Sécurité numérique
Entre les mains d’acteurs malveillants, les outils d’IA peuvent accroître l’ampleur et la gravité de toutes sortes d’escroqueries, de campagnes de désinformation et d’autres menaces.
15 janvier 2025
•
,
5 minutes. lire
L’IA a dynamisé la course aux armements en matière de cybersécurité au cours de l’année écoulée. Et les 12 prochains mois n’apporteront aucun répit. Cela a des implications majeures pour les équipes de cybersécurité des entreprises et leurs employeurs, ainsi que pour les utilisateurs Web quotidiens. Alors que la technologie de l’IA aide les défenseurs à améliorer la sécurité, les acteurs malveillants ne perdent pas de temps à exploiter les outils basés sur l’IA. Nous pouvons donc nous attendre à une augmentation des escroqueries, de l’ingénierie sociale, de la fraude de compte, de la désinformation et d’autres menaces.
Voici ce à quoi vous pouvez vous attendre à partir de 2025.
À quoi faut-il faire attention
Début 2024, le National Cyber Security Centre (NCSC) du Royaume-Uni a averti que l’IA était déjà utilisée par tous les types d’acteurs malveillants et qu’elle « augmenterait presque certainement le volume et l’impact des cyberattaques au cours des deux prochaines années ». La menace est plus aiguë dans le contexte de l’ingénierie sociale, où l’IA générative (GenAI) peut aider les acteurs malveillants à élaborer des campagnes très convaincantes dans des langues locales impeccables. En reconnaissance, où l’IA peut automatiser l’identification à grande échelle des actifs vulnérables.
Même si ces tendances se poursuivront certainement jusqu’en 2025, nous pourrions également voir l’IA utilisée pour :
- Contournement de l’authentification : La technologie Deepfake est utilisée pour aider les fraudeurs à se faire passer pour des clients lors de contrôles par selfie et vidéo pour la création de nouveaux comptes et l’accès à ceux-ci.
- Compromission de messagerie professionnelle (BEC) : L’IA a de nouveau été déployée à des fins d’ingénierie sociale, mais cette fois pour inciter une entreprise bénéficiaire à virer des fonds sur un compte sous le contrôle du fraudeur. L’audio et la vidéo Deepfake peuvent également être utilisés pour usurper l’identité de PDG et d’autres hauts dirigeants lors d’appels téléphoniques et de réunions virtuelles.
- Escroqueries par usurpation d’identité : Les grands modèles de langage (LLM) open source offriront de nouvelles opportunités aux fraudeurs. En les formant aux données récupérées sur des comptes de réseaux sociaux piratés et/ou accessibles au public, les fraudeurs pourraient se faire passer pour leurs victimes lors d’enlèvements virtuels et d’autres escroqueries destinées à tromper leurs amis et leur famille.
- Escroqueries aux influenceurs : De la même manière, attendez-vous à voir GenAI être utilisé par des escrocs en 2025 pour créer de faux ou dupliquer des comptes de réseaux sociaux imitant des célébrités, des influenceurs et d’autres personnalités connues. Des vidéos Deepfake seront publiées pour inciter les abonnés à transmettre des informations personnelles et de l’argent, par exemple dans le cadre d’escroqueries à l’investissement et à la cryptographie, y compris les types de stratagèmes mis en évidence dans le dernier rapport sur les menaces d’ESET. Cela exercera une pression accrue sur les plateformes de médias sociaux pour qu’elles proposent des outils et des badges de vérification de compte efficaces – ainsi que sur vous pour rester vigilant.
- Désinformation: Les États hostiles et d’autres groupes exploiteront GenAI pour générer facilement de faux contenus, afin d’inciter les utilisateurs crédules des médias sociaux à suivre de faux comptes. Ces utilisateurs pourraient ensuite être transformés en amplificateurs en ligne pour des opérations d’influence, d’une manière plus efficace et plus difficile à détecter que les fermes de contenu/trolls.
- Craquage de mot de passe : Les outils basés sur l’IA sont capables de démasquer en masse les informations d’identification des utilisateurs en quelques secondes pour permettre l’accès aux réseaux et aux données de l’entreprise, ainsi qu’aux comptes clients.
