Les technologies Deepfake permettent des fraudes sophistiquées dans les entreprises
Les technologies Deepfake, des vidéos ou des sons générés par l’IA et conçus pour imiter de vrais dirigeants, sont utilisées par des criminels pour commettre des fraudes financières. Il ne s’agit plus de tentatives d’amateurs. Il s’agit d’imitations vocales et vidéo très réalistes de cadres supérieurs, utilisées pour convaincre des équipes internes de transférer de grosses sommes d’argent. En février 2024, par exemple, CNN a rapporté qu’un employé des finances d’une multinationale avait été incité à envoyer 25 millions de dollars, croyant qu’il était en conversation vidéo avec son directeur financier. Ce n’était pas le directeur financier. Il s’agissait d’un deepfake.
Ce qui est alarmant, ce n’est pas seulement la technologie, c’est la facilité avec laquelle la confiance peut être exploitée dans un environnement d’entreprise. Lorsque vous voyez votre directeur financier approuver un transfert lors d’un appel, la plupart des gens ne le remettent pas en question. Et c’est bien là le problème.
Nous entrons dans une phase où l’authenticité perçue n’est plus une méthode de vérification fiable. Cela change le modèle de gestion de l’identité et de la confiance dans les communications numériques. Les cadres doivent changer de mentalité. Partez du principe que toute communication vidéo ou audio peut être falsifiée, car c’est probablement le cas. La solution n’est pas d’éviter les appels vidéo. Il s’agit d’intégrer des protocoles de vérification à plusieurs niveaux dans les flux de travail financiers. Vous ne pouvez plus compter sur la reconnaissance faciale ou sur de simples confirmations par courriel. Nous avons dépassé ce stade.
Pour les entreprises qui transfèrent des capitaux importants par le biais d’autorisations internes, il est essentiel de mettre en place des systèmes de vérification plus intelligents. Il pourrait s’agir de systèmes de confirmation multipartites, d’une détection des faux profonds par l’IA intégrée aux outils de la place de marché, et d’une nouvelle formation du personnel interne qui gère les approbations. Il ne s’agit pas seulement d’une préoccupation informatique. C’est une question de leadership.
L’étude de Deloitte confirme cette urgence : plus de 50 % des cadres supérieurs s’attendent déjà à ce que les escroqueries de type « deepfake » ciblent directement leur organisation. Ils ont raison. Attendre une réglementation ne servira à rien. Les outils de prévention existent aujourd’hui. Il ne reste plus qu’à les mettre en œuvre.
L’IA élargit le paysage des menaces
L’IA n’a pas seulement amélioré la productivité. Elle a également rendu les cyberattaques plus évolutives, plus rapides et plus difficiles à détecter. Cela signifie plus de risques et des menaces qui évoluent plus rapidement. Pendant longtemps, l’ingénierie sociale et le hameçonnage par courriel étaient relativement faciles à repérer et à filtrer pour des équipes expérimentées. Ce n’est plus le cas aujourd’hui. Grâce à l’IA générative, les attaquants peuvent créer des messages parfaits en utilisant le langage, le ton et les modèles de votre entreprise, jusqu’à la façon dont votre PDG signe ses courriels. Ils peuvent insérer des logiciels malveillants dans des fichiers tout en imitant des modèles internes. Ces courriels ne sont pas manifestement faux, ils sont réalistes, ciblés et persistants.
Soyons clairs. Le véritable danger réside dans l’échelle à laquelle ces campagnes d’hameçonnage alimentées par l’IA opèrent. Un seul acteur malveillant peut désormais générer des courriels personnalisés pour l’ensemble de votre personnel en quelques minutes, et les améliorer au fil du temps en tirant des enseignements des réponses des employés. Nous sommes entrés dans une phase où l’apprentissage automatique est le moteur du jeu de l’attaquant, transformant le phishing traditionnel en un système intelligent et évolutif.
