Le 7 juillet 2026, la Banque centrale européenne a enjoint aux banques de la zone euro de mettre en place, d’ici le 31 octobre 2026, un plan pour faire face aux cybermenaces basées sur l’IA capables de perturber les services financiers. Le mandat couvre les banques des pays européens suivants : Autriche, Belgique, Bulgarie, Croatie, Chypre, Estonie, Finlande, France, Allemagne, Grèce, Irlande, Italie, Lettonie, Lituanie, Luxembourg, Malte, Pays-Bas, Portugal, Slovaquie, Slovénie et Espagne.
Il est important de noter qu’il ne s’agit pas seulement d’une directive, mais d’une date limite pour prendre des mesures contre des cybermenaces de plus en plus sophistiquées. L’identité est l’une des rares couches de contrôle sur lesquelles une banque peut agir directement, sans attendre une feuille de route de fournisseur ou une refonte de l’infrastructure.
Pourquoi la BCE agit maintenant
Ce nouveau mandat de la BCE souligne une tendance plus large vers une vérification plus forte de l’identité, alors que les organisations sont confrontées à des cybermenaces de plus en plus sophistiquées et accélérées par l’IA. En fait, l’identité est devenue la principale surface d’attaque pour les cybercriminels, 86 % des attaques par hameçonnage (phishing) étant désormais pilotées par l’IA.
Le mandat reflète une évolution que les régulateurs ne peuvent plus traiter comme théorique : l’IA a réduit l’écart entre le moment où une vulnérabilité est découverte et celui où elle est exploitée. Les équipes de sécurité avaient autrefois des semaines pour corriger une faille ou détecter une connexion suspecte. Dans le cas d’attaques accélérées par l’IA, cette fenêtre se mesure désormais en minutes.
Trois tendances principales favorisent cette compression :
- Les modèles de pointe peuvent trouver et exploiter des vulnérabilités de manière indépendante. Les modèles les plus récents ont démontré qu’ils pouvaient découvrir des vulnérabilités jusqu’alors inconnues et construire des attaques sophistiquées basées sur leurs découvertes. De plus, ils ont montré leur capacité à combiner des vulnérabilités modérées à faibles pour réussir des attaques.
- L’hameçonnage généré par l’IA à grande échelle. Les attaquants utilisent l’IA générative pour produire des contenus d’hameçonnage personnalisés et convaincants plus rapidement et en volume bien plus important que ce que les campagnes manuelles permettaient. Un agent pourrait utiliser des identifiants volés pour accéder à des systèmes présentant des vulnérabilités non corrigées.
- Le passage du vol d’identifiants à la prise de contrôle de compte en quelques minutes, et non en quelques jours. L’IA a la capacité de construire des exploits basés sur des vulnérabilités de manière autonome, ce qui entraîne des temps de réponse très courts pour les équipes de sécurité. Si un modèle de pointe découvre une vulnérabilité inconnue, le défi pour réagir est encore plus grand. Avec des identifiants volés, l’IA dispose désormais de l’accès nécessaire pour mener l’attaque sur la base des vulnérabilités nouvellement découvertes.
La gestion des accès est un contrôle clé pour combattre la nouvelle réalité dans laquelle nous vivons. Comme c’est déjà le cas, les mécanismes d’authentification hérités qui reposent sur une personne devant prendre une décision sous pression — approuver une notification push, lire un code ou faire confiance à une voix au téléphone — ne suffisent plus à protéger l’accès.
Par où commencer : les contrôles d’identité que l’IA a rendus incontournables
La directive de la BCE est axée sur les résultats et ne constitue pas une liste de contrôle technologique prescriptive. Les banques doivent aller au-delà d’une simple déclaration de principe et créer un plan d’action documenté démontrant qu’elles ont évalué leur exposition aux menaces liées à l’IA et que des mesures d’atténuation concrètes sont en cours. En pratique, cela signifie aborder la gestion des vulnérabilités, la détection automatisée des menaces, ainsi que les contrôles d’identité et d’accès avec la même urgence que celle avec laquelle les attaquants opèrent désormais.
