Ce que l’IA change dans l’économie des attaques par ransomware

L’IA pourrait modifier de manière significative l’économie des ransomwares sans obliger les entreprises à reconstruire leur architecture de sécurité. Selon l’évaluation de NCC Group, l’automatisation peut réduire l’effort et l’expertise nécessaires pour mener certaines parties d’une campagne tout en augmentant la vitesse et l’échelle. Matt Hull, vice-président de la cyber intelligence et de la réponse chez NCC Group, souligne également le caractère de plus en plus convaincant du phishing, de l’ingénierie sociale et d’autres contenus malveillants. NCC Group vend des services de cybersécurité et de réponse aux incidents, et a donc un intérêt commercial à ce que les organisations investissent dans des capacités de sécurité renforcées.

L’IA pourrait changer l’économie des ransomwares

Cette distinction est importante pour les dirigeants qui décident où investir l’argent et l’attention managériale. Hull décrit l’IA comme modifiant la « vitesse et l’échelle » des cyberattaques et permettant aux attaquants d’automatiser une plus grande part de leur travail. L’évaluation de NCC Group indique que des outils autonomes pourraient prendre en charge davantage d’étapes, depuis la compromission initiale jusqu’à l’extorsion. Les attaquants pourraient alors exécuter des tâches criminelles bien connues plus rapidement et avec moins d’efforts spécialisés.

Les données de juillet sur les ransomwares mesurent l’activité actuelle. La question prospective est de savoir comment l’automatisation pourrait modifier les ressources nécessaires pour mener des campagnes. Si des systèmes autonomes prennent en charge davantage d’étapes d’une attaque, des criminels disposant de moins d’expertise ou de main-d’œuvre pourraient être en mesure de tenter des campagnes qui exigeaient auparavant des capacités humaines plus importantes. C’est ce mécanisme qui sous-tend l’inquiétude de NCC Group quant à une plus grande échelle.

Les ransomwares opèrent déjà à un volume élevé, et le risque est concentré

NCC Group a enregistré 894 cas de ransomware en juillet, soit une hausse de 22 % par rapport à juin et le total mensuel le plus élevé enregistré jusqu’alors cette année-là. Ce chiffre restait toutefois inférieur de 19 % au record de 1 099 attaques atteint en février 2025. Ces chiffres montrent l’ampleur et l’évolution mensuelle de l’activité ransomware observée. Ils doivent être considérés séparément des prévisions de NCC Group sur la manière dont l’IA pourrait affecter les campagnes futures.

L’activité était géographiquement concentrée. L’Amérique du Nord représentait 41 % des attaques de juillet et l’Europe 29 %, ce qui porte les deux régions à 70 % au total. Pour les dirigeants opérant dans l’une ou l’autre de ces régions, ces chiffres indiquent où s’est produite une grande part de l’activité ransomware observée. Ils fournissent également un contexte pour évaluer l’exposition à travers les opérations de l’entreprise.

Le secteur industriel a représenté 28 % des attaques au cours du mois, soit la part sectorielle la plus importante. NCC Group a indiqué que les groupes de ransomware continuaient de cibler des organisations aux opérations complexes et aux réseaux de fournisseurs étendus. Cette caractérisation émane d’un fournisseur de cybersécurité qui bénéficie commercialement lorsque les organisations achètent des services de sécurité et de réponse. Pour les équipes de direction, la question pratique est de savoir si elles comprennent suffisamment bien les opérations critiques et les dépendances fournisseurs pour évaluer l’effet d’un incident sur l’activité.

L’IA pourrait abaisser le seuil de capacité requis

L’activité ransomware en juillet s’est concentrée parmi plusieurs groupes nommés. The Gentlemen a représenté 15 % de l’ensemble des attaques de juillet, passant de 88 incidents en juin à 138. Qilin s’est classé deuxième, tandis que Deadlock a représenté 9 % des incidents.

Selon l’évaluation de NCC Group, des outils autonomes pourraient automatiser davantage d’étapes entre l’obtention d’un accès initial et la mise en œuvre de l’extorsion. Un criminel qui ne disposait auparavant ni de l’expertise ni de la main-d’œuvre nécessaires pour exécuter certaines parties de ce processus pourrait potentiellement déléguer davantage de travail à des systèmes d’IA. Cela pourrait élargir le vivier de criminels capables de lancer à grande échelle des campagnes crédibles. Cela reste une prévision sur la manière dont les capacités des attaquants pourraient évoluer.

