L'I4C alerte banques et fintechs sur les fraudes par agents d'IA

Le mode opératoire

Les assaillants exploitent des logiciels non corrigés et des serveurs ou systèmes informatiques exposés sur Internet et mal configurés. Les interfaces destinées aux clients et à la gestion des réclamations peuvent aussi être visées. Une fois entrés, ils ciblent les systèmes de décaissement automatisés ou les API de paiement et de virement, un cadre d'IA agentique rendant l'attaque possible à vitesse machine.

Les fonds sont envoyés vers des comptes « mules » dans différentes banques, puis déplacés ou retirés rapidement via IMPS ou NEFT. Les auteurs effacent ensuite les traces, ce qui complique l'enquête.

Les mesures demandées

Les établissements doivent appliquer sans délai les mesures des avis de gravité critique du CERT-In et aligner leurs contrôles sur le plan de mai 2026 du CERT-In contre l'exploitation de failles assistée par l'IA, ainsi que sur les cadres de leurs régulateurs sectoriels. Ils doivent tenir un inventaire complet des API de paiement et désactiver les interfaces obsolètes, inutilisées ou de test. Le responsable de la sécurité (RSSI), la surveillance des transactions et les équipes informatiques doivent aussi mieux coordonner leur action.

Les incidents doivent être signalés au CERT-In dans les six heures suivant leur détection. Banques et NBFC doivent aussi prévenir la Reserve Bank of India via son portail DAKSH dans le même délai.

Les données du ministère de l'Intérieur montrent l'ampleur du phénomène : de l'exercice 2023-24 à 2025-26, plus de 5 387 905 plaintes pour cyberfraude ont été déposées sur le portail NCRP, avec plus de 181 271 FIR. Les pertes déclarées dépassent 56 087 crores de roupies, dont plus de 9 079 crores bloqués et plus de 206 crores restitués.