Fidor Bank

Une banque en ligne visionnaire tient en échec les attaques DDoS et les maîtres-chanteurs les plus virulents grâce à Akamai Prolexic Routed

« La solution Akamai minimise le risque d'interruption de service consécutif à des attaques criminelles. Nous n'avons désormais plus peur d'être poursuivis en justice à la suite d'une attaque et pouvons nous concentrer sur notre activité. »

Andreas Hellwig , Directeur de la technologie , Fidor TecS

La situation

Créée en 2009, la société Fidor Bank est une banque 100 % en ligne dont l'ambition est de devenir le leader européen des « services bancaires communautaires » en ligne et mobiles. La plate-forme bancaire numérique utilisée par Fidor Bank a été déployée par Fidor TecS AG, qui continue de développer et d'exécuter la plate-forme. Sur le site Web de la banque Fidor, plus de 35 000 clients peuvent gérer des devises virtuelles, vérifier les taux et communiquer avec d'autres clients de la banque. Fidor Bank est la première banque au monde où les interactions sociales entre les clients déterminent les taux d'intérêt de leurs découverts : plus le nombre de J'aime sur Facebook est élevé, plus le taux d'intérêt est faible. Les clients sont récompensés de diverses façons pour leur participation communautaire, notamment avec des primes en liquide pour ceux qui répondent à des questions d'ordre financier posées par d'autres clients. Autre aspect inédit : Fidor permet aux clients de consulter tous les éléments de leurs comptes, de l'épargne aux investissements, en passant par les métaux précieux et les devises virtuelles, sur une seule et même page.

Le défi

À partir du 24 octobre 2014, Fidor a été la cible de maîtres-chanteurs, qui ont mené plusieurs attaques par déni de service distribué (DDoS) de grande envergure. La banque a découvert la première attaque grâce à son système de surveillance et d'alerte actif 24 h/24 et 7 j/7. Après avoir analysé le profil des attaques, la banque a pris des mesures pour bloquer les ports sur ses routeurs et rediriger le trafic. Le lendemain, Fidor a publié sur Facebook l'e-mail de chantage envoyé par les pirates, qui menaçaient d'intensifier les attaques sur le site Web de la banque si cette dernière ne leur versait pas 4 000 euros en bitcoins. Au terme fixé par les cybercriminels, la banque ayant refusé de payer quoi que ce soit, le profil de l'attaque a changé et la charge est passée à plus de 85 Gbit/s, inondant le pare-feu et les serveurs de Fidor dans ses centres de données. Les attaques ont fini par mettre hors ligne les services de la banque pendant huit heures environ. Andreas Hellwig, CTO de Fidor TecS, explique : « La banque a utilisé des processus d'urgence hors ligne, ce qui a notamment permis aux clients de réaliser leurs opérations bancaires par téléphone. Elle s'est aussi appuyée sur les réseaux sociaux et sur d'autres sites Web pour communiquer avec les clients. Nous avions toutefois conscience de la nécessité de trouver un moyen pour prévenir et contrer les futures attaques DDoS. »

Les objectifs

Fidor Bank devait répondre à trois exigences essentielles pour atteindre ses objectifs :

  • Contrer toutes les attaques DDoS : la banque souhaitait empêcher toutes les futures attaques DDoS, afin de pouvoir garantir des services sans interruption à ses clients.
  • Développer les compétences en interne : Fidor Bank souhaitait bénéficier d'une plus grande expertise en matière de cybersécurité afin de mieux comprendre le paysage actuel et à venir des menaces.
  • Rassurer les autorités : la banque devait prouver aux agences gouvernementales allemandes qu'elle prenait toutes les mesures de sécurité nécessaires. 

Pourquoi Akamai

Le choix d'une solution éprouvée
Étant donné le caractère public de la réponse de la banque à l'attaque, nombreux ont été les fournisseurs de solutions de sécurité Internet à prendre contact avec Andreas Hellwig. Ironie du sort, Fidor avait justement prévu de faire appel à un fournisseur de services de protection DDoS professionnels en 2015. Andreas Hellwig et ses collègues étaient donc déjà très au fait des solutions Akamai. « Notre évaluation a bénéficié d'un traitement prioritaire et notre choix s'est finalement porté sur la solution Prolexic Routed d'Akamai déployée dans une configuration en continu (Always On), avec l'option Application-Based Monitoring », explique Andreas Hellwig.

