Ce sujet risque facilement de basculer entre deux extrêmes : soit on en fait une apocalypse, soit on le nie purement et simplement. Si l'on y regarde de plus près, l'IA modifie la dynamique des cyberattaques, mais elle ne crée pas pour autant un type d'attaque inédit.
Les trois changements les plus évidents
Escroqueries par e-mail et SMS. Auparavant, le signe le plus facile à repérer était une rédaction truffée de fautes de grammaire. Ce signe a disparu. Pire encore, le contenu peut désormais être personnalisé en fonction des informations publiques de chaque personne, et ce à une échelle de plusieurs dizaines de milliers de cibles.
Falsification de la voix et de l'image. Quelques dizaines de secondes d'enregistrement suffisent pour créer une voix qui y ressemble. L'arnaque du type « votre patron vous appelle pour vous demander d'effectuer un virement urgent » devient ainsi bien plus convaincante.
Recherche de failles. L'IA excelle dans l'analyse du code source à la recherche de vulnérabilités. Cela profite tant aux attaquants qu'aux défenseurs, mais ces derniers ont un avantage : ils disposent du code source dès le départ.
Ce qui n'a pas changé
La plupart des intrusions réussies passent encore par les mêmes failles : mots de passe faibles et réutilisés, logiciels non mis à jour, configurations incorrectes exposant des services sur Internet, et employés victimes d'hameçonnage. L'IA facilite l'étape de l'hameçonnage, mais ne parvient pas à contourner l'authentification à deux facteurs utilisant une clé matérielle.
Quels aspects de la défense faudrait-il améliorer ?
- Cessez complètement de vous fier à ce qui « semble authentique ». Le processus de validation des dépenses doit passer par un canal indépendant, sans se baser sur une voix ou un e-mail qui semble familier
- Authentification anti-fraude — clé de sécurité physique ou passkey, car elles sont liées au nom de domaine et ne permettent donc pas d’être redirigé vers une page frauduleuse
- Réduire la surface d’attaque — chaque service qui n’est pas exposé à Internet est un point où l’IA ne peut pas aider l’attaquant
- Simulez de nouveaux scénarios — testez des e-mails de phishing rédigés de manière professionnelle et des appels téléphoniques avec des imitations de voix, car ce sont des situations auxquelles les employés seront confrontés
Règle immuable : la vérification doit passer par un canal différent de celui par lequel la demande a été reçue. Si vous entendez la voix de votre supérieur au téléphone, rappelez-le en utilisant le numéro que vous avez enregistré.
Thảo luận