Qu’est-ce que le cyber-risque et pourquoi est-il systémique ?

La réponse courte

Le cyber-risque était autrefois une préoccupation institution par institution : chaque banque opérait sa propre défense périmétrique, sa réponse aux incidents et ses procédures de récupération. Le modèle implicite était qu’une attaque sur une banque ne nuisait qu’à cette banque.

Ce modèle a mal vieilli. Les banques modernes partagent fournisseurs cloud, systèmes d’identité, logiciels de sécurité, réseaux de paiement et plateformes de core banking. Une intrusion réussie ou même une mise à jour bénigne chez un seul fournisseur critique peut dégrader plusieurs institutions simultanément. La surface d’attaque s’est consolidée plus vite que la surface de défense.

Les régulateurs ont répondu avec des cadres de résilience opérationnelle. Le règlement DORA de l’UE, en vigueur depuis janvier 2025, le Operational Resilience Policy Statement de la Bank of England et les guidances de la Federal Reserve sur le risque tiers vont tous dans le même sens : le cyber-risque est désormais une préoccupation de stabilité financière.

→ Nouveau sur les cadres de stabilité financière ? Hub éducation financière

Ce que disent les données

Le coût économique des incidents cyber en finance figure parmi les catégories les plus quantifiées dans la recherche en risque opérationnel.

Le contexte chiffré (IBM Cost of a Data Breach Report 2024, FSB, 2024) :

• Le coût moyen mondial d’une violation de données a atteint 4,88 millions de dollars en 2024, en hausse de 10 % en glissement annuel, le plus gros bond depuis la pandémie
• Les coûts de violation en services financiers étaient en moyenne de 6,08 millions, 22 % au-dessus de la moyenne mondiale et second seulement après la santé (9,77 millions)
• Les identifiants volés ou compromis étaient le vecteur d’attaque initial le plus fréquent à 16 % de toutes les violations
• Les violations basées sur identifiants prenaient 292 jours en moyenne pour être identifiées et contenues — le plus long de tous les vecteurs
• Les méga-violations impliquant 50 millions d’enregistrements ou plus coûtaient en moyenne 375 millions de dollars
• Le coût par enregistrement compromis a atteint 150 dollars en 2024, en hausse de 9 % depuis 2020

L’exception qui nuance le titre : les organisations utilisant l’IA et l’automatisation extensivement dans les workflows de sécurité ont subi 2,2 millions de dollars de moins en coûts moyens de violation que celles sans — une asymétrie significative qui aggrave le paradoxe de concentration vendeurs IA identifié dans les services financiers.

→ Dataset : Indice de conditions financières

Le mécanisme macro

Le cyber-risque est devenu systémique par trois canaux qui se renforcent mutuellement.

Canal 1 — Concentration vendeurs. Les institutions financières s’appuient de plus en plus sur un petit ensemble de fournisseurs cloud (AWS, Azure, Google Cloud), fournisseurs d’identité, fournisseurs de logiciels de sécurité (CrowdStrike, Palo Alto, Microsoft Defender) et plateformes de core banking. L’incident CrowdStrike de juillet 2024 a illustré l’enjeu : une mise à jour de configuration défaillante propagée par le système de déploiement automatique de Falcon a causé des pannes étendues à travers les services financiers, l’aviation, la santé et le gouvernement en quelques heures. Aucun acteur étatique n’était impliqué ; un déploiement de routine par un fournisseur de confiance a suffi à déclencher la plus grande panne IT de l’histoire. Le vecteur d’attaque est désormais le vendeur, pas le périmètre.

Canal 2 — Extension de la chaîne d’approvisionnement. La caractéristique la plus sous-discutée est que même les institutions à posture de sécurité rigoureuse héritent du maillon le plus faible de leur chaîne d’approvisionnement. SolarWinds (2020), Kaseya (2021) et MOVEit (2023) ont tous montré que des intrusions chez des fournisseurs de gestion IT ou de transfert de fichiers peuvent compromettre des centaines d’institutions en aval avant qu’aucune n’en détecte la violation. Les banques ne peuvent pas auditer l’arbre entier de dépendances en pratique ; elles peuvent seulement exiger des attestations et une remédiation contractuelle.

Canal 3 — Économie attaquante asymétrique. Le ransomware-as-a-service a abaissé le coût d’entrée pour les attaquants tandis que le phishing assisté par IA a augmenté le taux de succès du vol d’identifiants. Le côté défense fait face à des pénuries de talent, avec plus de la moitié des organisations victimes de violation en 2024 rapportant des pénuries sévères de personnel sécurité. La courbe coût-d’attaque a baissé tandis que la courbe coût-de-défense a monté.