Il ne s’agit pas de scénarios dramatiques. C’est ce qui se passe. Vous voyez des courriels provenant d’expéditeurs « de confiance », le PDG, le directeur financier, voire les RH, en pièce jointe avec des documents qui déclenchent une violation lorsqu’ils sont ouverts. Maintenant, tenez compte du fait que ces attaques peuvent évoluer en temps réel et cibler des points d’entrée dans l’ensemble de vos systèmes, y compris les services cloud, les intégrations de partenaires et les appareils mobiles. Nous parlons ici d’un modèle d’attaque amplifié par l’IA et à surfaces multiples.
Cette situation appelle deux considérations urgentes. Premièrement, les dirigeants d’entreprise doivent revoir la manière dont les communications des employés sont authentifiées et contrôlées. Deuxièmement, les systèmes existants, comme les filtres de messagerie de base ou les systèmes antivirus traditionnels, ne suffisent pas. Remplacez-les par des outils alimentés par l’IA moderne, de préférence ceux qui intègrent l’analyse comportementale en temps réel et la détection des anomalies.
La Hack Academy a noté que les institutions financières sont des cibles de choix et a lancé un avertissement : L’IA est en train de réécrire les règles du jeu des cyberattaques traditionnelles. Le message à retenir est simple. Pour défendre votre organisation, il faut désormais s’adapter à la sophistication des attaquants, et non réagir des semaines plus tard à un rapport de violation. Grâce à l’IA, les cyberattaques sont plus rapides. Votre réponse doit l’être aussi.
Ces approches ne sont pas expérimentales. Elles sont nécessaires. Déployez-les maintenant ou restez réactif. Le choix est clair.
Les surfaces d’attaque des entreprises s’étendent grâce à l’IdO et aux technologies de périphérie.
Le périmètre numérique ne s’arrête plus au pare-feu de votre entreprise. Il s’étend aux appareils mobiles, aux plateformes tierces, aux intégrations de partenaires, aux appareils IoT et aux nœuds informatiques périphériques. Chacun de ces points de connexion augmente l’exposition. À mesure que l’infrastructure de l’entreprise devient plus distribuée, les attaquants disposent de plus de moyens d’y pénétrer. Et c’est important, car la plupart des appareils IoT, y compris les capteurs, les outils industriels et les points d’accès à distance, sont livrés avec une sécurité minimale. Certains ont des identifiants par défaut. D’autres ne prennent pas en charge les mises à jour. Il s’agit d’une vulnérabilité qui s’étend à l’ensemble de votre entreprise.
Le problème ne réside pas seulement dans les appareils eux-mêmes. C’est le fait que les services informatiques ignorent souvent leur existence. Les employés achètent des appareils connectés par commodité. Les fournisseurs intègrent rapidement les outils. Soudain, un appareil non documenté et non sécurisé se trouve sur votre réseau, et personne ne le suit. Les attaquants sont conscients de ce schéma. Ils ne s’attaquent pas à votre centre de données, mais à l’appareil oublié connecté dans un bureau distant.
C’est là que le contrôle de l’exécutif devient essentiel. La sécurité ne consiste plus à renforcer un seul système. Il s’agit d’obtenir une visibilité totale sur tous les systèmes. Si votre infrastructure comprend des bureaux distants, des sites de fabrication, des plateformes mobiles ou des services natifs du cloud, l’attribution de responsabilités sur l’ensemble des points de terminaison n’est pas facultative.
Pour combler cette lacune, investissez dans des systèmes qui détectent et signalent chaque appareil et processus qui rejoint ou modifie l’environnement. Cela commence par le déploiement d’outils qui prennent en charge la micro-segmentation et la découverte des actifs. Mettez en œuvre des politiques qui exigent que le service informatique autorise tous les appareils avant leur connexion. Établissez des lignes de base opérationnelles pour l’activité dans tous les segments du réseau. Sans cette visibilité et ce contrôle, vous n’êtes qu’à un appareil vulnérable d’un incident majeur.
Les services informatiques doivent adopter des outils et des stratégies avancés
Le paysage des menaces n’est pas statique. Il apprend et s’adapte. Cela signifie que vos systèmes de défense doivent faire de même. Vous ne pouvez pas vous appuyer sur un patchwork d’outils obsolètes simplement parce qu’ils vous sont familiers. La plupart des anciennes plateformes n’ont pas été conçues pour se défendre contre les menaces intelligentes générées par l’IA.
