Par Maklawe HADATOKI
Analyste Cybersécurité & Lead CTI departement
La transformation numérique des institutions de microfinance améliore considérablement l’accès aux services financiers. Applications web, espaces clients, plateformes de gestion, services de paiement et interfaces administratives permettent aujourd’hui de traiter rapidement un volume croissant d’opérations. Cette évolution s’accompagne toutefois d’une exposition accrue aux menaces cyber.
Les investigations de Cyber Threat Intelligence (CTI) menées à partir de sources ouvertes, de flux de renseignement, de données issues du Dark Web et de recherches conduites par CYBER DEFENSE AFRICA (CDA) et le CERT.tg montrent que les institutions de microfinance ne sont plus des cibles secondaires pour les cybercriminels. Les identifiants compromis associés à des plateformes financières peuvent être collectés, échangés ou revendus dans des écosystèmes clandestins.
Les observations utilisées dans cette analyse proviennent notamment de données de compromission et de fuites d’identifiants observées sur des plateformes liées au secteur de la microfinance, de flux CTI et d’investigations techniques.
Lorsqu’une institution de microfinance met en place un portail web, une application mobile ou des services de paiement numérique, elle accroît naturellement sa surface d’exposition. Cette évolution est indispensable pour améliorer l’inclusion financière, mais elle attire également des cybercriminels spécialisés dans le vol de données d’authentification.
Contrairement aux idées reçues, la majorité des compromissions ne résultent pas d’une attaque directe contre les serveurs de l’institution. Dans de nombreux cas, les identifiants sont dérobés en amont, directement sur les terminaux des utilisateurs ou des employés, puis revendus sur des places de marché clandestines.
Une simple combinaison : adresse électronique professionnelle, mot de passe, cookie de session, peut parfois suffire à contourner certaines protections et à permettre une prise de contrôle de compte.
Le Dark Web représente une partie d’Internet qui n’est pas indexée par les moteurs de recherche classiques et qui nécessite des logiciels spécifiques pour être consultée.
Il héberge notamment :
Cependant, il est important de noter que toutes les données compromises ne circulent pas exclusivement sur le Dark Web. Une part importante est également diffusée via Telegram ; des forums publics ; des canaux privés ; des plateformes de partage de fichiers ; des « Combo Lists » ; des services spécialisés dans la revente d’accès.
Par ailleurs, les investigations CTI montrent que les acteurs malveillants combinent pour diffuser leurs campagnes, coordonner leurs activités et assurer la continuité de leurs opérations.
Le Dark Web ne constitue pas une menace unique ou un espace homogène. Il représente plutôt un ensemble d’écosystèmes clandestins dans lesquels les acteurs peuvent échanger des identifiants, des informations volées, des accès à distance, des bases de données et différents services criminels.
Dans le cas des institutions financières et de microfinance, les informations recherchées peuvent comprendre des adresses e-mail professionnelles, noms d’utilisateur, mots de passe, cookies de session, informations issues d’infostealers ou encore des éléments permettant d’identifier des systèmes exposés.
Une fuite d’identifiants ne signifie pas automatiquement qu’un compte est encore accessible. Toutefois, lorsqu’un identifiant compromis reste valide, il peut devenir un point d’entrée pour des activités de prise de contrôle de compte, de fraude, de reconnaissance interne ou d’attaque contre d’autres systèmes.
Les recherches CTI permettent notamment de rapprocher plusieurs signaux : apparition d’identifiants dans des jeux de données compromis, présence d’adresses ou de domaines associés à une organisation, réutilisation possible de mots de passe, exposition de services et évolution des campagnes criminelles.
Les données analysées montrent également l’importance des infostealers. Ces logiciels malveillants peuvent récupérer des informations présentes sur un poste compromis, notamment des identifiants enregistrés dans les navigateurs et certaines données de session. Une compromission initiale d’un poste utilisateur peut donc avoir des conséquences bien au-delà de ce poste.
Pour une institution de microfinance, le risque est particulièrement important lorsque les collaborateurs utilisent les mêmes environnements pour accéder à des outils métier, à des services cloud, à des messageries ou à des interfaces d’administration.
Plusieurs scénarios doivent être considérés :
Le Dark Web ne doit pas être considéré uniquement comme un sujet de veille technique. Pour une institution de microfinance, les informations qui y circulent peuvent constituer des indicateurs précoces d’une compromission ou d’une menace en préparation.
La CTI permet précisément de transformer ces signaux dispersés en informations exploitables : identifier les comptes exposés, prioriser les risques, vérifier les actifs concernés et déclencher rapidement les mesures de remédiation.