Hull affirme également que l’IA permet aux attaquants de créer des contenus de phishing, d’ingénierie sociale et d’autres contenus malveillants de plus en plus convaincants. Si la production et l’adaptation de ces contenus exigent moins d’efforts humains, les attaquants pourraient augmenter le volume des interactions tout en les rendant plus persuasives. Cela exercerait une pression accrue sur les employés et les équipes de sécurité chargés d’évaluer les activités suspectes. Cela explique aussi pourquoi la vitesse compte des deux côtés d’un incident.

La cybercriminalité dépend du temps, de l’expertise et des efforts des attaquants, ainsi que des opportunités techniques. Une automatisation qui réduit ces exigences pourrait rendre certaines campagnes plus faciles à exécuter et permettre aux opérateurs établis de mobiliser leur expertise humaine ailleurs. Les prévisions de NCC Group portent donc autant sur la manière dont les attaquants organisent leur travail que sur une quelconque capacité individuelle de l’IA. Les dirigeants peuvent se préparer à ce scénario tout en considérant séparément les totaux actuels de ransomwares et les prévisions sur l’IA.

Les contrôles de sécurité établis subissent une pression temporelle accrue

Une automatisation plus performante modifie les conditions dans lesquelles les défenses existantes opèrent. Hull recommande des contrôles d’identité et d’accès robustes, une bonne gestion des vulnérabilités, de la visibilité sur l’ensemble de l’environnement, ainsi que la capacité à détecter et à répondre rapidement. Ces recommandations proviennent de NCC Group, qui fournit des services de cybersécurité dans ces domaines. Elles correspondent aux étapes d’attaque que NCC Group s’attend à voir accélérées par l’IA : obtenir l’accès, exploiter les faiblesses, opérer à l’intérieur d’un environnement et mener l’extorsion.

Les contrôles d’identité et d’accès deviennent plus déterminants à mesure que les sollicitations malveillantes deviennent plus convaincantes. Des règles d’accès fiables peuvent limiter ce à quoi les utilisateurs authentifiés peuvent accéder et ce qu’ils peuvent faire après une tentative réussie d’ingénierie sociale. Cela réduit la dépendance au fait que les employés identifient chaque communication malveillante avant d’agir. Une gouvernance des accès solide crée une barrière supplémentaire entre une demande persuasive et des systèmes sensibles.

La gestion des vulnérabilités traite une autre partie du chemin d’attaque. Si l’automatisation permet aux attaquants de progresser plus vite à travers les cibles et les processus d’attaque, des cycles de remédiation longs peuvent leur laisser davantage de temps pour exploiter des faiblesses connues. La direction a donc besoin d’un lien clair entre la remédiation technique et l’importance métier. Les équipes de sécurité doivent identifier les faiblesses, comprendre quels systèmes comptent le plus et piloter des actions correctives en temps voulu.

La visibilité sur l’ensemble de l’environnement détermine la rapidité avec laquelle les défenseurs peuvent comprendre l’activité. Si les étapes d’une attaque se déroulent plus vite, une découverte tardive laisse moins de possibilités d’intervenir avant qu’un attaquant ne progresse. Les responsables sécurité ont besoin de suffisamment d’informations provenant des systèmes pertinents pour détecter l’activité tant qu’une action peut encore influer sur l’issue. La question opérationnelle est de savoir à quelle vitesse cette information devient une décision.

La détection et la réponse subissent la même pression temporelle. Hull insiste sur la capacité à « détecter et répondre rapidement quand quelque chose tourne mal ». Si l’IA compresse le temps et le travail nécessaires à certaines parties d’une campagne, une escalade lente peut laisser moins de temps pour l’investigation et l’intervention. Les organisations ont besoin d’une répartition claire des responsabilités et de processus de réponse qui transforment une alerte en action.

La sensibilisation des employés évolue également à mesure que les contenus générés s’améliorent. Hull soutient que les employés doivent comprendre à quoi ressemblent les menaces, reconnaître quand quelque chose semble anormal et disposer d’un moyen simple de le signaler. Les processus de signalement constituent donc un élément central des programmes de sensibilisation, car les employés ont besoin d’une voie claire pour faire remonter une activité suspecte. L’objectif est de soutenir leur jugement à mesure que les communications malveillantes deviennent de plus en plus convaincantes.

L’IA peut aussi aider les défenseurs. Hull affirme que l’IA peut aider les équipes de sécurité à traiter l’information plus rapidement et à identifier des activités potentiellement malveillantes. Cet usage peut raccourcir l’examen des signaux et faire remonter plus tôt aux analystes les informations pertinentes. Hull souligne également la nécessité de comprendre ce qui représente une menace réelle, afin de maintenir le jugement humain dans les décisions de sécurité importantes.

