Les règles de la NBU pour l'application bancaire mobile qu'utilisent vos clients.
La Banque nationale d'Ukraine demande aux banques des exigences de sécurité dès le développement, un contrôle des vulnérabilités, l'OWASP pour les applications web et des tests d'intrusion périodiques. Ses règles sur l'authentification forte des clients ajoutent des limites aux tentatives échouées, une expiration après dix minutes d'inactivité, la liaison dynamique et des protections contre les logiciels modifiés sur les téléphones des clients. Ostorlab vous aide à tester ces contrôles dans votre application et ses API, à chaque version.
- Vérifie la détection du root et du jailbreak, l'anti-altération et l'anti-instrumentation, ainsi que la réaction de l'application lorsqu'elles se déclenchent
- Teste la connexion, les codes à usage unique, le verrouillage et l'expiration des sessions avec vos comptes de test
- Suit l'application jusqu'aux API de paiement, même avec TLS pinning
- Prouve chaque défaillance par des preuves de contournement ou un exploit rejouable
- Qui est concerné
- Les banques en Ukraine ; les règles d'authentification s'appliquent aux prestataires de services de paiement, y compris les banques
- Base juridique
- Résolutions du Directoire de la NBU n° 95 du 28 septembre 2017, n° 178 du 12 août 2022 et n° 58 du 3 mai 2023
- Objet
- Tests d'intrusion, contrôle des vulnérabilités, développement sécurisé, authentification forte des clients
- Référence
- Règlements de la NBU sur la sécurité de l'information, la cyberprotection et l'authentification forte
Les règles de sécurité de la NBU, date par date
Les règles de sécurité de l'information s'appliquent depuis 2018, celles de cyberprotection depuis 2022, et les modifications de 2025 ont ajouté des délais de signalement des incidents et une autoévaluation annuelle.
- 1er mars 2018
Entrée en vigueur du règlement sur la sécurité de l'information
La Résolution n° 95 fixe des exigences minimales obligatoires de sécurité de l'information et de cyberprotection pour les banques. Sa section V, avec des mesures supplémentaires comme l'OWASP, s'applique depuis le 1er septembre 2019.
- 20 août 2022
Entrée en vigueur du règlement sur la cyberprotection
La Résolution n° 178 fixe le système de cyberprotection du secteur bancaire, les règles applicables aux infrastructures d'information critiques et l'audit externe de la sécurité de l'information. Certaines dispositions s'appliquent depuis le 1er janvier 2023.
- 10 mai 2023
Entrée en vigueur du règlement sur l'authentification forte
La Résolution n° 58 fixe les règles d'authentification et d'authentification forte des clients pour les prestataires de services de paiement. Sa section V, sur l'interaction électronique entre prestataires, s'appliquera dès l'entrée en vigueur du chapitre correspondant de la loi sur les services de paiement.
- 1er mars 2025
Modifications sur la cyberprotection et le contrôle
La Résolution n° 24 ajoute le signalement des cyberincidents significatifs dans les 24 heures, une mise à jour dans les 72 heures et un rapport final dans un délai d'un mois, ainsi qu'un rapport d'autoévaluation annuel.
- Chaque année
Rapport d'autoévaluation
Les banques établissent une autoévaluation de la sécurité de l'information et de la cyberprotection au 31 mars et la remettent dans un délai d'un mois. Elle demande si un test d'intrusion a été réalisé et si les vulnérabilités critiques et élevées ont été corrigées.
Les règles de sécurité de la NBU, appliquées à votre application mobile
La Résolution n° 95 fixe les mesures minimales de sécurité de l'information, la Résolution n° 178 le système de cyberprotection et l'audit externe, et la Résolution n° 58 les règles d'authentification forte. Pour chaque règle : ce que dit le texte, ce que cela implique pour une application bancaire mobile, comment Ostorlab vous aide et ce qui reste du ressort de votre équipe.
- Résolution n° 95 de la NBU, points 124 et 125
Définir des exigences de sécurité lorsque vous développez ou achetez
Ce que dit le texte
La banque doit définir et documenter des exigences de sécurité de l'information pour ses systèmes d'information lorsqu'ils sont développés, mis à niveau, y compris leurs composants, ou acquis. Le développement et les tests doivent utiliser une plateforme de test distincte sur un segment réseau dédié, et seules des données anonymisées peuvent servir de données de test.
Ce que cela implique pour votre application mobile
Chaque version de l'application, et chaque SDK ou composant de prestataire qu'elle ajoute, nécessite des exigences de sécurité et des tests avant d'arriver sur le store, dans un environnement sans données clients réelles.
