Le recours à l’IA lors de cyberattaques : quels impacts pour les organisations et comment s’en prémunir?

Les attaquants cherchent généralement à obtenir des accès, voler ou chiffrer des données, détourner des fonds, interrompre des activités ou exercer une pression par rançon. L’IA leur permet de mieux cibler leurs victimes à partir de renseignements trouvés sur les sites Web, les médias sociaux ou les offres d’emploi. Un faux message vocal imitant un dirigeant peut, par exemple, demander à un employé d’autoriser d’urgence un virement ou de transmettre un mot de passe.

Cette efficacité accrue repose sur l’automatisation de tâches qui exigeaient auparavant davantage de temps et d’intervention humaine. Une attaque peut mobiliser un seul outil d’IA ou plusieurs agents spécialisés : l’un recueille de l’information, un autre classe les cibles, un troisième génère du code, tandis qu’un autre cherche des identifiants ou tente de maintenir l’accès. Ensemble, ils peuvent accélérer les différentes étapes de l’attaque, de la reconnaissance de l’environnement jusqu’à la collecte de données.³

L’IA peut également faciliter la dissimulation d’activités malveillantes, notamment en modifiant continuellement leur apparence ou en détournant des outils déjà utilisés par l’organisation. À titre d’exemple, un logiciel normalement employé par le service informatique pour gérer les systèmes peut être utilisé par un attaquant pour copier des données. Comme l’outil est connu et autorisé, son utilisation frauduleuse risque de se confondre avec les activités courantes.⁴

Une attaque assistée par l’IA ne devient pas pour autant invisible. Une analyse criminalistique peut révéler des connexions inhabituelles, la création de comptes, des changements de privilèges, des transferts de données ou l’installation de programmes clandestins. Les indices peuvent cependant être plus diffus en raison de la variation automatique des méthodes et de l’enchaînement rapide des actions. La qualité, la centralisation et la conservation des journaux informatiques sont donc essentielles pour repérer les anomalies et reconstituer les événements.

Ces méthodes compliquent le travail des équipes de sécurité. Les attaquants peuvent multiplier rapidement les essais et les variantes à faible coût, tandis que les défenseurs doivent distinguer les véritables menaces des activités normales, limiter les fausses alertes et documenter leurs décisions. La rapidité d’intervention devient critique, car le délai entre l’accès initial et le vol ou le chiffrement des données peut être très court.⁵

Les conséquences peuvent être opérationnelles, financières, contractuelles et réputationnelles : interruption des services, fraude, perte de données, coûts d’enquête et de restauration, réclamations de clients ou de partenaires et obligations de notification. Une organisation peut aussi être touchée indirectement par une attaque visant un fournisseur infonuagique ou un autre maillon de sa chaîne d’approvisionnement.

Pour suivre le rythme, l’IA doit dorénavant faire partie de l’arsenal de défense.

Elle peut analyser un grand nombre de signaux, détecter des comportements inhabituels, prioriser les alertes et soutenir l’enquête à une échelle difficilement accessible aux seules équipes humaines. Elle ne remplace toutefois ni les contrôles de base ni le jugement professionnel. Son efficacité dépend de données fiables, d’une supervision humaine, d’essais réguliers et de règles claires pour valider ou corriger ses résultats.⁶

Cette nouvelle capacité de défense entraîne toutefois un fardeau additionnel. L’organisation doit déterminer les usages permis, protéger les renseignements transmis aux outils, évaluer les fournisseurs, documenter les décisions automatisées et se conformer aux lois applicables, notamment en matière de protection des renseignements personnels. Elle doit aussi prévenir les débordements, comme une surveillance disproportionnée, une décision erronée prise sans validation humaine ou la divulgation involontaire de renseignements confidentiels.

L’IA défensive doit donc être gouvernée comme une source de risque à part entière, sans devenir un substitut aux mesures de cybersécurité éprouvées.

L’organisation doit maintenir une authentification multifacteur résistante à l’hameçonnage, une gestion rigoureuse des accès et des privilèges, des correctifs rapides, des sauvegardes testées et isolées, ainsi qu’une segmentation adéquate des réseaux. Les demandes sensibles, comme un changement de coordonnées bancaires ou un virement urgent, devraient également être vérifiées par un autre moyen de communication.⁷

La préparation complète ces mesures techniques. Avant tout incident, l’organisation devrait déterminer qui peut isoler un système, suspendre un compte, retenir un expert externe, aviser l’assureur ou communiquer avec les autorités. Elle devrait aussi tester régulièrement son plan de réponse afin que les équipes techniques, juridiques, de direction, de communication et d’assurance sachent intervenir ensemble.

Lorsqu’une attaque est découverte, il faut activer ce plan, contenir l’incident sans détruire les éléments de preuve, préserver les journaux, documenter les décisions et mobiliser rapidement les ressources compétentes. Il faut ensuite vérifier les exigences de l’assurance, évaluer les obligations envers les personnes concernées, les autorités, les clients et les partenaires, puis coordonner les communications afin d’éviter des messages incomplets ou contradictoires.

L’avocat devrait idéalement être consulté avant l’incident.

Il peut contribuer à structurer la gouvernance de l’IA et de la cybersécurité, réviser le plan de réponse, clarifier les rôles, examiner les contrats avec les fournisseurs et intégrer les exigences relatives à la protection des renseignements personnels. Lors d’une attaque, il peut aider à coordonner les interventions avec les experts techniques, l’assureur et les responsables des communications, à préserver la preuve, à analyser les obligations de notification et à encadrer les échanges avec les autorités et les personnes concernées.

L’IA accroît la vitesse, l’échelle et la capacité d’adaptation des cyberattaques, mais elle devient aussi indispensable pour les détecter et y répondre. Les organisations les mieux préparées seront celles qui intégreront cette technologie à une démarche cohérente réunissant cybersécurité, gouvernance, conformité et capacité d’intervention.