cas.

Pour l’instant, l’affaire est principalement traitée comme une enquête judiciaire portant sur la fraude, le blanchiment et les transferts internationaux de fonds. La reconstitution technique de l’attaque dépendra des prochaines communications des autorités, des documents de procédure et des éventuelles informations publiées par la banque ou le prestataire concerné.