« Nous entrons dans un monde où les adversaires automatisent tout dans la chaîne d’élimination qui ne nécessite pas une grande créativité », a averti l’ancienne directrice de la CISA, Jen Easterly, en réponse à un rapport de novembre 2025 sur l’utilisation abusive de la société d’IA de pointe Anthropic.
En novembre, Anthropic a révélé avoir perturbé une cyberattaque et une opération d’extraction de données qui ciblaient des dizaines de grandes entreprises et d’agences gouvernementales. Les auteurs (qui feraient partie d’un groupe parrainé par l’État chinois) utilisaient le Claude Code d’Anthropic pour atteindre un niveau sans précédent d’automatisation des cyberattaques, avec seulement des conseils humains occasionnels aux moments critiques.
Pour les grandes entreprises dotées d’équipes de cybersécurité solides, c’est préoccupant. Pour les petites entreprises et les organisations non gouvernementales (ONG) qui manquent de ces ressources, c’est terrifiant.
L’IA rend l’hameçonnage plus rapide, moins cher et plus efficace
Les organisations sont déjà aux prises avec les impacts de l’IA sur l’hameçonnage et l’ingénierie sociale. Lors du « Changemakers Day », la veille du Sommet de Mastercard sur la croissance inclusive d’octobre à Kuala Lumpur, Brian Cute, PDG par intérim de la GCA, a démontré à quoi ressemble l’hameçonnage basé sur l’IA. Il a montré l’IA rédigeant des messages d’hameçonnage ciblé soignés en temps réel, avec des mots qui défilaient à l’écran beaucoup plus vite qu’un humain ne pourrait taper.
Comme l’a dit un participant par la suite, « C’est moins « honte à la victime » maintenant, parce qu’il est moins raisonnable de s’attendre à ce que quelqu’un s’en aperçoive. »
La présentation utilisait l’une des nombreuses démonstrations produites par CivAI, un organisme sans but lucratif voué à aider les gens à intérioriser les impacts de l’IA sur la société. Les démonstrations non publiques de CivAI présentent des scénarios d’utilisation abusive de l’IA, y compris des courriels d’hameçonnage personnalisés, des trucages réalistes d’images, d’audio et de vidéo, de la désinformation, de l’ingérence électorale et des menaces biologiques. Les ONG et les particuliers peuvent demander l’accès ou consulter les démonstrations accessibles au public de CivAI en ligne.
Une étude récente a révélé que les courriels d’hameçonnage personnalisés par l’IA ont atteint plus de 4 fois le taux de clics de l’hameçonnage de masse traditionnel (54 % contre 12 %). Le conseil classique de surveiller les fautes de frappe, l’anglais approximatif et la mise en forme bâclée est insuffisant.
L’IA expose de nouveaux vecteurs d’attaque
D’autres technologies d’IA ont également contribué à la croissance de nouveaux vecteurs d’attaque. En 2024, des escrocs ont utilisé des trucages réalistes d’IA pour se faire passer pour des dirigeants lors d’un appel vidéo et escroquer une entreprise multinationale de 25 millions de dollars. Des agents nord-coréens ont utilisé l’IA pour obtenir et conserver des milliers de rôles dans des entreprises du Fortune 500 afin d’extraire de la valeur et des données sensibles. Le FBI a récemment mis en garde contre l’utilisation de faux audios et vidéos dans les escroqueries d’enlèvement.
Au-delà de l’hameçonnage et de l’ingénierie sociale, l’IA trouve et exploite de manière autonome les vulnérabilités techniques. L’opération décrite dans le rapport d’Anthropic de novembre 2025 avait l’IA qui gérait 80 à 90 % des opérations tactiques de manière indépendante — non seulement la rédaction de courriels convaincants, mais aussi la conduite de la reconnaissance, le développement d’exploits, la collecte d’informations d’identification et l’évaluation des données volées à des vitesses surhumaines.
Les tactiques se répandent rapidement dans l’économie souterraine
Ce que les acteurs étatiques font aujourd’hui, le crime organisé le fera demain. Selon l’Office des Nations unies contre la drogue et le crime (ONUDC), les complexes tentaculaires qui abritent des opérations de fraude à l’échelle industrielle en Asie du Sud-Est peuvent parfois atteindre l’échelle de petites villes et généreraient un chiffre d’affaires combiné de 40 milliards de dollars par année. Ces entreprises criminelles massives intègrent l’IA dans leurs opérations à un rythme accéléré, et beaucoup utilisent déjà l’IA pour la traduction et la sensibilisation automatisée. Selon un rapport récent de KnowBe4, 82,6 % des courriels d’hameçonnage détectés entre septembre 2024 et février 2025 ont été rédigés à l’aide de l’IA.