Le défi de mise en œuvre est celui de la discipline opérationnelle sous une pression temporelle accrue. Une capacité de sécurité fondée sur l’IA dépend toujours d’une gouvernance des accès, d’une visibilité sur les actifs et de processus de réponse qui transforment l’information en action. Les dirigeants peuvent tester ces contrôles dans les conditions décrites par NCC Group : une activité malveillante plus rapide, des communications plus convaincantes et moins de temps pour que les analystes distinguent les signaux significatifs de l’activité courante. Cela transforme une prévision sur l’IA en un test concret des opérations de sécurité existantes.

Des décisions plus rapides renforcent la valeur de la rigueur probatoire

La pression en faveur de décisions plus rapides ne peut pas abaisser le niveau d’exigence en matière de preuves. CRPxO a revendiqué la responsabilité de 36 victimes en juillet, soit environ 4 % du total, mais NCC Group a indiqué que ces revendications n’avaient pas été confirmées et a cité des éléments incohérents quant à savoir si le groupe était à l’origine des attaques. La revendication d’un attaquant et un incident confirmé n’ont pas la même valeur probante. Les prévisions sur les futures capacités de l’IA constituent une troisième catégorie et doivent être identifiées comme des prévisions.

NCC Group a également examiné les réseaux Operational Relay Box utilisés dans des opérations cyber liées à la Chine, qui acheminent l’activité via des appareils et des infrastructures compromis. Ce routage est important lorsque les équipes de sécurité évaluent l’origine d’une activité malveillante et les responsables potentiels. L’exemple concerne l’attribution, tandis que la vitesse permise par l’IA crée une pression distincte en faveur de décisions opérationnelles plus rapides. Les équipes de sécurité peuvent devoir agir vite tout en restant précises sur ce qui est observé, revendiqué ou déduit.

Cette distinction doit aussi se retrouver dans le reporting à la direction. Les conseils d’administration et les équipes de direction qui prennent des décisions en matière de risque ou d’investissement doivent savoir si un chiffre reflète une activité vérifiée, la propre revendication d’un acteur ou une évaluation d’une capacité émergente. Des libellés de preuve clairs aident les dirigeants à prendre des décisions sensibles au facteur temps sans transformer l’incertitude en certitude. À mesure que de nouvelles techniques permises par l’IA se développent, cette rigueur permet de séparer l’urgence opérationnelle de la confiance accordée à l’attribution ou aux prévisions.

Points clés

• L’IA pourrait changer l’économie des ransomwares : l’IA pourrait réduire le temps, l’expertise et la main-d’œuvre nécessaires aux campagnes de ransomware, permettant aux attaquants d’opérer plus vite et à plus grande échelle. Les dirigeants devraient évaluer si les défenses existantes peuvent suivre le rythme sans supposer qu’une architecture de sécurité entièrement nouvelle est nécessaire.
• Le risque lié aux ransomwares est déjà élevé et concentré : NCC Group a enregistré 894 cas de ransomware en juillet, dont 70 % en Amérique du Nord et en Europe, et 28 % touchant le secteur industriel. Les dirigeants devraient utiliser l’exposition géographique, sectorielle et fournisseurs pour prioriser la planification de la résilience.
• L’IA pourrait abaisser le seuil de capacité requis : l’automatisation pourrait permettre à des criminels moins qualifiés d’exécuter davantage d’étapes des campagnes de ransomware tout en aidant les groupes établis à changer d’échelle. Les équipes de sécurité devraient se préparer à des volumes d’attaque plus élevés et à un phishing et une ingénierie sociale de plus en plus convaincants.
• Les contrôles existants subissent une pression temporelle accrue : des contrôles d’identité robustes, la gestion des vulnérabilités, la visibilité sur l’environnement ainsi qu’une détection et une réponse rapides deviennent plus importants à mesure que les attaques s’accélèrent. Les dirigeants devraient tester la rapidité avec laquelle ces contrôles transforment une activité suspecte en action efficace.
• Des décisions plus rapides exigent une rigueur probatoire : les équipes de sécurité doivent distinguer les incidents confirmés des revendications des attaquants, des évaluations d’attribution et des prévisions tout en répondant rapidement. Le reporting à la direction doit clairement signaler les preuves et les incertitudes afin que l’urgence ne se transforme pas en fausse certitude.