Casse interbancaire SPEI de Banxico (Mexique, 2018)

En avril et mai 2018, l'épine dorsale des paiements interbancaires du Mexique — le SPEI (Sistema de Pagos Electrónicos Interbancarios), exploité par la banque centrale Banco de México (Banxico) — a été détournée lors d'une série de cyberattaques ayant injecté des virements frauduleux et détourné un montant estimé à 300 à 400 millions de pesos (environ 15-20 millions de dollars). Cela reste l'une des attaques les plus marquantes jamais menées contre un système de paiement national.

Ce qui s'est passé

Élément crucial : le cœur du SPEI n'a pas été compromis. Les attaquants ont plutôt exploité des faiblesses dans les logiciels tiers et internes que chaque banque utilisait pour connecter ses systèmes au SPEI. En compromettant ces composants de connexion, les auteurs ont pu falsifier des ordres de paiement — des virements fantômes que le SPEI a traités comme légitimes parce qu'ils arrivaient via un lien participant authentifié.

Les virements frauduleux ont acheminé l'argent vers des comptes d'autres institutions contrôlés par les attaquants. Des complices — des mules financières — ont ensuite retiré les fonds en espèces dans les agences bancaires, un schéma inhabituel de gros retraits suggérant une possible complicité interne. Au moins cinq institutions financières ont été touchées, les rapports citant Banorte, Banco del Bajío et Banjército parmi les cibles.

Impact

• Un montant estimé à 300 à 400 millions de pesos (~15-20 millions de dollars) a été détourné et retiré.
• Comme les fonds volés circulaient entre des comptes institutionnels, les soldes des clients ordinaires n'auraient pas été directement débités.
• Banxico a activé un dispositif de contingence qui ralentissait et reroutait les virements, provoquant des retards de règlement et des délais de traitement plus longs dans tout le système bancaire pendant des semaines.

Pourquoi c'est important

L'épisode SPEI est un cas emblématique du risque lié aux systèmes de paiement et aux tiers. Il a montré qu'une infrastructure centrale robuste peut être minée par la couche d'intégration du participant le plus faible, et que des criminels financiers pouvaient combiner une compromission logicielle technique avec un réseau physique de retrait en espèces. En réponse, Banxico a imposé des normes minimales de cybersécurité obligatoires aux participants du SPEI et poussé les institutions vers une architecture de connexion séparée et durcie — des réformes qui ont remodelé la manière dont les banques mexicaines se raccordent aux rails de paiement nationaux.