Le fossé de la salle du conseil : Pourquoi les DSI ont du mal à parler des deepfakes — et comment les présenter

La cybersécurité est en train de vivre un moment charnière, impulsé par l’adoption généralisée de l’IA par les entreprises, les gouvernements et les individus. Avec 82% des entreprises aux États-Unis qui utilisent ou explorent l’utilisation de l’IA dans leurs activités, les organisations débloquent de nouvelles efficacités, mais les attaquants également. Les mêmes outils qui alimentent l’innovation permettent également aux acteurs menaçants de générer du contenu synthétique avec une facilité et une réalisme alarmants. Cette nouvelle réalité a introduit des défis importants, notamment la capacité de créer du contenu synthétique (images, audio et vidéo) et des deepfakes malveillants (audio, vidéo ou image manipulés pour imiter une personne réelle) à une vitesse et une sophistication sans précédent. En quelques clics, quiconque ayant accès à un ordinateur et à Internet peut manipuler des images, de l’audio et des vidéos, introduisant la méfiance et le doute dans l’éthos de l’information.

À une époque où les entreprises, les gouvernements et les organisations médiatiques s’appuient sur la communication numérique pour leur subsistance, il n’y a pas de place pour l’erreur en sous-estimant les risques que posent les deepfakes, les fraudes d’identité synthétique et les attaques d’usurpation d’identité. Ces menaces ne sont plus hypothétiques – les pertes financières dues à la fraude d’entreprise activée par les deepfakes ont dépassé 200 millions de dollars au premier trimestre 2025, soulignant l’ampleur et l’urgence de la question. Un nouveau paysage de menaces nécessite une nouvelle approche de la cybersécurité, et les DSI doivent agir rapidement pour garantir que leur entreprise reste sécurisée. Cependant, demander de nouveaux capitaux et communiquer clairement l’exposition aux menaces de l’organisation à un conseil d’administration ayant des niveaux de connaissance variables de la gravité de la menace des deepfakes peut être intimidant. Alors que les attaques de deepfakes continuent d’évoluer et de prendre forme, chaque DSI doit être à la pointe de cette conversation dans la salle du conseil.

Ci-dessous se trouve un cadre pour les DSI et les dirigeants afin de faciliter les conversations avec les parties prenantes au niveau du conseil d’administration, de l’organisation et de la communauté.

Utiliser des cadres familiers : les deepfakes comme un ingénierie sociale avancée

Les conseils d’administration ont été conditionnés à penser à la cybersécurité en termes familiers : les e-mails de phishing, les attaques de ransomware et la question de savoir si leur entreprise sera compromise. Cette mentalité façonne la façon dont ils priorisent les menaces et où ils allouent les budgets de sécurité. Mais lorsqu’il s’agit de contenu généré par l’IA, en particulier les deepfakes, il n’y a pas de point de référence intégré. Présenter les deepfakes comme une menace autonome et nouvelle conduit souvent à la confusion, au scepticisme ou à l’inaction.

Pour contrer cela, les DSI devraient ancrer la conversation dans quelque chose que les conseils d’administration comprennent déjà : l’ingénierie sociale. Au cœur de la menace des deepfakes, ce n’est pas entièrement nouveau ; c’est une forme plus dangereuse et plus évoluée de phishing qui existe dans l’industrie depuis des années et continue d’être le premier vecteur d’attaque de l’ingénierie sociale. Les conseils d’administration reconnaissent déjà le phishing comme un risque crédible et sont à l’aise pour approuver des ressources pour s’en défendre. À bien des égards, les deepfakes représentent une forme plus convaincante, plus évolutives et plus capable d’ingénierie sociale, ciblant à la fois les organisations et les individus avec une précision dévastatrice.

Présenter les deepfakes de cette façon permet aux DSI de puiser dans l’éducation existante, les lignes budgétaires et la mémoire institutionnelle. Plutôt que de demander de nouvelles ressources, ils peuvent reformuler la demande comme une évolution des investissements de sécurité déjà approuvés. Plus les DSI s’appuient sur ce récit, plus ils sont susceptibles d’obtenir les ressources pour traiter ce problème plus large et plus immédiat.

Ancrer le risque dans le réalisme, et non dans le sensationnalisme

Faire référence à des exemples du monde réel est un excellent moyen de faire comprendre aux conseils d’administration les impacts que les menaces de deepfakes pourraient avoir sur les organisations. Cependant, il est important de considérer quels exemples les DSI présentent aux conseils d’administration, car ils peuvent avoir l’effet inverse. Des histoires célèbres comme l’incident de fraude de 25 millions de dollars à Hong Kong font de grandes manchettes, mais elles peuvent avoir un effet contraire dans la salle du conseil. Ces exemples extrêmes sont souvent perçus comme lointains ou irréalistes, créant un sentiment que « quelque chose d’aussi catastrophique ne pourrait jamais nous arriver ». Le biais se déclenche immédiatement et retire le sens de l’urgence pour investir dans la protection.

