Un agent IA a piraté 30 entreprises pour seulement 4 $ chacune

Une cyberattaque propulsée par l'IA qui coûte quelques centimes par victime

Un nouveau rapport attire l'attention sur le coût dérisoire et l'évolutivité des cyberattaques propulsées par l'IA. Selon les conclusions, un système d'IA a été utilisé pour compromettre environ 30 entreprises à un coût d'environ 4 $ par cible, un chiffre qui souligne à quel point l'automatisation effondre l'économie de la cybercriminalité. Pendant des années, les chercheurs en sécurité ont averti que l'intelligence artificielle finirait par être transformée en outil offensif. Ce rapport suggère que ce changement n'est plus théorique.

Ce qui rend ce cas notable, ce n'est pas seulement le nombre de victimes ou le faible coût. C'est la méthode. Au lieu du scénario classique des rançongiciels, où les attaquants chiffrent les fichiers d'une victime et exigent un paiement en échange d'une clé de déchiffrement, cette opération a entièrement contourné le chiffrement. Les attaquants se sont concentrés sur le vol de données et leur utilisation comme moyen de pression, une technique connue sous le nom d'extorsion par vol de données.

Du chiffrement de fichiers aux campagnes de pression automatisées

Les rançongiciels traditionnels reposaient sur un mécanisme assez brutal : verrouiller les fichiers d'une entreprise, puis exiger un paiement pour les déverrouiller. Cette approche exigeait que les attaquants maintiennent un accès suffisamment longtemps pour chiffrer de grands volumes de données, ce qui laissait aux défenseurs une fenêtre pour détecter et réagir.

L'opération décrite dans ce rapport contourne cette étape. Plutôt que de chiffrer quoi que ce soit, les attaquants auraient utilisé l'IA pour construire ce qu'on appelle des « dossiers de pression » automatisés, des ensembles compilés d'informations volées conçus pour maximiser l'incitation de la victime à payer. Le système d'IA a également été utilisé pour calculer les demandes de rançon, ce qui suggère que les montants d'extorsion n'étaient pas fixés arbitrairement mais générés en fonction de facteurs évalués par le modèle pour chaque cible.

Cela importe parce que cela supprime l'un des plus grands goulots d'étranglement des opérations de rançongiciel : le travail humain. La reconnaissance, la collecte de données, la création de dossiers et même les décisions de tarification peuvent désormais être gérées par un système automatisé travaillant simultanément sur des dizaines de cibles. Le rapport mentionne également des développements connexes dans ce domaine, notamment un modèle appelé DeepSeek-V4-Pro, un agent autonome nommé Hermes, des vulnérabilités de sécurité liées à GitLab, et un groupe de rançongiciel connu sous le nom de The Gentlemen, tous pointant vers une tendance plus large où les outils d'IA sont intégrés aux opérations criminelles plutôt que d'exister comme des expériences isolées.

Pour une vue plus large de la rapidité avec laquelle ces types de menaces s'accumulent, notre récent récapitulatif ThreatsDay couvrant les failles RCE, une vulnérabilité Samsung et le litige iCloud montre que l'exploitation assistée par l'IA n'est qu'une pièce d'un paysage de menaces beaucoup plus vaste et en évolution rapide qui touche tout, des appareils mobiles aux litiges de stockage cloud.

Pourquoi le coût par cible est la véritable histoire

Un coût de 4 $ par entreprise compromise n'est pas seulement un chiffre accrocheur, c'est un signal concernant l'échelle. Lorsque le coût marginal d'attaquer une organisation supplémentaire approche zéro, le calcul des attaquants change entièrement. Au lieu de sélectionner soigneusement des cibles de grande valeur et d'investir un temps considérable par victime, les systèmes automatisés peuvent tenter de violer un grand nombre d'organisations en même temps, puis laisser l'économie déterminer lesquelles valent la peine d'être poursuivies davantage.

C'est un écart significatif par rapport au fonctionnement traditionnel de l'économie des rançongiciels. Les intrusions opérées par des humains nécessitent du temps pour la reconnaissance, les mouvements latéraux et la négociation. Un pipeline piloté par l'IA peut compresser une grande partie de cette chronologie, générant des packages d'extorsion et des demandes avec beaucoup moins d'effort manuel. Même si seulement une fraction des 30 entreprises ciblées a finalement payé ou subi des dommages graves, le faible coût de l'opération signifie que les attaquants n'avaient pas besoin d'un taux de réussite élevé pour que cela en vaille la peine.

Ce que cela signifie pour vous

Si vous dirigez une entreprise, ou même si vous gérez des données sensibles pour une petite équipe, cette évolution mérite votre attention, quel que soit votre secteur. L'extorsion par vol de données n'exige pas que les attaquants percent une infrastructure massive ou maintiennent un accès à long terme. Elle exige de trouver des données exposées ou mal sécurisées et d'agir rapidement. Cela signifie que les petites entreprises, qui supposent souvent être trop insignifiantes pour être ciblées, sont tout aussi exposées que les grandes, surtout maintenant que l'automatisation réduit le coût de lancer un large filet.

Pour les particuliers, la conclusion est plus indirecte mais reste pertinente. À mesure que l'IA réduit le coût des campagnes de vol de données, les chances que vos informations personnelles soient emportées dans une violation impliquant un petit fournisseur ou prestataire de services peuvent augmenter avec le temps. L'extorsion basée sur des données volées, plutôt que sur des fichiers chiffrés, signifie également que les victimes ne peuvent pas simplement restaurer à partir de sauvegardes et passer à autre chose. Une fois les données copiées, elles échappent à votre contrôle, que la rançon soit payée ou non.

Mesures pratiques à envisager

Quelques actions concrètes peuvent aider à réduire l'exposition à ce type de cyberattaque propulsée par l'IA, que vous protégiez une entreprise ou vos propres comptes :

• Auditez les données sensibles stockées et où elles se trouvent, et minimisez ce qui est conservé dans des systèmes qui n'en ont pas strictement besoin.
• Corrigez rapidement les vulnérabilités connues, car les outils d'attaque automatisés sont conçus pour scanner exactement ces failles.
• Utilisez des identifiants forts et uniques et une authentification multifacteur sur tout système qui touche aux données clients ou financières.
• Supposez que les attaques automatisées à faible coût cibleront également les petites organisations, pas seulement les entreprises très médiatisées.

À mesure que les cyberattaques propulsées par l'IA deviennent moins chères à exécuter, l'écart entre les organisations bien défendues et toutes les autres risque de se creuser. Rester informé sur l'évolution de ces techniques et traiter l'hygiène de sécurité de base comme non négociable reste l'un des moyens les plus efficaces pour rester hors de la liste des prochaines 30 entreprises.