Abrigo a désactivé sa plateforme de prêts Sageworks le 30 oct. après avoir détecté une activité suspecte dans ses systèmes. Dans une mise à jour publiée le 2 nov., Abrigo a indiqué que la plateforme était de nouveau disponible, à l’exception des fonctionnalités destinées aux emprunteurs concernés par les services en ligne.
Sageworks prend en charge les prêts et l’analyse de crédit pour les banques et coopératives de crédit américaines. La fermeture a affecté Sageworks Analyst, Sageworks API et Online Portal Now, qui permet aux emprunteurs d’accéder aux services de prêt en ligne. Abrigo n’a confirmé ni cyberattaque ni fuite de données, et le nombre d’établissements concernés reste inconnu. Les banques doivent désormais vérifier que leurs systèmes fonctionnent, examiner les demandes traitées pendant la panne et confirmer à quel moment les clients pourront utiliser à nouveau la plateforme en toute sécurité.
Abrigo a désactivé Sageworks pendant son enquête sur une activité irrégulière
BleepingComputer a rapporté qu’Abrigo avait détecté une activité irrégulière le 30 oct. et désactivé Sageworks vers 11 h 25, heure de l’Est. La fermeture s’est poursuivie pendant le week-end.
Les mises à jour du statut d’Abrigo consignées par le service de surveillance IsDown décrivent l’enquête et l’annonce du 2 nov. selon laquelle la plateforme était de nouveau disponible, à l’exception des fonctionnalités destinées aux emprunteurs. La dernière mise à jour vérifiée indépendamment pour ce rapport était datée du 2 nov.
Ross Filipek, CISO chez Corsica Technologies, a déclaré que la fermeture laissait penser qu’Abrigo jugeait la poursuite de l’exploitation trop risquée pendant son enquête. Cette décision ne permet toutefois pas d’établir la cause de l’activité inhabituelle.
« Désactiver un compte compromis est une chose. Interrompre un service dont dépendent les clients a un coût différent », a déclaré Filipek.
Abrigo n’a pas établi publiquement si des attaquants avaient accédé à ses systèmes ou aux données de ses clients. Sa décision d’interrompre les services ne doit pas être interprétée comme la preuve d’une fuite.
Le rétablissement de la plateforme de prêts peut laisser les emprunteurs dans l’attente
Sageworks prend en charge l’octroi de prêts, l’analyse de crédit et le suivi du risque de portefeuille. La documentation destinée aux développeurs d’Abrigo décrit comment les établissements financiers peuvent utiliser des identifiants d’API pour enregistrer des emprunteurs, obtenir des jetons de connexion et lancer des sessions sur le portail en ligne.
Si ces fonctionnalités restent indisponibles, les emprunteurs peuvent être dans l’impossibilité de remplir leur demande en ligne, tandis que les chargés de prêts doivent suivre les dossiers au moyen de canaux alternatifs approuvés. Les demandes reçues pendant l’interruption pourront également devoir être rapprochées lorsque les systèmes seront rétablis.
Filipek a averti que l’interruption des processus de prêt pouvait laisser des arriérés au-delà de la panne. Il a exhorté les établissements à vérifier l’intégrité des données financières et à fournir aux clients des instructions claires concernant des solutions de remplacement sûres.
Abrigo affirme servir plus de 2 400 établissements financiers, mais ce chiffre couvrant l’ensemble de l’entreprise n’indique pas combien ont subi une interruption.
Les banques ont besoin de plus qu’une notification de rétablissement du service
Avant de reprendre le traitement habituel, les équipes chargées de la sécurité bancaire, des prêts et de la gestion des fournisseurs devraient évaluer leur capacité à se rétablir après des perturbations opérationnelles, en commençant par trois vérifications :
- Tester l’intégralité du parcours de l’emprunteur. Vérifiez l’accès au portail, l’envoi des demandes et les accusés de réception. Rapprochez les demandes en attente des formulaires recueillis manuellement, puis indiquez aux demandeurs quels canaux ils peuvent utiliser en toute sécurité.
- Examiner les intégrations et les données. Vérifiez les journaux d’API, les périmètres d’accès et l’historique des transactions. Les recommandations d’Abrigo concernant son API expliquent comment les établissements gèrent les identifiants clients. Coordonnez toute rotation préventive avec le fournisseur, car le vol d’identifiants n’a pas été confirmé.
- Confirmer le plan de rétablissement et de signalement. Demandez à Abrigo quels services sont entièrement rétablis, si les contrôles d’intégrité des données sont terminés et comment les établissements recevront les mises à jour. Les recommandations fédérales applicables au secteur bancaire soulignent la surveillance des fournisseurs de services critiques et la planification de la continuité.
En vertu des règles fédérales de notification des incidents, les établissements bancaires concernés doivent avertir leur régulateur fédéral principal dès que possible, et au plus tard 36 heures après avoir déterminé qu’un incident à notifier s’est produit. Les fournisseurs de services concernés doivent informer les banques clientes touchées dès que possible après avoir déterminé qu’un incident de cybersécurité a matériellement perturbé ou dégradé — ou qu’il est raisonnablement susceptible de matériellement perturber ou dégrader — des services couverts pendant au moins quatre heures. Il n’est pas établi que ces seuils aient été atteints dans le cas présent.
« La pression pour rétablir les services ne devrait pas l’emporter sur la nécessité de garantir l’intégrité de la plateforme », a déclaré Filipek.
Une banque doit pouvoir dire à un demandeur si sa demande de prêt a été reçue, s’il doit la soumettre à nouveau et à quel moment le traitement en ligne est de nouveau sûr. Tant que le personnel ne peut pas répondre à ces questions, l’avis de rétablissement d’Abrigo ne constitue qu’une partie du processus de reprise.
À lire aussi : Les chercheurs de Group-IB ont découvert comment des pirates ont exploité gratuitement les services d’open banking pour tester des identifiants bancaires volés, suscitant des inquiétudes concernant l’utilisation abusive des identifiants et la sécurité des plateformes financières.