Phishing Crédit Agricole : «nos banques ont délégué leur sécurité à des tiers dont elles ne maîtrisent plus la chaîne»

# Phishing Crédit Agricole : «nos banques ont délégué leur sécurité à des tiers dont elles ne maîtrisent plus la chaîne»

*En 2026, les campagnes de phishing ciblant les clients de grandes banques françaises se sont intensifiées. La dernière vague visant le Crédit Agricole a remis sur la table une question que beaucoup évitaient : nos institutions financières maîtrisent-elles encore leur propre chaîne d'authentification ? Nous avons interrogé un directeur des systèmes d'information (DSI) d'une ETI du secteur financier, qui préfère rester anonyme.*

RiffLab Media : Cette vague de phishing ciblant les clients du Crédit Agricole, c'est un incident de plus ou un signal différent ?

C'est structurellement différent, et c'est ce qui m'inquiète. Le phishing — hameçonnage en français, c'est-à-dire la tentative de voler des identifiants en imitant un site ou un message légitime — existe depuis vingt ans. Mais ce que l'on observe aujourd'hui, c'est une industrialisation à grande échelle. Les kits de phishing sont vendus comme des services sur le dark web. N'importe qui peut lancer une campagne crédible contre une banque française sans compétence technique particulière.

Ce qui change aussi, c'est la qualité de l'usurpation. Les faux SMS, les faux emails imitent désormais parfaitement la charte graphique, le ton, les URLs. Pour un client non averti, la différence est quasi invisible. Et le vrai problème, c'est que nos banques n'ont pas toujours les moyens de répondre à la hauteur, parce qu'elles ont progressivement externalisé des briques critiques de leur sécurité.

RiffLab Media : Quand vous dites «externalisé», vous pensez à quoi concrètement ?

Je pense à tout ce qui touche à l'authentification forte — ce qu'on appelle la MFA, pour Multi-Factor Authentication, soit la vérification en plusieurs étapes de votre identité — et à la gestion des identités numériques des clients. Beaucoup d'établissements bancaires français s'appuient sur des fournisseurs de solutions d'identité dont les infrastructures sont hébergées aux États-Unis, ou opérées par des groupes soumis au droit américain.

Cela crée une dépendance invisible. L'authentification, c'est le verrou de sécurité principal. Si ce verrou est fabriqué, maintenu et potentiellement auditable par une entité étrangère, vous avez perdu une part de votre souveraineté opérationnelle — même si contractuellement tout paraît correct.

RiffLab Media : Le mot souveraineté revient souvent. Mais concrètement, quel est le risque juridique pour une banque française qui héberge ses briques d'authentification chez un opérateur américain ?

Le risque s'appelle le Cloud Act. C'est une loi américaine de 2018 qui autorise les autorités américaines à exiger l'accès aux données stockées ou transitant par des entreprises soumises au droit américain — et ce, même si les serveurs sont physiquement en Europe. Ce n'est pas une hypothèse d'école. C'est un vrai levier de pression extraterritoriale.

Appliqué à une banque : si votre fournisseur d'authentification est une filiale d'un groupe américain, les données de connexion de vos clients — les métadonnées, les logs d'authentification, les comportements — peuvent théoriquement être accessibles à une juridiction étrangère, sans que vous en soyez informé, et sans recours facile.

Et quand vous croisez ça avec le RGPD — le Règlement Général sur la Protection des Données, texte européen qui protège les données personnelles des citoyens européens — vous avez une contradiction juridique béante. Votre conformité RGPD peut être fragilisée par votre choix d'infrastructure, même involontairement.

RiffLab Media : NIS2 et DORA sont entrés en application. Est-ce que ces textes changent la donne pour les banques ?

Ils posent les bonnes questions, mais ils n'imposent pas encore les bonnes réponses. Permettez-moi d'expliquer rapidement ces deux sigles. NIS2 — pour Network and Information Security directive, version 2 — est une directive européenne de cybersécurité qui impose aux entités critiques, dont les banques, de sécuriser leur chaîne de sous-traitance numérique. DORA — Digital Operational Resilience Act — est un règlement spécifique au secteur financier européen qui exige que les établissements prouvent qu'ils maîtrisent les risques liés à leurs prestataires technologiques tiers.

Concrètement, sous DORA, une banque doit désormais cartographier tous ses prestataires critiques, évaluer leur résilience, et démontrer qu'elle peut fonctionner même si l'un d'eux défaille. C'est un progrès réel. Mais la lacune, c'est que DORA ne vous interdit pas de dépendre d'un acteur américain. Il vous demande juste de documenter cette dépendance. Documenter n'est pas la même chose que résoudre.

Ce que ces textes font, en revanche, c'est rendre visible ce qui était opaque. Et cette visibilité est un levier : les DSI peuvent désormais aller voir leur direction générale avec un dossier de conformité et dire «notre choix d'infrastructure crée un risque réglementaire documenté».

RiffLab Media : Que faut-il changer, selon vous, dans la façon dont les banques conçoivent leur authentification ?

La question centrale, c'est : qui contrôle le verrou ? Aujourd'hui, beaucoup de banques ont un beau portail en français, avec leur logo, mais le mécanisme d'authentification derrière est géré par un prestataire dont elles sont clientes, pas propriétaires.

Reprendre le contrôle, c'est d'abord reprendre la maîtrise des flux d'identité. Il existe des acteurs européens — des éditeurs de solutions d'IAM, pour Identity and Access Management, gestion des identités et des accès — qui proposent des alternatives. Ce n'est pas une question de patriotisme, c'est une question de maîtrise du risque.

Ensuite, il faut investir dans la détection côté client. Le phishing prospère parce que les banques avertissent, mais ne protègent pas assez activement. Des mécanismes comme le DMARC — un protocole de vérification de l'authenticité des emails — ou des solutions de surveillance des domaines frauduleux existent et restent sous-utilisés. Ces outils ne demandent pas de dépendre d'un acteur étranger. Ils demandent de la rigueur opérationnelle.

RiffLab Media : Un mot pour les DSI de PME et ETI qui nous lisent et qui ne sont pas dans le secteur bancaire. Ce sujet les concerne-t-il ?

Directement. Ce qui se passe dans les banques est un cas d'école, mais la logique s'applique à n'importe quelle organisation qui a externalisé son authentification ou sa gestion des identités à un acteur dont elle ne contrôle pas la chaîne juridique.

Demandez-vous : si demain votre fournisseur de solution d'authentification reçoit une injonction d'une juridiction étrangère, que se passe-t-il pour vos données ? Qui en est informé ? Qui peut agir ?

Si vous n'avez pas de réponse claire à ces trois questions, vous avez un angle mort dans votre cartographie des risques. Et sous NIS2, cet angle mort peut vous coûter très cher — pas seulement en termes de sanction, mais en termes de crédibilité auprès de vos clients et de vos partenaires.

La souveraineté numérique, ce n'est pas un slogan politique. C'est une question de résilience opérationnelle concrète. Et le phishing bancaire, aussi spectaculaire qu'il soit, n'est que la face visible d'une dépendance systémique qu'on a trop longtemps ignorée.

*Cet entretien a été réalisé avec un DSI du secteur financier souhaitant conserver l'anonymat. Les propos ont été reformulés pour la clarté et la fluidité de lecture.*