Comment les criminels remportent la course à l'armement en IA avant même que les entreprises ne se lancent.

À l'heure où l'IA transforme les industries à un rythme sans précédent, le revers de cette révolution technologique est tout aussi alarmant. Tandis que les entreprises s'empressent d'exploiter le potentiel de l'IA, les cybercriminels tirent profit de ces avancées, bouleversant ainsi la dynamique de la cybercriminalité et de la fraude.

Transformer l'économie de la cybercriminalité et de la fraude

Les cybercriminels utilisent les mêmes modèles et technologies d'IA que les entreprises, les adaptant souvent quelques jours seulement après leur mise en service. Un des premiers exemples de ce type une mauvaise utilisation L’automatisation de la résolution des CAPTCHA à l’aide de ChatGPT-1 a démontré la rapidité avec laquelle les modèles génératifs pouvaient contourner les contrôles de sécurité de base.

Depuis, chaque avancée majeure en intelligence artificielle générative a été rapidement reprise par des criminels, notamment pour la génération de deepfakes vocaux et vidéo qui apparaissent presque instantanément sur les plateformes du darknet. Ce cycle accéléré permet fraudeurs Exploiter des technologies sophistiquées pour concevoir des escroqueries convaincantes, sapant ainsi les mesures de sécurité traditionnelles.

Au cours du seul premier trimestre 2025, la fraude facilitée par les deepfakes aurait causé plus de 200 millions de dollars de pertes financièresLa rentabilité de la cybercriminalité a explosé, les plateformes proposant des services de « fraude à la demande » facilitant plus que jamais la mise en œuvre de stratagèmes complexes par les criminels, notamment l'utilisation d'identités synthétiques et de kits de phishing sophistiqués.

Alors que les entreprises peinent à développer leurs capacités en IA, les criminels prennent de l'avance, innovant sans cesse et exploitant les failles laissées par les cadres de sécurité obsolètes.

Pourquoi les cadres de cybersécurité et de confiance traditionnels échouent face aux acteurs dotés d'IA

Les mesures de cybersécurité traditionnelles qui offraient autrefois une protection relative se révèlent insuffisantes. Les systèmes existants, reposant sur des listes noires, des CAPTCHA et l'authentification à facteur unique, sont mal préparés pour lutter contre l'évolution des attaques pilotées par l'IA. Les criminels utilisent des deepfakes capables de tromper les scanners biométriques et des identités synthétiques qui contournent aisément les protocoles KYC.

Cet échec est aggravé par le fait que de nombreuses organisations considèrent encore la cybersécurité comme un centre de coûts plutôt que comme une composante essentielle de leur infrastructure. Alors que le Pentagone investit des millions dans le recrutement de pirates informatiques spécialisés en IA, le fossé technologique devient flagrant. Pendant que les entreprises s'enlisent dans des formalités de conformité illusoires, les criminels exploitent l'IA pour tirer profit des failles humaines, notamment à travers des attaques de spear-phishing imitant les communications des dirigeants.

À quoi ressemblent concrètement les attaques « natives de l’IA » ?

Les techniques de fraude modernes ont considérablement évolué par rapport aux anciennes méthodes d'hameçonnage. Les attaquants construisent des chaînes de fraude élaborées qui paraissent légitimes à chaque étape.

Imaginez une matinée d'entreprise ordinaire. Mardi, 9h43. Le directeur financier reçoit un courriel marqué « urgent », semblant provenir du PDG. Le ton est familier. Le langage correspond aux demandes précédentes. Un message de suivi arrive quelques minutes plus tard par un autre canal, insistant sur l'urgence. À 11h00, un virement de plusieurs millions de dollars est approuvé, mais on découvre par la suite qu'il est acheminé vers un compte offshore contrôlé par des pirates informatiques.

Ces attaques, qui utilisent l'intelligence artificielle native, sont des manipulations psychologiques exploitant la confiance et l'autorité. La sophistication de ces opérations met en évidence une faille dans les mesures de sécurité actuelles, incapables de détecter les anomalies comportementales subtiles qui caractérisent la fraude moderne.

Quelles sont les priorités réalistes que les entreprises devraient établir avant de déployer davantage d'IA en interne ?

Avant de déployer davantage d'IA en interne, les entreprises doivent faire une pause et réévaluer leurs hypothèses en matière de confiance. L'accélération de la criminalité facilitée par l'IA a mis en lumière une faiblesse structurelle : les organisations se défendent encore contre les menaces d'hier, tandis que les attaques actuelles sont conçues pour paraître légitimes par défaut.