Comment Ostorlab vous aide
Mobile SAST analyse directement l'APK, l'AAB ou l'IPA, sans besoin du code source, avec une analyse de propagation (taint) sur les SDK intégrés. Mobile DAST exécute l'application, maintient les sessions authentifiées et capture le trafic, les traces d'appels et les captures d'écran. Le scan on-premises vous permet de tester les applications et API de préproduction derrière votre pare-feu.
Ce qui reste de votre ressort
Les exigences elles-mêmes, l'environnement de test et les comptes de test anonymisés.
- Résolution n° 95 de la NBU, point 127 ; Résolution n° 178, point 18
Contrôler les vulnérabilités des logiciels
Ce que dit le texte
En phase d'exploitation, la banque doit documenter la manière dont elle contrôle les vulnérabilités du matériel et des logiciels de ses systèmes d'information. Ses mesures de cyberprotection doivent inclure l'analyse des vulnérabilités, ainsi que la réception, le test et le déploiement des mises à jour logicielles qui suppriment les vulnérabilités.
Source :Résolution n° 95 de la NBU, point 127 ; Résolution n° 178, point 18
Ce que cela implique pour votre application mobile
L'application et les bibliothèques tierces qu'elle contient sont des logiciels. Leurs vulnérabilités connues doivent être détectées, et les correctifs publiés et vérifiés.
Comment Ostorlab vous aide
SCA identifie les bibliothèques compilées statiquement que les scanners fondés sur les manifestes peuvent manquer, les rapproche des vulnérabilités connues et suit leur résolution version après version. Les résultats sont suivis sous forme de tickets dans la plateforme ou dans Jira et ServiceNow, et retestés une fois le correctif publié.
Ce qui reste de votre ressort
L'application des correctifs sur les serveurs, les réseaux et les postes de travail, et le processus de mise à jour du reste de votre parc.
- Résolution n° 95 de la NBU, point 143
Utiliser l'OWASP pour développer des applications web sécurisées
Ce que dit le texte
La banque doit utiliser les normes, documents et lignes directrices de l'Open Web Application Security Project (OWASP) pour développer des applications web sécurisées.
Ce que cela implique pour votre application mobile
Les services web et API derrière votre application mobile sont des applications web. Les recommandations de l'OWASP pour les API et les applications mobiles constituent le socle naturel pour les tester.
Comment Ostorlab vous aide
Ostorlab intercepte le trafic de l'application, même avec TLS pinning, et teste les API à la recherche de contrôles d'autorisation défaillants (BOLA, BFLA, IDOR), d'usages abusifs des jetons et des sessions, et d'abus comme l'énumération, le rejeu et l'automatisation, avec les requêtes et réponses à l'appui de chaque résultat.
Ce qui reste de votre ressort
Les normes de développement sécurisé, la formation des développeurs et les revues de code.
- Résolution n° 95 de la NBU, point 108 ; Résolution n° 4, annexe 2, modifiée par la Résolution n° 24
Réaliser des tests d'intrusion périodiques
Ce que dit le texte
La banque doit vérifier l'efficacité de la protection de son périmètre réseau en réalisant des tests d'intrusion périodiques. L'autoévaluation annuelle demande si un test d'intrusion a été réalisé au cours de la période, comment et par qui, et si les vulnérabilités critiques et élevées qu'il a relevées ont été corrigées.
Source :Résolution n° 95 de la NBU, point 108 ; Résolution n° 4, annexe 2, modifiée par la Résolution n° 24
Ce que cela implique pour votre application mobile
Les services auxquels les clients accèdent depuis Internet, y compris le backend de la banque mobile, se trouvent sur ce périmètre. Il vous faut des résultats de pentest et la preuve que les résultats graves ont été clôturés.
Comment Ostorlab vous aide
Un pentest par agents IA teste l'application et ses API derrière la connexion, généralement en quelques heures, avec un exploit fonctionnel à rejouer pour chaque résultat d'un agent IA. Le retest confirme si chaque problème est résolu.
Ce qui reste de votre ressort
Les tests du périmètre réseau, le choix des testeurs et le rapport d'autoévaluation.
- Résolution n° 178 de la NBU, points 42 à 46, modifiée par la Résolution n° 24
Audit externe de la sécurité de l'information, tests d'intrusion compris
Ce que dit le texte
La banque fixe la fréquence de son audit externe de la sécurité de l'information. L'audit évalue la protection des objets de cyberprotection et la conformité du système de management de la sécurité de l'information à l'ISO/IEC 27001. Ses méthodes comprennent l'analyse de sécurité et les tests d'intrusion, et la banque transmet à la NBU les résultats et son plan de remédiation approuvé.