Au lieu de cela, les DSI devraient utiliser des scénarios plus relatifs pour montrer comment ce risque pourrait se concrétiser à l’intérieur, comme l’usurpation d’identité d’un dirigeant ou la fraude d’entretien.

Dans un cas, des acteurs menaçants nord-coréens ont créé un appel Zoom fictif avec des dirigeants générés par l’IA pour tromper un employé de crypto afin qu’il télécharge un logiciel malveillant pour accéder à des informations sensibles de l’entreprise avec l’intention de voler des cryptomonnaies. À la fin, les pirates n’ont pas pu accéder, mais la menace que ces attaques posent à l’intégrité de la marque devrait être un signal d’alarme pour les conseils d’administration au sein de l’entreprise.

Une autre tactique en plein essor implique des candidats fictifs utilisant des identités et des références générées par l’IA pour infiltrer les organisations d’entreprise. Ces individus agissent souvent au nom d’adversaires américains tels que la Russie, la Corée du Nord ou la Chine, cherchant à accéder à des systèmes et des données sensibles. Cette tendance épuise les ressources internes et expose les organisations à des risques de sécurité nationale et à une exploitation financière.

Souvent, ces menaces passent inaperçues. Pour chaque exemple dans les actualités, des dizaines passent inaperçus, rendant difficile la compréhension de l’ampleur de cette menace. Plus l’attaque est banale, plus elle est inquiétante et pertinente. En partageant des exemples comme ceux-ci – réalistes, pertinents et plus proches de la maison – les DSI peuvent ancrer la conversation sur les deepfakes dans les opérations commerciales quotidiennes et renforcer pourquoi cette menace évolutive exige une attention sérieuse au niveau du conseil d’administration.

Relier la défense contre les deepfakes aux métriques de résilience existantes

Les DSI sont constamment interrogés par leurs conseils d’administration : Quelle est notre probabilité d’être compromis ? Où sommes-nous les plus vulnérables ? Comment réduisons-nous les risques ? Alors que le phishing, le ransomware et les violations de données continuent d’exister, il est important de mettre en évidence le changement fondamental qui a eu lieu au sein de ces vulnérabilités et comment elles s’étendent désormais bien au-delà des surfaces d’attaque traditionnelles.

Les équipes RH, financières et d’approvisionnement – des rôles qui ne sont pas traditionnellement considérés comme des défenseurs de première ligne – sont maintenant des cibles fréquentes d’usurpation d’identité synthétique, et la capacité moyenne de l’homme à détecter ces menaces est extrêmement faible. En fait, seulement 1 personne sur 1 000 peut détecter avec précision le contenu généré par l’IA. Les DSI sont maintenant chargés de répondre à la demande d’éducation avancée à l’ingénierie sociale et d’une plus grande résilience cybernétique à l’échelle de l’organisation, car tout le monde dans l’organisation doit être formé, testé et sensibilisé pour aider à la mitigation.

La défense contre les deepfakes doit devenir une extension de la résilience à l’échelle de l’entreprise et nécessite une éducation continue de la même manière que les équipes sont formées via des simulations de phishing, des formations de sensibilisation et des exercices de red team. Les DSI devraient utiliser les métriques des formations et des simulations pour aider à présenter le problème en termes que leur conseil d’administration comprend. Si un conseil d’administration a déjà souscrit à la résilience comme une priorité stratégique pour l’organisation, les deepfakes deviennent une prochaine frontière naturelle.

Les menaces générées par l’IA ne sont pas en approche. Elles sont déjà là. Il est temps de s’assurer que la salle du conseil est prête à écouter et à diriger. Grâce à l’adoption de l’IA, l’ampleur et la fréquence des attaques de deepfakes et d’usurpation d’identité ont transformé le paysage des menaces en un qui est imprévisible et en constante évolution.

Mais les conseils d’administration n’ont pas besoin d’un manuel sur les deepfakes ou la copie de voix. Ils ont besoin d’un contexte commercial clair et d’une meilleure compréhension des menaces qu’ils posent à leurs organisations. Les DSI devraient ancrer la conversation dans le risque, le coût et la continuité opérationnelle. Ceux qui alignent leur récit de deepfake sur des paradigmes familiers – le phishing, l’ingénierie sociale, la résilience – donnent à leur conseil d’administration un cadre et un contexte dans lesquels ils peuvent agir, et non simplement réagir.