5 min de lecture
L’IA accélère les attaques, la préparation doit suivre
Un jeudi à 22 h 40, pendant que l’informatique d’une société de distribution de 300 personnes lutte contre un rançongiciel, la directrice financière reçoit un message vocal du directeur général, en déplacement. Il lui demande de régler ce soir même un fournisseur dont les coordonnées bancaires ont changé, et de ne pas passer par la validation habituelle, faute de temps. La voix est la sienne, et le courriel qui suit est rédigé dans un français sans faute et cite le bon numéro de commande. Tout est faux, fabriqué à partir d’enregistrements publics et d’informations trouvées en ligne. La société est fictive. Le scénario, lui, relève de ce que l’intelligence artificielle générative a rendu plus facile, et il oblige à se demander ce qu’elle change pour la préparation aux cyberincidents.
Ce qui change du côté de l’attaquant
L’intelligence artificielle générative n’a pas inventé la cybercriminalité. Elle a rendu certaines de ses étapes moins chères et plus rapides, à commencer par la plus visible, le message d’hameçonnage. Il y a quelques années, un courriel frauduleux se trahissait souvent par une orthographe approximative ou une tournure étrangère. Aujourd’hui, un message peut être rédigé dans la langue du destinataire, adapté à sa fonction à partir d’informations publiques, et envoyé à grande échelle avec des variantes. La voix clonée et la vidéo truquée servent, de leur côté, à se faire passer pour un dirigeant, et des fraudes au virement obtenues de cette manière ont été rapportées. Des outils de reconnaissance ou de programmation, longtemps réservés à des attaquants expérimentés, deviennent accessibles à des profils moins avancés.
La conséquence pratique est inconfortable. Les signaux d’alerte qu’on enseignait dans les formations de sensibilisation, comme les fautes de langue, tendent à disparaître, et un collaborateur qui a appris à les chercher peut se sentir en sécurité devant un message qui n’en contient pas. La sensibilisation doit donc changer d’objet : moins repérer des défauts, davantage vérifier par un second canal ce qui demande de l’argent, un accès ou une exception.
Ce qui change du côté de la défense, et ses limites
La défense dispose des mêmes outils. L’intelligence artificielle aide à trier des alertes, à résumer des journaux, à rédiger un premier projet de communication ou à traduire un message pour un client étranger, et elle fait gagner du temps là où le temps manque le plus. Il serait absurde de s’en priver. Elle a cependant une faiblesse qui compte beaucoup en crise : elle se trompe avec aplomb, et une réponse fausse, bien tournée, se lit exactement comme une réponse juste.
Or, pendant un incident, la ressource rare est le fait établi : que sait-on vraiment, depuis quand, avec quel degré de certitude ? Un communiqué rédigé par un modèle à partir d’informations incomplètes sera fluide et peut être inexact, et personne n’a le temps de le vérifier phrase à phrase. Il demande donc toujours quelqu’un qui sait ce qui est vrai, ce qui fait de la relecture humaine, plus que de la rédaction, le véritable goulot d’étranglement. Une équipe qui l’a compris s’en sert pour gagner du temps sur la forme, jamais pour décider du fond.
Le risque oublié : l’IA dans la cellule de crise
Il existe un risque que les entreprises anticipent rarement, parce qu’il ne vient pas d’un attaquant mais de l’équipe elle-même. Sous pression, quelqu’un copie le journal de l’incident, une liste de clients ou le message de rançon dans un assistant public pour aller plus vite. Des données personnelles et confidentielles quittent alors l’organisation, en plein incident, au moment où elle est le moins en mesure de s’en apercevoir. Le geste est compréhensible : l’outil est ouvert dans un autre onglet, la tâche est urgente, et personne n’a dit que c’était interdit. Il peut pourtant ajouter un second problème au premier, notamment au regard de la protection des données.
Cela se décide avant la crise, parce qu’on ne l’arbitre pas à chaud. Il s’agit de dire quels outils d’IA sont autorisés pendant un incident, quelles informations on n’y colle jamais, et qui, dans la cellule de crise, le rappelle à l’équipe quand la fatigue s’installe. Une règle de trois lignes, connue de tous et répétée, y suffit.
S’entraîner à la tromperie, et se préparer plus vite
Revenons à la directrice financière de 22 h 40. Savoir que ce genre de fraude existe ne lui suffit pas : l’important est de savoir si la procédure de vérification, rappeler le directeur sur un numéro connu, exiger une seconde validation pour tout changement de coordonnées bancaires, tient quand tout le monde est fatigué et que l’incident occupe l’attention. C’est testable, à condition de le mettre dans un exercice. Un bon scénario contient désormais une usurpation d’identité : un appel « du directeur général » qui demande de contourner la validation habituelle, un faux courriel de fournisseur qui arrive en plein incident avec de nouvelles coordonnées bancaires. On regarde alors ce que le groupe fait, et non ce qu’il dit qu’il ferait.
L’intelligence artificielle peut aussi servir la préparation plutôt que l’attaque, en réduisant son coût. Adapter un scénario à votre secteur, à vos systèmes et à vos rôles prenait des jours de travail manuel, ce qui explique que peu d’organisations s’exercent souvent. UnderCrisis l’utilise pour générer l’exercice à partir du contexte de votre organisation, et les décisions restent celles de vos équipes. Si les attaques gagnent en vitesse, la préparation ne peut plus rester un projet annuel : elle doit pouvoir se répéter aussi souvent que les situations changent.