Concentrez-vous sur vos véritables cybermenaces, et pas seulement sur l'IA

Ne nous voilons pas la face : Les cyberattaques alimentées par l'IA sont une possibilité redoutable. Mais elles ne représentent pas le plus grand danger pour votre entreprise.

Le véritable péril est la distraction qu'elles provoquent.

Depuis plus de 15 ans, j'observe le même schéma. Les dirigeants s'inquiètent de la nouvelle "super-menace IA", alors que l'équipe de sécurité tente toujours de répondre à des questions fondamentales telles que "Où se trouvent les informations les plus sensibles de nos clients ?" ou "Qui est responsable des correctifs à apporter à ce serveur critique ?". Nous recherchons les outils les plus récents, tandis que les ingénieurs sont entraînés dans des exercices de conformité urgents et que les vulnérabilités cruciales sont reléguées au second plan sur la liste des priorités.

C'est le dilemme classique de la "serrure fantaisiste sur une porte moustiquaire". Les entreprises s'empressent de mettre en œuvre des défenses alimentées par l'IA, alors que les attaquants utilisent l'IA avec moins de contraintes et une plus grande agilité pour exploiter les faiblesses fondamentales des processus, de la propriété et de la culture. Pour les entreprises de taille moyenne en particulier, négliger les principes de base est une invitation ouverte à devenir le prochain exemple d'alerte.

Pourquoi les défenses statiques échouent dans un monde dynamique

Lorsque j'ai commencé ma carrière, la sécurité était une liste de contrôle : antivirus, correctifs et pare-feu solides. Cette époque est révolue. Aujourd'hui, les logiciels malveillants polymorphes modifient leur code pour éviter d'être détectés et les réseaux de zombies lancent des attaques plus rapidement qu'une personne ne peut réagir.

Le trafic crypté est devenu la méthode de dissimulation préférée des attaquants. Le rapport 2024 ThreatLabz de Zscaler a révélé que près de 90 % des logiciels malveillants sont désormais diffusés par des canaux cryptés. Cela signifie que neuf menaces sur dix sont cachées aux outils de sécurité traditionnels incapables d'inspecter ce trafic.

Cependant, le véritable obstacle n'est pas seulement technologique, c'est aussi l'inertie organisationnelle. J'ai vu des équipes de sécurité talentueuses perdre des semaines à simplement demander l'autorisation de corriger une vulnérabilité connue. Le temps de planifier les réunions nécessaires, un attaquant automatisé peut pénétrer dans le système et exfiltrer des données. Rester statique n'est plus viable. Les programmes de sécurité doivent s'adapter au contexte et se concentrer sur les aspects de l'entreprise qui évoluent le plus rapidement.

L'industrialisation de la cybercriminalité

Cette évolution ne devrait pas être un choc. Les attaquants sont des entrepreneurs à la tête d'une entreprise criminelle. Ils adoptent simplement de nouvelles technologies pour améliorer leur retour sur investissement, tout comme le font les entreprises légitimes. L'IA les aide à industrialiser leurs opérations.

• Le phishing en tant que service, suralimenté : L'hameçonnage reste la principale méthode d'intrusion, régulièrement signalée par le FBI et IBM comme le principal vecteur d'accès initial depuis des années. Désormais, grâce à des outils d'IA générative comme "FraudGPT", les criminels peuvent produire des campagnes d'hameçonnage parfaitement personnalisées et grammaticalement irréprochables à une échelle sans précédent.
• La voix est un mensonge : le phishing vocal ("vishing") est en plein essor. CrowdStrike a observé une augmentation de 442 %, les attaquants utilisant des voix clonées par l'IA pour se faire passer pour des cadres et tromper les employés afin qu'ils transfèrent des fonds. Un seul appel a coûté plus de 243 000 dollars à une société d'énergie britannique.
• La montée en puissance de l'adversaire automatisé : Les chasseurs de menaces de CrowdStrike sont désormais confrontés à des campagnes automatisées de bout en bout - des CV générés par l'IA avec de faux entretiens vidéo aux intrusions qui n'utilisent aucun logiciel malveillant et opèrent entièrement dans le nuage.