Les experts des forces de l’ordre s’attendent à ce que la majorité du marché ait pleinement intégré l’IA agentique d’ici deux ans. Nous vivons les derniers moments de l’ère où l’obscurité et la petite échelle peuvent offrir une protection adéquate.
Les petites organisations sont particulièrement à risque
Les municipalités, les ONG et les petites et moyennes entreprises (PME) — des organisations qui n’ont souvent pas d’équipes de sécurité dédiées — seront de plus en plus confrontées à des attaques au même niveau de sophistication et de personnalisation que celles qui visent actuellement les entreprises du Fortune 1000.
L’IA a simultanément réduit les coûts de la cybercriminalité à grande échelle et augmenté les profits en aidant les attaquants à monétiser les informations qu’ils volent. Auparavant, un criminel qui investissait des heures dans une attaque personnalisée avait besoin d’une récompense de grande valeur. Maintenant, la plupart de cette personnalisation peut être automatisée pour quelques centimes. Les campagnes contre des centaines de petites organisations pourraient devenir plus rentables que les attaques concentrées contre des entreprises renforcées.
Les PME n’ont pas non plus souvent la capacité d’absorber les pertes associées à une violation. Les grandes entreprises peuvent se permettre de verser des millions pour résoudre les conséquences des cyberattaques, mais les petits groupes comme les districts scolaires, les cabinets médicaux et les organisations confessionnelles avec des bases de données de donateurs pourraient se retrouver ruinés par une rançon ou même par des frais juridiques seulement. Selon un sondage de 2024, 60 % des petites entreprises considèrent les cyberattaques comme leur plus grande menace.
L’asymétrie entre la capacité de l’attaquant et la résilience du défenseur est la plus grave pour les petites organisations. Il est essentiel de sécuriser l’infrastructure cybernétique maintenant, avant qu’elles ne soient victimes de cybercriminels.
Sécuriser les petites organisations contre la cybercriminalité basée sur l’IA
La présentation de Cute au Sommet d’octobre a également souligné comment l’IA peut être exploitée pour le bien, et pas seulement pour le mal. En utilisant l’IA pour étendre le renforcement des capacités cybernétiques, la GCA met en place des guides pratiques, des cours à rythme libre et des programmes collaboratifs avec des partenaires pour développer les compétences en cybersécurité à l’échelle mondiale. Face à cette vague de cybercriminalité basée sur l’IA, ces efforts visent à renforcer les connaissances et les capacités des individus et des organisations, contribuant ainsi à bâtir un écosystème numérique plus sûr et plus résilient pour tous.
Une réponse mondiale, coordonnée et globale à ces nouveaux types de menaces nécessite à la fois une action collective de la part de nombreux défenseurs et une action individuelle de la part des organisations vulnérables — ni l’une ni l’autre ne peut suffire à elle seule.
Les gouvernements, les entreprises technologiques et la société civile doivent travailler ensemble pour investir dans des mesures de protection technologiques, des défenses au niveau de l’infrastructure, une surveillance transfrontalière des menaces et la préparation de la société.
En attendant, les organisations et les particuliers ne peuvent pas se permettre d’attendre une action collective. Se préparer aux cybermenaces posées par l’IA nécessite un engagement renouvelé à rehausser les normes de sécurité organisationnelles, y compris des mots de passe forts, l’authentification multifactorielle, la sensibilisation à l’hameçonnage, les principes de moindre privilège, l’assainissement des entrées, des sauvegardes robustes, l’automatisation des correctifs et les points de terminaison de limitation de débit.
La GCA travaille à deux niveaux distincts pour rendre Internet et ses utilisateurs plus sûrs. La GCA utilise l’IA pour automatiser et étendre la protection de la cybersécurité, permettant à un plus grand nombre de personnes de se protéger plus rapidement, tout en renforçant l’infrastructure technique d’Internet en identifiant et en perturbant le trafic malveillant, les domaines abusifs et les incidents de routage qui permettent la cybercriminalité. La GCA travaille également en partenariat avec les gouvernements, l’industrie et les organisations de la société civile pour créer des communautés d’action qui peuvent répondre à ces menaces à grande échelle.
La vague de cybercriminalité liée à l’IA déferle déjà vers le rivage. Les organisations n’ont plus beaucoup de temps pour se préparer avant qu’elle ne frappe.