Ce dernier a choisi la solution pour plusieurs raisons, parmi lesquelles l'expérience d'Akamai au niveau des attaques à grande échelle, la structure et la présence mondiale des centres de nettoyage d'Akamai, ainsi que la recommandation d'une autre grande banque allemande. Il a également apprécié les rapports « État des lieux d'Internet » publiés chaque trimestre par Akamai et la relation entre Akamai et le BSI (Bundesamt für Sicherheit in der Informationstechnik), l'organisme gouvernemental dédié à la sécurité des informations en Allemagne.

Blocage immédiat des attaques DDoS
Service cloud offrant une protection contre les attaques DDoS, Prolexic Routed a fourni à Fidor la capacité de montée en charge dont la banque avait besoin.

Le lendemain de la mise en œuvre du service Akamai, Fidor a reçu un deuxième e-mail des maîtres-chanteurs annonçant une autre attaque DDoS d'envergure. En quelques heures, le centre de données de la banque a subi une attaque représentant 85 Gbit/s. Mais cette fois, Prolexic Routed a complètement bloqué l'attaque en 30 secondes. Lorsque les pirates ont compris que Fidor avait mis en place une solution et avait réussi à les contrer, ils ont cessé de lancer des attaques contre la banque.

Comme l'explique Andreas Hellwig, « la solution Akamai minimise le risque d'interruption de service consécutif à des attaques criminelles. Nous n'avons désormais plus peur d'être poursuivis en justice à la suite d'une attaque et pouvons nous concentrer sur notre activité. »

Un support professionnel pour les menaces de cybersécurité
Parallèlement au déploiement de Prolexic Routed, Fidor a organisé une table ronde pour évoquer le sujet des attaques DDoS criminelles. Parmi les participants, figuraient des membres de la police allemande locale et de la police bavaroise, ainsi que des experts du service de conseil avancé d'Akamai. Selon Andreas Hellwig, Akamai a éclairé les débats avec son expertise et ses connaissances spécialisées, confortant Fidor dans son choix. « Ce service de conseil fournit des informations et des directives spécifiques, ce qui nous permet de nous tenir au courant des nouveaux types d'attaques et de nous en prémunir pour garantir la disponibilité de nos services en ligne, aujourd'hui comme demain. »

À la hauteur des attentes
Les réglementations allemandes obligent Fidor à signaler tout problème criminel ou de cybersécurité aux autorités et au BSI. La banque est en outre auditée chaque année pour veiller à ce que toutes les mesures de sécurité nécessaires soient prises. « Akamai est un fournisseur de services de protection DDoS respecté dans le secteur bancaire, ce qui joue incontestablement en notre faveur auprès des autorités. En ayant recours à cette solution, nous montrons que nous faisons tout ce qui est en notre pouvoir pour nous protéger contre les problèmes de cybersécurité », précise Andreas Hellwig.

À l'avenir, Fidor prévoit de s'appuyer sur la solution Application-Based Monitoring, qui s'attache à surveiller le trafic de la couche applicative (couche 7), y compris le trafic chiffré avec SSL, et effectue le suivi de 25 dimensions uniques. « Nous serons ainsi en mesure de surveiller et d'identifier les utilisations abusives de la couche applicative (7), les attaques par déni de service et les activités malveillantes susceptibles de provoquer des indisponibilités », conclut Andreas Hellwig.

À propos de Fidor Bank

Banque directe basée sur Internet et habilitée en Allemagne, FIDOR Bank AG (http://www.fidor.de) est aussi une banque B2B qui favorise le développement de solutions logicielles communautaires et bancaires innovantes. De nombreux clients particuliers et professionnels ont fait du compte intelligent Fidor Smart leur compte bancaire principal et bénéficient ainsi d'applications financières traditionnelles et novatrices. Le middleware bancaire Fidor OS permet aux partenaires B2B de la banque de profiter de fonctionnalités inédites et d'une solution communautaire. Les personnes ciblées sont celles qui ont grandi avec le numérique au niveau mondial.