Synthèse par régime : dans le régime pré-2015, les incidents cyber d’une institution se propageaient rarement à d’autres, et les superviseurs traitaient le cyber comme risque opérationnel ; dans le régime 2017-2020, les incidents WannaCry, NotPetya et SolarWinds ont rendu visible le risque de chaîne d’approvisionnement, mais les cadres opérationnels ont eu du retard ; dans le régime post-2024, avec DORA en vigueur, l’incident CrowdStrike comme point de référence et la mise à l’échelle des attaques par IA devenant crédible, le cyber-risque est formellement traité comme variable de stabilité financière par les principales banques centrales.

Le périmètre de la banque ne s’arrête plus à la banque ; il s’étend à travers chaque vendeur qu’elle partage avec le reste du secteur.

→ Cadre : Innovation financière et marchés

Ce que cela signifie selon les acteurs

Les banques font face à des coûts de conformité en hausse (DORA, résilience opérationnelle), une pression attaquante persistante et une scrutiny réglementaire accrue de la concentration tiers. La douve défensive n’est plus purement technique ; elle inclut diversification vendeurs et préparation à la réponse aux incidents.

Les marchés de cyber-assurance ont fortement repricé depuis 2020. Les primes ont monté substantiellement en 2021-2022, la capacité s’est resserrée, et les exclusions pour événements systémiques (attaques étatiques, pannes majeures) sont devenues plus fréquentes. La souscription exige désormais une maturité de sécurité démontrée plutôt qu’une conformité à liste de cases.

Les régulateurs convergent vers la résilience opérationnelle comme catégorie prudentielle co-équivalente au capital et à la liquidité. DORA dans l’UE, le cadre de la Bank of England et les guidances de la Federal Reserve exigent tous que les firmes identifient les fonctions critiques, fixent des tolérances d’impact, et démontrent une capacité de récupération dans ces tolérances.

Une erreur fréquente consiste à traiter le cyber comme un pur problème IT. L’incident CrowdStrike 2024 a montré que c’est désormais un problème de trésorerie, de conseil d’administration et de supervision.

Observation pratique

Pour aller plus loin

Questions connexes

• Comment l’IA change-t-elle l’analyse et la gestion financière ?
• Comment l’informatique quantique menace-t-elle la cryptographie financière ?
• Comment la blockchain affecte-t-elle l’infrastructure financière ?
• Pourquoi la résilience opérationnelle est-elle une préoccupation macro ?

Questions fréquentes

En quoi l’incident CrowdStrike de juillet 2024 différait-il des incidents cyber antérieurs ?

La plupart des incidents majeurs impliquent une intrusion malveillante : SolarWinds, NotPetya, la violation Sony de 2014. La panne CrowdStrike du 19 juillet 2024 était différente — aucun attaquant n’était impliqué. Une mise à jour défectueuse du logiciel de protection endpoint Falcon, poussée automatiquement aux clients, a fait que les machines Windows ne démarraient plus. L’incident a démontré que le fournisseur lui-même est désormais un point unique de défaillance indépendamment de tout acteur malveillant, ce qui change le calcul prudentiel sur le risque tiers.

Qu’est-ce que la résilience opérationnelle et en quoi diffère-t-elle du cyber-risque ?

La résilience opérationnelle est le cadre réglementaire plus large qui traite le cyber comme une composante parmi d’autres — pannes d’infrastructure, défaillances vendeurs, ruptures de processus. Le règlement européen DORA (Digital Operational Resilience Act), en vigueur depuis janvier 2025, exige des firmes financières qu’elles cartographient les fonctions critiques, identifient les dépendances ICT tierces, conduisent des tests de résilience, et rapportent les incidents majeurs. Le cadre force les institutions à penser en termes de continuité de service plutôt qu’en termes de seuls contrôles défensifs.

Pourquoi la cyber-assurance ne résout-elle pas pleinement le problème ?

La cyber-assurance peut couvrir les pertes directes mais ne couvre pas tous les événements systémiques. Les principaux assureurs ont introduit des exclusions de guerre après que le contentieux NotPetya a montré que les attaques étatiques pouvaient être qualifiées d’actes de guerre. Limites de couverture, franchises et exclusions pour vulnérabilités connues se sont toutes durcies depuis 2021. L’assurance fait partie de la réponse mais ne peut pas se substituer aux contrôles primaires ou à la diversification vendeurs.

Mis à jour le 30 juillet 2026