Les Deepfakes, le phishing adaptatif, les logiciels malveillants polymorphes ne sont pas faciles à arrêter avec les systèmes de sécurité traditionnels. La réponse exige l’intégration d’outils de détection avancés, de systèmes comportementaux en temps réel et de contrôles d’identité plus intelligents à chaque point où les données circulent et où les utilisateurs interagissent.
Cela a des implications pratiques. Si vous utilisez l’IAM (gestion de l’accès à l’identité) de base, vous travaillez en surface. Ajoutez CIEM (gestion des droits de l’infrastructure cloud) pour aller plus loin. Ajoutez ensuite l’IGA (gouvernance et administration des identités) pour automatiser la conformité, gérer les risques et centraliser la visibilité sur les systèmes dans le cloud et sur site. Cette approche à trois niveaux donne aux services informatiques la transparence et le pouvoir d’application nécessaires pour détecter rapidement les anomalies et agir de manière décisive.
Il y a aussi une dimension humaine. Les chasseurs de menaces, des professionnels formés à l’analyse proactive des systèmes à la recherche de risques cachés et dormants, doivent faire partie de votre équipe de sécurité. Ces adversaires s’adaptent constamment. Vous avez besoin de personnes dont la tâche spécifique consiste à repérer les signes subtils d’infiltration avant l’activation.
Une autre amélioration essentielle est l’observabilité. Il ne s’agit pas seulement de surveiller les journaux. L’observabilité permet à vos systèmes d’interpréter, de corréler et de tirer des enseignements de l’activité en temps réel, de sorte que vous ne vous contentez pas de surveiller les alertes, mais que vous réagissez aux informations au fur et à mesure qu’elles se produisent.
L’essentiel pour les dirigeants : autoriser des budgets pour des outils avancés et des rôles de sécurité spécialisés n’est pas discrétionnaire, c’est essentiel. Avec les menaces générées par l’IA qui se développent à grande vitesse, votre stratégie ne peut pas être statique. Elle doit devenir plus intelligente chaque trimestre.
La détection de Deepfake repose sur la conversion de données non structurées en formats analysables.
Les « deepfakes » ne sont pas seulement des astuces visuelles, ce sont des artefacts techniques. Il s’agit de types de données non structurées, conçues pour exploiter le jugement humain. Le problème est que les systèmes d’analyse traditionnels n’interprètent pas ce type de données de manière native. Les vidéos, les clips audio et les images ne sont pas structurés comme des feuilles de calcul ou des journaux de réseau. Cela signifie que vous ne pouvez pas compter sur des systèmes basés sur des règles pour les détecter.
Si vous voulez vraiment valider le contenu numérique, vous avez besoin de systèmes conçus pour analyser ces formats d’une nouvelle manière. Les principaux outils convertissent désormais les deepfakes en représentations graphiques, les décomposant essentiellement en signatures de données qui peuvent être acheminées vers des modèles de détection. Ces modèles recherchent des incohérences, telles que des taux de clignotement non naturels, des anomalies acoustiques, des discordances de pixels et des modèles de mouvement perturbés, des signaux qui passeraient un contrôle humain mais qui échoueraient sous un examen technique.
Ce n’est pas de la théorie. Ces outils existent et sont déployés par des institutions financières, des organisations juridiques, des entités gouvernementales et des producteurs de médias. Ils détectent des faux profonds que les vérificateurs manuels ne voient pas. Compte tenu de l’augmentation des tentatives de fraude à l’aide de médias synthétiques, l’intégration de ces outils dans vos processus de vérification est financièrement et opérationnellement judicieuse. Toute vidéo d’approbation d’un cadre, demande de messagerie vocale ou autorisation de transaction sensible doit passer par cette couche de validation avant d’être prise en compte.
Le rôle des dirigeants est ici simple : traitez tous les contenus visuels et sonores comme potentiellement compromis, à moins qu’ils ne soient authentifiés par un contrôle analytique. Évitez de vous fier à la confiance visuelle. Concentrez-vous sur l’authenticité vérifiée.