Source :Résolution n° 178 de la NBU, points 42 à 46, modifiée par la Résolution n° 24
Ce que cela implique pour votre application mobile
L'audit externe est réalisé par un cabinet d'audit que la banque choisit parmi des personnes morales résidentes ukrainiennes. Les résultats concernant l'application et ses API devront faire l'objet d'un plan de remédiation.
Comment Ostorlab vous aide
Ostorlab vous aide à aborder l'audit avec les problèmes connus de l'application et des API déjà corrigés, puis à retester les points relatifs à l'application et aux API du plan de remédiation.
Ce qui reste de votre ressort
Le choix du cabinet d'audit, le programme d'audit et le reporting à la NBU.
- Résolution n° 58 de la NBU, points 15 et 17
Authentification forte, verrouillage et expiration des sessions
Ce que dit le texte
Les prestataires de services de paiement génèrent un code d'authentification chaque fois qu'un client accède à son compte à distance ou initie un paiement à distance, sous réserve des exemptions prévues par le règlement. Au plus cinq tentatives d'authentification forte échouées consécutives sont autorisées avant le blocage, les sessions doivent être protégées, et l'inactivité après une authentification forte ne doit pas dépasser dix minutes.
Ce que cela implique pour votre application mobile
La connexion, le verrouillage et l'expiration des sessions dans l'application sont des contrôles réglementés. Le serveur doit les imposer, et pas seulement l'application.
Comment Ostorlab vous aide
Ostorlab se connecte avec vos comptes de test, saisit les codes à usage unique reçus par SMS, e-mail ou TOTP, et teste la connexion et la déconnexion, le renouvellement des jetons, les délais d'expiration, l'invalidation des sessions et l'application effective de la MFA, y compris les parcours d'authentification renforcée.
Ce qui reste de votre ressort
Le choix des facteurs d'authentification, les procédures de déblocage et la surveillance de la fraude.
- Résolution n° 58 de la NBU, point 22
Lier chaque code d'authentification au paiement
Ce que dit le texte
Avec la liaison dynamique, le payeur voit le bénéficiaire et le montant, le code d'authentification leur est lié, et toute modification du montant ou du bénéficiaire invalide le code et annule l'initiation.
Ce que cela implique pour votre application mobile
Un attaquant qui modifie le montant ou le bénéficiaire entre la confirmation et l'exécution devrait échouer. Cette logique se trouve dans l'application et les API de paiement.
Comment Ostorlab vous aide
Le pentest par agents IA teste la logique métier des parcours de paiement et de gestion de compte, et Ostorlab teste l'application effective de la MFA et les parcours d'authentification renforcée, y compris les tentatives de manipulation par un attaquant, ainsi que les appels d'API qui les sous-tendent.
Ce qui reste de votre ressort
La conception cryptographique du code d'authentification et la surveillance des transactions.
- Résolution n° 58 de la NBU, point 33
Protéger l'authentification sur le téléphone du client
Ce que dit le texte
Lorsque des éléments ou codes d'authentification sont traités sur un appareil polyvalent comme un téléphone mobile, le prestataire doit utiliser des environnements d'exécution sécurisés distincts, des mécanismes empêchant le payeur ou un tiers de modifier le logiciel, et des mesures qui réduisent l'impact des modifications non autorisées.
Ce que cela implique pour votre application mobile
L'application doit résister à l'altération, au ré-empaquetage et au hooking à l'exécution, et réagir lorsque l'appareil est rooté ou jailbreaké.
Comment Ostorlab vous aide
Mobile Shielding Scan exécute l'application dans des environnements rootés et jailbreakés, tente de contourner la détection du root et du jailbreak, l'anti-altération, l'anti-instrumentation et le TLS pinning, et montre si l'application bloque le parcours, refuse de démarrer ou continue de fonctionner. Vous obtenez un score de durcissement et des preuves de contournement.
Ce qui reste de votre ressort
Le choix du produit de blindage et la réaction de l'application face à un appareil compromis.
- Résolution n° 58 de la NBU, points 59 et 95
Préserver la confidentialité des données de paiement sensibles
Ce que dit le texte
Les données de paiement sensibles doivent être masquées à l'affichage et ne pas apparaître en entier lors de leur saisie. Elles doivent être stockées, avec leurs clés de chiffrement, sous une forme protégée contre la consultation et la modification non autorisées, et protégées par la cryptographie ou rendues illisibles lors de leur transmission.
Ce que cela implique pour votre application mobile
Les mots de passe, codes, clés et données de carte ne doivent pas fuiter du stockage, des journaux, des captures d'écran ou du trafic de l'application.