L’identité est au centre de ce plan pour une raison simple : elle protège l’accès aux systèmes qui pourraient présenter une vulnérabilité exploitable. De plus, c’est la couche de contrôle que les banques peuvent renforcer le plus rapidement, et c’est celle que l’IA est le plus directement conçue pour attaquer. Deux domaines ont l’impact immédiat et à long terme le plus élevé, nécessitant un effort minimal :
- Authentification résistante à l’hameçonnage pour les utilisateurs privilégiés. Les codes, les liens et les approbations push reposent tous sur la capacité d’un humain à repérer une fraude. L’authentification matérielle FIDO2/WebAuthn supprime cette dépendance — il n’y a aucun code à voler et aucun secret partagé que l’IA puisse extraire, car l’identifiant est lié à un appareil physique plutôt qu’à quelque chose qu’une personne pourrait être amenée à divulguer. Une entreprise ne peut pas s’arrêter aux utilisateurs privilégiés. Premièrement, la définition d’un utilisateur privilégié peut être difficile, car de nombreux utilisateurs ont accès à des données et systèmes sensibles. Deuxièmement, les attaques suivent généralement un schéma consistant à obtenir un premier accès avec un compte à privilèges réduits, puis à trouver des failles pour accéder à un compte plus privilégié. Pour être pleinement protégé, tous les utilisateurs doivent utiliser des solutions d’authentification résistantes à l’hameçonnage.
- Identifier et protéger les points d’accès publics et le service d’assistance (help desk). Les attaquants se concentreront sur les vecteurs auxquels ils ont accès, et cela commence par les accès depuis Internet. Assurez-vous que tous les points de connections sont connus et exigent des mécanismes d’authentification résistants à l’hameçonnage. Un autre vecteur facilement accessible est le service d’assistance, où des outils d’IA peuvent être utilisés pour convaincre un agent de transférer l’accès. Si la récupération de compte peut être approuvée par une voix au téléphone, elle peut l’être par une voix clonée. La vérification des utilisateurs par le service d’assistance doit inclure une étape qu’une voix ou un message généré par l’IA ne peut pas franchir seul.
Les données confirment l’urgence : la recherche en cyber-renseignement d’IBM indique une augmentation de 44 % d’une année sur l’autre de l’exploitation des applications publiques, en grande partie via la collecte d’identifiants assistée par l’IA. Pendant ce temps, les organisations qui remplacent l’authentification multifacteur (MFA) traditionnelle par une authentification FIDO2/WebAuthn, comme les clés de sécurité matérielles, ont vu les prises de contrôle de compte chuter jusqu’à 99,9 % — en grande partie parce qu’il ne reste aucun secret hameçonnable à voler dans le flux.
Une surveillance continue, une segmentation des accès juste-à-temps et des plans de réponse aux incidents testés face à des chronologies accélérées par l’IA complètent un plan complet. Nous avons répertorié les cinq contrôles d’identité que les équipes de sécurité et de risque des banques devraient mettre en place — avec les lacunes spécifiques que l’IA ouvre dans chacun d’eux — dans une liste de contrôle conçue pour cette échéance : Télécharger la liste de contrôle.
Le lien avec DORA
Les banques qui travaillent déjà sur la gestion des risques liés aux TIC et les exigences d’authentification forte de DORA reconnaîtront ici de nombreux recoupements. Déployer une MFA résistante à l’hameçonnage pour satisfaire au mandat sur l’IA de la BCE répond simultanément aux dispositions d’authentification de DORA. Un investissement dans l’identité répond à deux obligations réglementaires.
FAQ
À quelles banques s’applique le mandat de la BCE sur la cybersécurité par l’IA ?
Les banques de la zone euro opérant en Autriche, Belgique, Bulgarie, Croatie, Chypre, Estonie, Finlande, France, Allemagne, Grèce, Irlande, Italie, Lettonie, Lituanie, Luxembourg, Malte, Pays-Bas, Portugal, Slovaquie, Slovénie et Espagne.
Quelle est l’échéance ?
31 octobre 2026. La directive a été émise le 7 juillet 2026.
Est-ce la même chose que DORA ?
Non, mais les deux se recoupent de manière significative. DORA régit la gestion globale des risques liés aux TIC et la résilience ; ce mandat exige spécifiquement un plan pour les cybermenaces liées à l’IA. L’authentification résistante à l’hameçonnage satisfait aux exigences des deux.
Par où une banque devrait-elle commencer ?
L’identité — en particulier l’authentification des accès privilégiés et la vérification auprès du service d’assistance/centre d’appels — car c’est le contrôle le plus rapide à renforcer et celui que l’IA cible le plus directement.
Prochaines étapes
La période entre aujourd’hui et le 31 octobre est courte pour une refonte complète de l’infrastructure, mais les contrôles d’identité n’en nécessitent pas. Le déploiement d’une authentification matérielle résistante à l’hameçonnage peut se faire au sein de l’infrastructure IAM existante, sans cycle de développement long.
Commencez par la liste de contrôle des contrôles d’identité pour faire le point sur la situation de votre banque par rapport aux attentes de la BCE et sur les priorités à définir avant l’échéance.