Les réseaux zéro confiance améliorent la visibilité du réseau et le contrôle des modifications.
Trop d’organisations fonctionnent encore comme si les systèmes internes étaient sûrs par défaut. Ce postulat s’effondre en cas d’attaques renforcées par l’IA. Des appareils sont ajoutés aux réseaux sans autorisation. Du matériel ancien dont la configuration est inconnue continue de fonctionner dans des bureaux distants. Certains utilisateurs créent des environnements qui échappent à la surveillance du service informatique. Chacune de ces variables inconnues crée un risque opérationnel sérieux.
L’architecture zéro confiance s’attaque directement à ce problème. Elle traite chaque appareil, utilisateur et connexion comme non vérifié jusqu’à preuve du contraire. Chaque point d’accès est surveillé et chaque interaction est enregistrée et analysée. Vous ne présumez pas de la confiance interne, vous la validez en permanence.
Le déploiement d’un modèle de confiance zéro donne au service informatique une visibilité totale sur ce qui est ajouté, modifié ou supprimé dans votre infrastructure. Cette visibilité est particulièrement importante pour gérer les déploiements IoT. Beaucoup de ces appareils entrent dans le réseau avec une sécurité faible ou inexistante. Certains sont installés par des employés sans l’intervention des services informatiques. Sans systèmes de confiance zéro qui suivent les comportements et les connexions en temps réel, il est facile de manquer un point de violation jusqu’à ce que l’impact soit déjà en cours.
Il ne s’agit pas seulement d’une amélioration opérationnelle, mais d’une base de référence obligatoire. Si vous ne savez pas ce qui change dans votre environnement, vous ne pouvez pas le sécuriser. Cela s’applique aux services cloud, aux centres de données sur site, aux intégrations tierces et aux appareils de la main-d’œuvre à distance.
Les dirigeants doivent s’assurer de la mise en place de politiques stipulant qu’aucun appareil IoT ou distant ne se connecte à l’infrastructure de l’entreprise sans avoir été préalablement sécurisé selon les normes internes. La confiance zéro permet d’appliquer cette politique automatiquement et à grande échelle. Lorsqu’elle est correctement mise en œuvre, cette architecture ne ralentit pas l’entreprise, elle en renforce tous les aspects.
La surveillance continue est essentielle pour prévenir l’empoisonnement des données de l’IA
La fiabilité des systèmes d’IA dépend des données qui les forment et les alimentent. Ce principe de base crée une vulnérabilité majeure, l’empoisonnement des données. Les attaquants injectent des données manipulées ou corrompues dans vos pipelines d’apprentissage automatique. Au fil du temps, cette contamination peut modifier les résultats des modèles, fausser les prévisions, déclencher de fausses idées et dégrader silencieusement l’intégrité des décisions basées sur les recommandations de l’IA.
La contamination passe souvent inaperçue car les données empoisonnées ne semblent pas suspectes au premier abord. Elles peuvent provenir de référentiels cloud, de systèmes de fournisseurs ou d’ensembles de données ouvertes sur lesquels vos modèles s’appuient. Une fois qu’il pénètre dans votre pipeline, le système commence à produire des résultats qui peuvent sembler corrects, mais qui dévient juste assez au fil du temps pour avoir un impact sur la qualité ou la précision. Les entreprises qui dépendent de l’IA pour optimiser les opérations, la tarification, la logistique ou la modélisation stratégique sont particulièrement exposées si ces changements se produisent sans être détectés.
Pour gérer cette menace, il faut donner la priorité à la surveillance en temps réel de la fiabilité des sorties de l’IA. Vous ne devez pas attendre qu’une baisse des performances signale un problème. Au contraire, déployez des outils d’observabilité dans les systèmes d’IA pour détecter les changements dans la précision des prédictions, les schémas de décision inhabituels ou les résultats en dehors des seuils de confiance. Si des anomalies sont détectées, arrêtez temporairement le système, isolez les couches de données compromises, exécutez des protocoles d’assainissement et recherchez le point d’injection.
