Les cyberattaques ne sont plus seulement une affaire de services informatiques. Elles peuvent désormais mettre à genoux une entreprise entière, perturber sa production et faire fondre ses bénéfices en quelques semaines.
L’attaque contre Jaguar Land Rover en 2025 l’a bien illustré. Le constructeur britannique a enregistré une perte de 485 millions de livres sterling, après avoir réalisé 398 millions de livres de bénéfices l’année précédente. Sa production a aussi été perturbée pendant plus d’un mois.
Le risque cyber est donc devenu une véritable préoccupation pour les dirigeants. Et une nouvelle menace vient encore compliquer les choses : les attaques autonomes pilotées par l’intelligence artificielle (IA).
Comment l’IA facilite les cyberattaques ?
Autrefois, les pirates devaient consacrer beaucoup de temps à étudier une entreprise avant de passer à l’action. Ils devaient aussi coordonner manuellement leurs opérations et intervenir au bon moment.
Aujourd’hui, l’IA permet d’automatiser plusieurs étapes d’une cyberattaque. Elle peut notamment aider à rechercher des cibles, préparer un accès initial ou participer au développement de logiciels malveillants. Elle peut enchaîner ces tâches sans fatigue et surtout sans oublier ce qu’elle devait faire.
Les outils d’IA générative comme ChatGPT et Claude disposent certes de garde-fous pour limiter les usages dangereux. Mais les cybercriminels cherchent déjà à les contourner.
Certains peuvent notamment utiliser leurs propres petits modèles de langage, installés directement sur des machines locales. Même un appareil relativement modeste, comme un Raspberry Pi, peut servir de support.
Cette approche permet aux attaquants d’automatiser certaines opérations tout en évitant de dépendre entièrement des grands services d’IA accessibles au public.
Personne n’est à l’abri…
Jusqu’ici, une petite entreprise passait parfois inaperçue. Un pirate devait connaître son existence, étudier son intérêt et décider si l’opération valait le coup. Avec l’IA, ça se complique.
Car il devient possible d’analyser rapidement un grand nombre d’organisations et d’identifier celles qui présentent des failles. Les PME risquent donc d’être davantage exposées, alors qu’elles disposent souvent de moyens plus limités pour se défendre.
Pour autant, les grandes entreprises ne sont pas épargnées non plus. Elles ont peut-être une bonne sécurité. Elles n’en restent pas vulnérables à travers un fournisseur moins bien protégé.
Les attaquants peuvent rechercher automatiquement ces portes d’entrée et cibler les fournisseurs présentant les faiblesses les plus intéressantes.
Les anciens contrôles, comme les questionnaires annuels ou les évaluations ponctuelles, montrent alors leurs limites. La sécurité d’un fournisseur peut changer entre deux contrôles.
Il devient donc nécessaire de surveiller en permanence les accès, les vulnérabilités et les incidents affectant les partenaires. Les réglementations vont d’ailleurs dans cette direction. NIS2 renforce notamment les exigences liées à la sécurité de la chaîne d’approvisionnement en Europe.
Un aperçu de ce que l’IA peut faire ?
Eh bien, l’un des exemples les plus parlants est JadePuffer, révélé par Sysdig en juillet 2026. Cette opération d’extorsion a été présentée comme une attaque de bout en bout pilotée par un grand modèle de langage.
L’agent utilisé pouvait effectuer des reconnaissances, récupérer des identifiants, se déplacer entre différents systèmes et détruire des données. Il modifie même son comportement lorsque certaines actions échouaient.
Pris séparément, ces procédés ne sont pas nouveaux. Ce qui change réellement, c’est leur combinaison. L’IA peut désormais enchaîner plusieurs étapes d’une attaque et réagir aux obstacles rencontrés.
L’ingénierie sociale évolue elle aussi. Les messages frauduleux peuvent être rédigés dans un français ou un anglais impeccable, avec le ton habituel d’un dirigeant ou d’un fournisseur.
L’IA peut même maintenir une conversation et adapter ses réponses selon ce que répond la victime. Plusieurs campagnes personnalisées peuvent ainsi être menées simultanément.
Les arnaques visant les paiements sont particulièrement préoccupantes. Un pirate peut se faire passer pour un fournisseur. Reprendre une conversation existante. Ou utiliser un compte compromis pour demander une modification des coordonnées bancaires.
L’IA peut également récupérer automatiquement des informations publiques sur les salariés, leurs fonctions et leurs relations professionnelles. Le travail préparatoire nécessaire à une arnaque devient donc beaucoup plus rapide.
Les deepfakes n’arrangent pas les choses non plus
En effet. Avec des images et des voix de plus en plus réalistes, vérifier qu’une personne est réellement celle qu’elle prétend être devient compliqué.
Même certaines méthodes utilisées pour repérer un faux interlocuteur peuvent progressivement être contournées. Pour les demandes sensibles, les entreprises doivent donc prévoir des vérifications supplémentaires.
Un mot de passe défini à l’avance et transmis par un autre canal peut, par exemple, permettre de confirmer l’identité d’une personne… Avant d’effectuer un paiement ou de modifier un accès.
La gestion des identités devient ainsi un élément central de la défense. Les entreprises doivent savoir qui peut accéder à leurs systèmes, pourquoi cet accès existe encore et quels comptes disposent des privilèges les plus importants.
Le problème concerne aussi le bourrage d’identifiants, le vol de cookies de session, les attaques par fatigue liées à l’authentification multifacteur. Ou encore l’hameçonnage vocal.
L’IA peut rendre ces techniques plus efficaces en sélectionnant les cibles, en préparant des scénarios crédibles et en adaptant les attaques aux réactions des victimes.
Comment les entreprises peuvent se protéger contre les cyberattaques IA ?
La bonne nouvelle, c’est que l’IA n’est pas réservée aux attaquants. Les entreprises peuvent également l’utiliser. Pour analyser automatiquement leur niveau de sécurité, repérer les failles et même identifier les protections devenues insuffisantes.
L’objectif n’est cependant pas de surveiller absolument tout avec une IA magique. Il faut commencer par les ressources les plus importantes.
Une entreprise peut par exemple identifier ses dix systèmes les plus critiques, comme la paie ou les systèmes bancaires. Puis concentrer ses efforts sur leur protection.
Elle doit ensuite savoir qui y accède, quels appareils communiquent avec eux et quels comportements sortent de l’ordinaire. Cette visibilité permet de repérer plus rapidement une attaque et de relier plusieurs signaux qui sembleraient anodins pris séparément.
L’association entre IA et expertise humaine devient alors particulièrement intéressante. Les machines peuvent surveiller, comparer et signaler rapidement les anomalies.
Les spécialistes, eux, restent indispensables pour comprendre ce qui se passe et décider de la bonne réaction.
- Partager l'article :