Comment Ostorlab vous aide
Ostorlab recherche les jetons de session et les données personnelles dans le stockage local, les caches, les journaux et les captures d'écran, détecte les erreurs de configuration qui affaiblissent la protection du transport et des sessions, et détecte les clés d'API, jetons et identifiants codés en dur dans le package de l'application.
Ce qui reste de votre ressort
La méthodologie de gestion des clés, approuvée par votre direction, et le stockage côté backend.
Synthèse de textes en ukrainien publiés par la Banque nationale d'Ukraine, vérifiés le 27 septembre 2026. Les règles d'authentification s'appliquent aux prestataires de services de paiement, comme indiqué. Cette page ne constitue pas un avis juridique.
Les règles de la NBU, contrôle par contrôle
Les contrôles visés par les textes de la NBU, la manière dont Ostorlab les teste dans votre application et ses API, et les preuves que vous pouvez conserver.
| Contrôle | Comment Ostorlab vous aide | Preuves conservées |
|---|---|---|
| Tests de sécurité lors du développement ou de l'acquisition des systèmesRés. 95, point 124 | Mobile SAST sur le binaire et Mobile DAST sur l'application en cours d'exécution, avant la mise en production. Détails | Résultats avec contexte du code décompilé, trafic, traces d'appels et captures d'écran |
| Contrôle des vulnérabilités des logicielsRés. 95, point 127 ; Rés. 178, point 18 | Identifie par empreinte les bibliothèques compilées statiquement et les associe aux vulnérabilités connues, d'une version à l'autre. Détails | Vulnérabilités identifiées avec recommandations de mise à niveau ou de remplacement, et résolution suivie d'une version à l'autre |
| Tests d'intrusion périodiquesRés. 95, point 108 | Pentest par agents IA de l'application et de ses API, derrière la connexion, sur la version que vous livrez. Détails | Un exploit fonctionnel à rejouer pour chaque résultat d'un agent IA, et une heatmap de couverture |
| Correction des vulnérabilités critiques et élevéesRés. 4, annexe 2, points 34 et 35 | Regroupe les résultats en tickets dans la plateforme ou dans Jira et ServiceNow, et reteste après correction. | Historique des tickets et issue du retest pour chaque résultat |
| OWASP pour les applications web et les APIRés. 95, point 143 | Intercepte le trafic même avec TLS pinning et teste les autorisations, les usages abusifs des jetons et les abus comme l'énumération et le rejeu. Détails | Requêtes et réponses à l'appui de chaque résultat d'API |
| Tentatives échouées, expiration et protection des sessionsRés. 58, point 17 | Teste la connexion et la déconnexion, le renouvellement des jetons, les délais d'expiration et l'invalidation des sessions. Détails | Résultats sur les sessions et les jetons, avec journaux des requêtes et réponses |
| Authentification forte et liaison dynamiqueRés. 58, points 15 et 22 | Se connecte avec des codes à usage unique et teste l'application effective de la MFA, les parcours d'authentification renforcée et les appels d'API qui les sous-tendent. Détails | Résultats sur les parcours de connexion et d'authentification renforcée, avec étapes de reproduction |
| Protection contre les logiciels modifiés sur le téléphoneRés. 58, point 33 | Exécute l'application dans des environnements rootés et jailbreakés et tente de contourner la détection du root et du jailbreak. Détails | Score de durcissement, et preuves de contournement pour chaque protection qui a échoué |
| Protection contre le hooking à l'exécutionRés. 58, point 33 | Injecte des débogueurs et des hooks et adapte sa tentative pour contourner les défenses anti-instrumentation. Détails | Preuves des protections qui ont tenu et de celles qui ont été contournées |
| Données de paiement sensibles sur l'appareil et en transitRés. 58, points 59 et 95 | Recherche les jetons et les données personnelles dans le stockage, les caches, les journaux et les captures d'écran, et vérifie la protection du transport. Détails | Preuves sur le système de fichiers montrant ce qui a été écrit, où et quand |
Ostorlab teste les contrôles de l'application et de ses API. Le système de management de la sécurité de l'information, la sécurité du réseau et du périmètre, les infrastructures d'information critiques, la surveillance des transactions, la continuité d'activité, le signalement des incidents au Cyber Defense Center de la NBU et l'audit externe restent du ressort de vos équipes.
Les contrôles de l'application mobile à tester au regard des règles de la NBU
Une liste pratique pour les équipes sécurité et conformité qui travaillent sur les règles de la NBU relatives à la sécurité de l'information, à la cyberprotection et à l'authentification.
