Les pirates ont déjà leurs outils, ils attendent juste le feu vert
En 2023, les groupes de ransomware comme LockBit ou BlackCat ont testé des scripts basés sur l’IA pour automatiser leurs attaques. Résultat ? Des emails de phishing personnalisés à la seconde, des vulnérabilités dans les systèmes détectées en quelques heures, des mots de passe devinés avant même que vous ne les changiez. Une étude de Check Point Research (juin 2023) montrait que 70 % des entreprises avaient déjà été ciblées par des outils d’IA générant des attaques sur mesure. Et ça, c’est avant que les modèles ne deviennent plus puissants, plus accessibles, et surtout plus stupides, au sens où ils ne se contenteront plus de copier-coller des techniques connues, mais inventeront des failles sur mesure.
Pourtant, les entreprises continuent de croire que leur pare-feu ou leur solution de sécurité « premium » suffira. Spoiler : non. Les pirates n’ont pas besoin de pirater votre système principal. Ils peuvent cibler un employé lambda, lui envoyer un email qui semble venir de son patron, et exfiltrer des données sensibles avant que quiconque ne réalise quoi que ce soit. Et avec l’IA, ces emails seront parfaits. Pas un mot de trop, pas une faute, pas une incohérence. Juste assez de pression pour que la victime clique.
Pourquoi les régulateurs ferment les yeux
Le problème, c’est que personne ne veut assumer. Les États-Unis ont bien sorti un cadre pour réguler l’IA en octobre 2023, mais c’est du papier mou. L’UE traîne avec son AI Act, et même là, les cyberattaques ne sont pas la priorité, on parle plutôt de « risques systémiques » et de biais algorithmiques. Les régulateurs préfèrent jouer les pompiers pyromanes : ils attendent qu’un gros incident arrive pour réagir. En attendant, les cybercriminels s’entraînent.
Prenez l’exemple de Darktrace, une entreprise spécialisée dans la détection des cybermenaces. En 2023, ils ont intercepté une attaque où des pirates utilisaient une IA pour simuler le comportement d’un employé légitime dans une entreprise. Résultat ? Le système de sécurité interne a mis trois jours à détecter l’anomalie. Trois jours. Trois jours pour qu’un inconnu ait accès à vos emails, vos contrats, vos données clients. Et personne ne s’en est aperçu.
Ce que ça change pour vous (et ce que vous ne pouvez pas faire)
Vos données ne sont pas en sécurité. Point. Que vous soyez une PME, un salarié, ou même un particulier avec un compte bancaire, vous êtes une cible. Et l’IA ne fait qu’aggraver le problème.
-
Pour les entreprises : vos solutions de sécurité actuelles sont obsolètes avant même d’être installées. Les pirates utilisent déjà des outils d’IA pour contourner vos défenses. Et devinez quoi ? Les budgets cybersecurity ne suivent pas. Selon Gartner, seulement 30 % des entreprises allouent plus de 10 % de leur budget IT à la sécurité. Le reste ? Des économies de bout de chandelle qui se paieront cher.
-
Pour les particuliers : vos mots de passe sont une blague. Même avec un gestionnaire de mots de passe, une IA peut en deviner la structure en quelques secondes. Vos emails ? Piratables. Vos photos ? Exfiltrables. Vos conversations ? Écoutez. Les outils existent déjà. Et ils deviennent plus accessibles.
L’IA ne sauvera pas le monde, elle le compliquera
Certains vendent l’IA comme la solution miracle. « Avec l’IA, on détectera les cyberattaques avant qu’elles n’arrivent ! » Sauf que les mêmes outils qui défendent peuvent attaquer. Et les pirates n’ont pas besoin d’être des génies pour les utiliser. Il suffit de savoir où chercher.
En 2023, des chercheurs ont montré qu’un modèle d’IA comme GPT-4 pouvait générer du code malveillant fonctionnel en quelques secondes. Pas besoin d’être un expert en hacking. Il suffit de savoir poser la bonne question. Et avec l’essor des jailbreaks (contournements des restrictions des IA), même les modèles les plus surveillés peuvent devenir des armes.
Alors, que faire ?
Rien. Enfin, presque. Vous ne pouvez pas grand-chose contre des attaques automatisées à grande échelle. Mais vous pouvez arrêter de croire que votre pare-feu ou votre antivirus suffira. Voici ce qui marche vraiment :
- Désactivez l’accès automatique à vos emails et documents. Les pirates exploitent les autorisations par défaut. Si vous n’avez pas besoin que votre assistant IA accède à vos mails, désactivez-le.
- Formez vos équipes (ou vous-même) aux attaques sociales. Une IA peut générer un email parfait, mais si vos employés savent reconnaître les signes d’une urgence truquée, ça aide.
- Acceptez que vos données seront volées. Oui, vous avez bien lu. À un moment donné, une attaque réussira. La question n’est pas si, mais quand. Alors préparez un plan B : chiffrement des données sensibles, sauvegardes hors ligne, procédures d’urgence.
2024 sera l’année où les pirates gagneront
Bill Gates n’a pas tort. Les cyberattaques basées sur l’IA vont exploser cette année. Pas parce que l’IA est incontrôlable, mais parce qu’elle est trop contrôlable. Trop facile à utiliser. Trop rentable. Et les entreprises, trop lentes à réagir.
Le pire ? Personne ne s’en rendra compte avant que ce ne soit trop tard. Alors préparez-vous. Parce que vos données ne le seront plus, et que les pirates, eux, savent déjà comment faire.