1. Les entreprises doivent repenser la définition même du risque.

Les matrices de risques traditionnelles étaient conçues autour de défaillances telles que les pannes système, les fuites de données et les violations de politiques. À l'ère de l'IA, le risque découle de plus en plus de la simulation plutôt que du dysfonctionnement. Au lieu de se demander « qu'est-ce qui pourrait mal tourner ? », il est plus pertinent de se demander « qu'est-ce qui peut être évité ? » falsifié de manière convaincante« à grande échelle, plus vite que nous ne pouvons réagir. »

Les identités synthétiques, l'usurpation d'identité de dirigeants et les récits générés par l'IA se comportent différemment des menaces traditionnelles : elles se propagent plus rapidement, se fondent dans les activités légitimes et exploitent la confiance plutôt que les failles techniques. Sans surprise, ces risques sont généralement plus prioritaires et se concrétisent plus fréquemment que leurs prédécesseurs non liés à l'IA, dissimulés derrière des problématiques de cybersécurité, de fraude, de réputation ou de conformité.

2. Les organisations doivent accepter que la prévention seule ne suffit plus.

Les entreprises de premier plan cartographient désormais les risques liés à l'IA en trois niveaux de défense, qui correspondent à Défenseur IA architecture modulaire :

• Prévention des risques – ce qui inclut désormais l’anticipation des attaques exploitant la confiance humaine et les contenus générés par l’IA, et non plus seulement le blocage des menaces connues.
• Vérification d'identité basée sur l'IA
• Intégrité des appareils et des sessions
• Protection des communications exécutives
• Détection et surveillance des menaces Elle combine l'analyse des anomalies techniques avec la surveillance comportementale et médiatique, reflétant le fait que de nombreuses attaques natives de l'IA se manifestent dans les schémas de communication plutôt que dans le code.
• Surveillance continue des signaux et anomalies
• IA vs détection par IA
• Récit et surveillance des médias
• Enquête et attribution – en se concentrant sur la reconstitution des événements, l’attribution des intentions et la production de preuves exploitables, permettant ainsi aux organisations de réagir efficacement même lorsque la tromperie se propage plus rapidement que leurs défenses initiales.
• Explicabilité des alertes d'IA
• Attribution d'activités suspectes
• OSINT de qualité probante

3. Les entreprises doivent prendre en compte la dimension humaine de la fraude native à l'IA.

Les employés restent la principale cible des attaques modernes, mais la nature de l'exploitation a évolué. Un schéma récurrent, de plus en plus observé dans les fraudes à l'IA, consiste en des interactions d'apparence interne plutôt qu'en des attaques externes. Les employés peuvent recevoir de courts appels vidéo, semblant provenir des ressources humaines, leur demandant de « vérifier rapidement leur identité » pour résoudre un problème de paie. Le visage, la voix et l'identité visuelle paraissent authentiques. La demande en elle-même semble anodine, mais elle permet discrètement la prise de contrôle du compte plus tard dans la journée.

Ce type de scénario illustre pourquoi la fraude orchestrée par l'IA exploite le contexte, l'autorité et le timing, imitant souvent la communication des dirigeants avec une précision troublante. Dans ce contexte, les formations de sécurité traditionnelles risquent de se réduire à une simple formalité de conformité, offrant une illusion de sécurité sans réelle protection.

Le défi ne réside pas seulement dans la prise de conscience, mais aussi dans la manière dont le problème est formulé.

Reformuler le problème (étape zéro)

Ancien modèle mental : « Former les employés à ne pas faire d'erreurs. »

Nouveau modèle mental : « Partez du principe que les employés seront ciblés, manipulés et instrumentalisés. »

La formation n'est pas l'éducation.

L'entraînement, c'est l'inoculation + la mémoire musculaire.

Dans cette optique, quelles équipes doivent être formées pour reconnaître les schémas de fraude récurrents ?

Les 5 principaux vecteurs de fraude à l'IA qui passent à travers employés – aucun de ces comportements n'est dissuadé par les affiches de sensibilisation :

4. Les organisations doivent repenser ce que signifie « identité » dans un monde de réalité synthétique.

Face à la prolifération des deepfakes vocaux et vidéo qui fragilisent la confiance dans les données biométriques, aucun facteur isolé ne permet de prouver l'authenticité de manière fiable. La résilience repose de plus en plus sur l'accumulation de nombreux signaux faibles au fil du temps, tels que le contexte, la continuité et la cohérence entre les appareils, les sessions et les données externes.

Les données ouvertes et externes, longtemps considérées comme secondaires, acquièrent une importance stratégique croissante. Combinées aux signaux comportementaux internes, elles permettent de répondre à une question cruciale : cette identité ou cette action est-elle cohérente d’un contexte à l’autre ? Dans un monde où presque tout peut être falsifié, la cohérence devient l’un des rares fondements de la confiance.