Exigences de sécurité par version
Documentez les exigences de sécurité de l'application et de chaque composant de prestataire, et testez chaque build dans un environnement distinct avec des données anonymisées.
Bibliothèques et SDK
Suivez les bibliothèques tierces de chaque version, rapprochez-les des vulnérabilités connues et publiez les correctifs.
Connexion et verrouillage
Vérifiez le blocage après cinq tentatives d'authentification forte échouées consécutives, et une procédure de déblocage sûre.
Expiration des sessions
Vérifiez que les sessions prennent fin après au plus dix minutes d'inactivité, et que le serveur l'impose.
Liaison dynamique
Essayez de modifier le montant ou le bénéficiaire après la confirmation, et confirmez que le code devient invalide et que le paiement est annulé.
Appareils compromis et modifiés
Exécutez l'application sur des appareils rootés et jailbreakés, essayez un build modifié et des hooks à l'exécution, et confirmez que l'application réagit.
API et données sensibles
Testez les autorisations sur chaque API de compte et de paiement, et recherchez les codes, clés et jetons dans le stockage, les journaux et le trafic.
Preuves pour l'autoévaluation
Conservez les résultats des pentests et les retests des résultats critiques et élevés pour le rapport au 31 mars et pour l'audit externe.
Une liste indicative, et non un modèle de la NBU. Ceci ne constitue pas un avis juridique.
Les capacités associées à cette page
Chacune a sa propre page détaillée.
- Mobile Shielding ScanTestez à l'exécution la détection du root et du jailbreak, l'anti-altération et le pinning, et voyez quelles protections ont tenu et lesquelles ont été contournées.En savoir plus
- Mobile Agentic Deep ScanDes agents IA pentestent la version publiée à chaque release, avec un exploit fonctionnel à rejouer pour chaque résultat d'un agent IA.En savoir plus
- Tests authentifiésTestez la connexion, les codes à usage unique et les parcours d'authentification renforcée avec vos comptes de test.En savoir plus
- Tests des API et du backendInterceptez le trafic de l'application même avec TLS pinning, puis testez les API et backends derrière les comptes et les paiements.En savoir plus
- Mobile SASTAnalyse statique des binaires APK, AAB et IPA, avec analyse de propagation (taint) sur l'application et ses SDK intégrés.En savoir plus
- SCA et SBOMDétectez les dépendances vulnérables, y compris les bibliothèques natives compilées statiquement, et suivez leur résolution version après version.En savoir plus
- Scan on-premisesScannez les applications de préproduction, API et dépôts derrière votre pare-feu ou VPN, sur une infrastructure que vous contrôlez.En savoir plus
- Votre propre clé IALancez les scans par agents IA avec la clé de votre fournisseur d'IA et un plafond de dépense par scan, pour respecter vos politiques internes.En savoir plus
Des banques et fintechs nous font confiance, dont
Sources
Les textes officiels sur lesquels s'appuie cette page, vérifiés le 27 septembre 2026.
- Положення про організацію заходів із забезпечення інформаційної безпеки в банківській системі УкраїниBanque nationale d'Ukraine, Résolution du Directoire n° 95 du 28 septembre 2017, en vigueur depuis le 1er mars 2018 (section V depuis le 1er septembre 2019). Mesures minimales de sécurité de l'information pour les banques. En ukrainien uniquement
- Положення про організацію кіберзахисту в банківській системі УкраїниBanque nationale d'Ukraine, Résolution du Directoire n° 178 du 12 août 2022. Système de cyberprotection, infrastructures d'information critiques et audit externe de la sécurité de l'information. En ukrainien uniquement
- Зміни до деяких нормативно-правових актів Національного банку України з питань інформаційної безпеки та кіберзахистуBanque nationale d'Ukraine, Résolution du Directoire n° 24 du 25 février 2025, en vigueur depuis le 1er mars 2025. Modifie les Résolutions n° 4 et n° 178 : signalement des incidents significatifs et autoévaluation annuelle. En ukrainien uniquement
- Положення про автентифікацію та застосування посиленої автентифікації на платіжному ринкуBanque nationale d'Ukraine, Résolution du Directoire n° 58 du 3 mai 2023. Authentification, authentification forte des clients et protection des données de paiement pour les prestataires de services de paiement. En ukrainien uniquement
Questions fréquentes
Des réponses claires sur la couverture, la mise en place et la façon dont les résultats parviennent à vos équipes.
Vous ne trouvez pas votre réponse ? Réservez une démo ou contactez-nous.
Testez votre application bancaire mobile au regard des règles de la NBU
Commencez par un scan gratuit de votre application depuis le store, ou réservez une démo pour lancer des tests de blindage et des tests authentifiés avec notre équipe.