Ce processus nécessite une préparation technique et un leadership politique. Les dirigeants peuvent renforcer cela en finançant des équipes d’assurance qualité de l’IA et en mettant en œuvre des cadres de gouvernance dans lesquels l’origine des données, le comportement du modèle et la logique de sortie sont continuellement validés dans tous les départements. La gouvernance de l’IA n’est pas facultative, c’est une exigence stratégique pour maintenir la confiance dans l’automatisation des décisions.
Les défenses de sécurité alimentées par l’IA doivent être largement adoptées
La cyberactivité offensive étant de plus en plus pilotée par l’IA, vos outils défensifs doivent être plus intelligents, automatisés, auto-apprenants et capables de reconnaître des schémas en temps réel. Les systèmes de sécurité fondés sur d’anciennes méthodes de détection sont trop lents et trop rigides pour contrer des attaques qui s’adaptent, imitent le comportement humain ou évoluent dynamiquement à chaque tentative.
Les plateformes de sécurité de la génération actuelle utilisent désormais l’IA intégrée pour détecter les anomalies au niveau du système et de l’utilisateur. Il s’agit notamment de suivre les comportements, d’identifier les changements dans les schémas d’accès et de signaler les tendances subtiles avant que les dommages ne se produisent. En cas de problème, l’IA judiciaire intervient pour analyser la manière dont la violation s’est produite, indiquer la voie d’accès et suggérer des mesures d’intervention. Ce processus élimine les conjectures de la récupération après une violation.
La plupart des organisations ne disposent pas d’équipes spécialisées en criminalistique. Ce n’est pas une fatalité, tant que vous investissez dans la formation et les outils qui donnent au personnel interne la capacité d’interpréter les résultats de l’analyse forensique alimentée par l’IA. Une bonne analyse forensique minimise le temps de récupération et aide à corriger les problèmes à la racine, et pas seulement en surface.
La conclusion stratégique est claire. Vous ne pouvez pas faire évoluer votre équipe de sécurité assez rapidement pour suivre manuellement le rythme des menaces alimentées par l’IA. En revanche, vous pouvez faire évoluer vos défenses de manière intelligente en introduisant des outils de sécurité qui évoluent en permanence et réduisent votre fenêtre de réponse de plusieurs semaines à quelques secondes. Les dirigeants de la suite devraient considérer ces systèmes comme une infrastructure par défaut, et non comme des mises à niveau futures. Le profil de risque a changé. L’architecture doit le refléter.
Il est essentiel de procéder régulièrement à des audits de sécurité et à des tests de vulnérabilité
Les menaces de sécurité évoluent en permanence. Si vos cycles de test restent statiques, vous êtes déjà en retard. De nombreuses organisations considèrent encore les audits comme des événements de conformité, des exercices de vérification de cases pour les rapports annuels ou les examens réglementaires. Cela ne suffit pas. Des vulnérabilités peuvent apparaître dans votre code, votre infrastructure ou vos systèmes partenaires entre les cycles d’audit. La seule façon de maintenir la résilience est de tester régulièrement et d’ajuster plus rapidement que les menaces ne changent.
Au minimum, les organisations devraient effectuer des évaluations internes de vulnérabilité tous les trimestres. Ces tests doivent couvrir à la fois l’infrastructure et les applications, y compris les configurations cloud, les passerelles API et les terminaux des employés. Il ne s’agit pas seulement d’auditer les failles logicielles, mais aussi de rechercher les dérives de configuration, les accès non autorisés, les systèmes fantômes et les lacunes dans les politiques.
Les audits annuels de sécurité réalisés par des tiers conservent toute leur valeur. Les spécialistes externes apportent une perspective plus large, puisqu’ils ont vu des surfaces d’attaque dans tous les secteurs d’activité. Ces professionnels repéreront ce que les équipes internes normalisent ou négligent souvent. Si vous utilisez un fournisseur de cloud, AWS, Azure, GCP, demandez à consulter les conclusions de leur dernier audit. Ces documents peuvent révéler des problèmes dans des domaines de responsabilité partagée, tels que le cryptage des données, le provisionnement des identités ou la visibilité du réseau.