Problèmes de confidentialité de l’IA pour 2025
L’IA ne sera pas seulement un outil pour les acteurs de la menace au cours de l’année à venir. Cela pourrait également introduire un risque élevé de fuite de données. Les LLM nécessitent d’énormes volumes de texte, d’images et de vidéos pour être formés. Souvent par accident, certaines de ces données seront sensibles : pensées, biométries, informations de santé ou données financières. Dans certains cas, les réseaux sociaux et d’autres entreprises peuvent modifier les conditions générales afin d’utiliser les données des clients pour former les modèles.
Une fois récupérées par le modèle de l’IA, ces informations représentent un risque pour les individus si le système d’IA lui-même est piraté. Ou si les informations sont partagées avec d’autres via les applications GenAI exécutées au-dessus du LLM. Les utilisateurs d’entreprise craignent également de partager involontairement des informations sensibles liées au travail via les invites GenAI. Selon un sondage, un cinquième des entreprises britanniques ont accidentellement exposé des données d’entreprise potentiellement sensibles via l’utilisation de GenAI par leurs employés.
L’IA pour les défenseurs en 2025
La bonne nouvelle est que l’IA jouera un rôle de plus en plus important dans le travail des équipes de cybersécurité au cours de l’année à venir, à mesure qu’elle sera intégrée à de nouveaux produits et services. S’appuyant sur une longue histoire de sécurité basée sur l’IA, ces nouvelles offres contribueront à :
- générer des données synthétiques pour former les utilisateurs, les équipes de sécurité et même les outils de sécurité de l’IA
- résumer les rapports de renseignements sur les menaces longs et complexes pour les analystes et faciliter une prise de décision plus rapide en cas d’incidents
- Améliorez la productivité SecOps en contextualisant et en hiérarchisant les alertes pour les équipes surchargées, et en automatisant les flux de travail pour les enquêtes et les mesures correctives.
- analyser de gros volumes de données à la recherche de signes de comportement suspect
- former les équipes informatiques via la fonctionnalité « copilote » intégrée à divers produits pour aider à réduire le risque de mauvaises configurations
Cependant, les responsables informatiques et de la sécurité doivent également comprendre les limites de l’IA et l’importance de l’expertise humaine dans le processus décisionnel. Un équilibre entre l’humain et la machine sera nécessaire en 2025 pour atténuer le risque d’hallucinations, de dégradation des modèles et d’autres conséquences potentiellement négatives. L’IA n’est pas une solution miracle. Il doit être combiné avec d’autres outils et techniques pour des résultats optimaux.
Les défis de l’IA en matière de conformité et d’application
Le paysage des menaces et le développement de la sécurité de l’IA ne se produisent pas en vase clos. Les changements géopolitiques en 2025, notamment aux États-Unis, pourraient même conduire à une déréglementation des secteurs de la technologie et des médias sociaux. Cela pourrait à son tour permettre aux fraudeurs et autres acteurs malveillants d’inonder les plateformes en ligne de menaces générées par l’IA.
Parallèlement, au sein de l’UE, une certaine incertitude subsiste quant à la réglementation de l’IA, ce qui pourrait rendre la vie plus difficile aux équipes chargées de la conformité. Comme l’ont noté les experts juridiques, des codes de bonnes pratiques et des lignes directrices doivent encore être élaborés, et les responsabilités en cas de défaillance du système d’IA doivent encore être calculées. Le lobbying du secteur technologique pourrait encore modifier la manière dont la loi européenne sur l’IA est mise en œuvre dans la pratique.
Cependant, ce qui est clair, c’est que l’IA va radicalement changer la façon dont nous interagissons avec la technologie en 2025, pour le meilleur et pour le pire. Elle offre d’énormes avantages potentiels aux entreprises et aux particuliers, mais aussi de nouveaux risques qui doivent être gérés. Il est dans l’intérêt de tous de travailler plus étroitement au cours de l’année à venir pour garantir que cela se produise. Les gouvernements, les entreprises du secteur privé et les utilisateurs finaux doivent tous jouer leur rôle et travailler ensemble pour exploiter le potentiel de l’IA tout en atténuant ses risques.