Les défenseurs sont confrontés à des menaces qui s'adaptent et persistent avec peu d'intervention humaine. Les attaquants automatisent depuis des années ; l'IA a simplement accéléré leur flux de travail.

Pour rester dans la course, nous devons enfin abandonner les approches dépassées, basées sur des listes de contrôle, en matière de conformité et de cybersécurité. La recherche d'une solution magique dans le dernier outil du marché n'est pas non plus la solution. Cela dit, ce défi offre une occasion unique de revenir aux fondamentaux.

Cessez de vous demander "Sommes-nous conformes ? Commencez à vous demander "Sommes-nous résilients ?"

Même si l'IA transforme le paysage des menaces, la plupart des violations sont toujours dues à des éléments de base négligés. Oui, la voix de ce PDG a peut-être été clonée, mais le véritable échec est probablement dû à un processus d'approbation financière défectueux. L'IA n'était que la dernière étape d'une chaîne de facteurs fondamentaux négligés.

L'IA n'a pas besoin de découvrir une vulnérabilité de type "zero-day" lorsqu'elle peut localiser un serveur non corrigé datant de cinq ans ou un développeur disposant d'un accès administratif à tout. L'achat d'un autre outil de sécurité doté d'IA ne réparera pas une culture de sécurité défaillante. L'IA doit renforcer les processus robustes, et non les remplacer.

C'est là que les dirigeants commettent souvent une erreur. J'ai siégé dans des conseils d'administration où la question centrale était : "Sommes-nous en conformité ?". La meilleure question est : "Notre programme de sécurité rend-il notre entreprise plus résiliente ?"

La conformité devient un exercice de cochage de cases. Les équipes de produits avancent rapidement, les ingénieurs se voient confier des tâches de sécurité sans disposer des ressources adéquates, et les dirigeants supposent qu'un audit sans faille équivaut à la sécurité de l'entreprise. Ce n'est pas le cas. La solution n'est pas de disposer de plus d'outils, mais de bénéficier d'un soutien plus solide de la part des dirigeants. La sécurité doit être directement liée à la croissance de l'entreprise et à l'intégrité du produit.

Un guide pragmatique pour l'ère de l'IA

Les entreprises du classement Fortune 500 peuvent dépenser beaucoup d'argent pour résoudre ce problème. Les entreprises de taille moyenne doivent être plus stratégiques. Alors, que faire concrètement ?

1. Réparez d'abord vos fondations. Avant d'investir dans un autre outil, assurez-vous que vous disposez d'un inventaire solide de vos données, de contrôles d'accès irréprochables et d'un processus de correction qui fonctionne de manière fiable.
2. Mettez l'IA à l'ordre du jour. Organisez des exercices de simulation d'attaques menées par l'IA. Intégrez cette question dans les rapports de gestion afin qu'elle soit traitée comme un risque pour l'entreprise, et non comme un simple problème informatique.
3. Se concentrer sur le comportement, pas seulement sur les signaux statiques. Donnez la priorité aux outils qui détectent les activités anormales - comme l'accès soudain d'un compte utilisateur à une base de données qu'il n'utilise jamais - plutôt qu'à ceux qui recherchent uniquement des signatures de logiciels malveillants connus.

L'IA n'est pas l'ennemi - c'est la complaisance qui l'est

L'IA n'est pas une épée à double tranchant, c'est une loupe. Elle rend les processus efficaces plus performants et les processus défectueux désastreux.

Les attaquants auront toujours de nouveaux outils à leur disposition. La question cruciale est de savoir si votre stratégie de sécurité repose sur une base solide de résilience ou si elle se contente de suivre la prochaine tendance. L'ère de la sécurité qui consiste à tout mettre en place et à tout oublier est révolue. Les organisations qui cultivent une culture axée sur la sécurité et qui maîtrisent les principes fondamentaux réussiront, même à l'ère des menaces autonomes.