Pour le conseil d’administration et les équipes de direction, une discipline d’audit cohérente se traduit par des avantages pratiques, moins d’incidents imprévus, une réponse plus rapide en cas de problème et une meilleure défense contre les pertes financières et les atteintes à la réputation. Les meilleures équipes de sécurité au monde ne comptent pas sur la chance. Elles opèrent avec une rigueur programmée et testent constamment chaque hypothèse de leur stratégie.
Les organisations doivent passer d’une gestion réactive à une gestion proactive de la sécurité de l’IA
L’IA progresse plus rapidement que les réglementations, et il est peu probable que cela change bientôt. Les attaquants disposent ainsi d’une plus grande marge de manœuvre que les défenseurs. Si votre stratégie consiste à réagir après l’incident, vous laissez l’initiative à l’intrus. Ce qu’il faut, c’est une posture de sécurité structurée et tournée vers l’avenir, un mode où l’anticipation des menaces et l’amélioration continue déterminent l’ordre du jour, plutôt que des playbooks statiques et des réactions trimestrielles.
La plupart des entreprises reconnaissent déjà la possibilité d’attaques renforcées par l’IA. Le défi consiste à passer de la prise de conscience à l’action. Pour ce faire, il ne suffit pas de mettre à jour les outils, mais de repenser la manière dont la sécurité est intégrée dans les équipes, et non traitée après coup. Les responsables de la sécurité devraient être impliqués dans la stratégie, le développement de produits, l’approvisionnement et les partenariats. Chaque nouveau système introduit dans votre environnement peut devenir une protection ou une exposition en fonction de la manière dont il est mis en œuvre.
Pour parvenir à une posture pleinement proactive, les organisations doivent financer la croissance des talents, développer les capacités de sécurité de l’IA en interne et créer un espace pour la planification de scénarios. Il s’agit notamment d’organiser des simulations d’attaques qui reflètent des tactiques réalistes, et non des échecs hypothétiques. Il s’agit également de s’assurer que les modèles d’IA déployés en interne, que ce soit pour la cybersécurité ou l’automatisation des activités, sont continuellement mis à jour, explicables et traçables.
La Hack Academy a mis en évidence ce que de nombreux dirigeants comprennent déjà : L’IA réécrit les règles du jeu. Si vos défenses sont basées sur ce que vous avez affronté l’année dernière, vous ne serez pas préparés à ce qui arrivera au prochain trimestre. L’implication de la direction donne le ton. Une posture de défense proactive commence par la priorisation de la direction, et devient réelle lorsqu’elle est intégrée à toutes les décisions prises par l’entreprise.
Réflexions finales
Vous n’avez pas affaire à des menaces lointaines ou à des risques abstraits. Les attaques basées sur l’IA sont là, maintenant, et se développent rapidement. Les deepfakes, le phishing intelligent, les données empoisonnées et les intrusions silencieuses ne sont pas des incidents occasionnels, ils deviennent des tactiques standard. Les attaquants avancent plus vite parce qu’ils utilisent des outils plus intelligents. Vos défenses doivent faire de même.
Il s’agit de passer d’une posture passive à une posture active. Commencez par la visibilité. Sachez ce qui se trouve sur votre réseau, chaque appareil, chaque système, chaque utilisateur. Investissez ensuite dans l’automatisation, la détection des menaces et l’application de politiques qui apprennent et évoluent. Constituez des équipes qui n’attendent pas de réagir, mais qui recherchent de manière proactive les signes de perturbation.
Les réglementations finiront par les rattraper. Les concurrents ne le feront probablement pas. Les entreprises qui prennent aujourd’hui la sécurité de l’IA au sérieux auront un avantage concurrentiel, car une gestion intelligente des risques ne consiste pas seulement à éviter les échecs. Il s’agit d’instaurer la confiance et la pérennité opérationnelle.
Les menaces changent. La manière dont vous les gérez doit donc changer elle aussi.
