Le National Cyber Security Centre (NCSC) a publié une prévision sans équivoque : d'ici 2028, il est « hautement probable » que des logiciels malveillants pilotés par l'IA soient utilisés pour pirater les infrastructures critiques britanniques. Selon le reportage du Guardian, l'agence s'attend à des attaques contre des installations critiques telles que les centrales électriques, les aéroports et les hôpitaux. La menace que représentent les logiciels malveillants dopés à l'IA pour les infrastructures britanniques peut sembler éloignée de la vie quotidienne, mais les outils qui la sous-tendent sont les mêmes que ceux qui peuvent être pointés vers les routeurs domestiques, les comptes de messagerie et les objets connectés.

Cet article s'en tient à ce qui a été rapporté. Le résumé disponible est bref, nous nous concentrons donc sur ce que signale l'avertissement et sur les mesures pratiques que vous pouvez prendre dès maintenant.

Ce contre quoi le NCSC met en garde

Le NCSC est l'autorité nationale du Royaume-Uni en matière de cybersécurité. Son évaluation, telle que rapportée par le Guardian, est que les attaquants sont hautement susceptibles d'utiliser des logiciels malveillants dopés à l'IA contre les services essentiels au cours des prochaines années. Les installations citées sont les centrales électriques, les aéroports et les hôpitaux : des lieux où une perturbation peut affecter rapidement un grand nombre de personnes.

L'expression « hautement probable » a son importance. Il s'agit d'un terme calibré utilisé dans les évaluations de type renseignement pour exprimer une forte confiance, ni une certitude ni une inquiétude spéculative. Cela indique aux organisations que planifier ce scénario est raisonnable, et non alarmiste.

Comment l'IA change la façon dont fonctionnent les logiciels malveillants

Les logiciels malveillants traditionnels dépendent souvent d'opérateurs humains pour effectuer le travail lent : scanner les systèmes vulnérables, adapter le code, rédiger des leurres convaincants et décider quoi faire après une intrusion. L'IA peut contribuer à automatiser une partie de ce travail. En termes généraux, cela peut signifier :

  • Une reconnaissance plus rapide : des outils automatisés peuvent passer au crible un grand nombre de systèmes à la recherche de faiblesses connues.
  • Un abaissement des barrières de compétences : des attaquants moins expérimentés peuvent s'appuyer sur l'assistance de l'IA pour accomplir des tâches qui exigeaient autrefois une expertise.
  • L'adaptation : un logiciel malveillant capable d'ajuster son comportement peut être plus difficile à repérer avec les défenses plus anciennes fondées sur les signatures.

Le changement clé est économique. Lorsque l'automatisation réduit le temps et les compétences nécessaires à une attaque, davantage de cibles deviennent intéressantes, y compris celles qui étaient auparavant trop petites ou trop fastidieuses pour valoir la peine.

Pourquoi le risque pesant sur les infrastructures atteint les particuliers

Il est facile de lire un avertissement sur les centrales électriques et de supposer qu'il ne concerne que les gouvernements et les grands opérateurs. En pratique, la menace atteint les particuliers de deux manières.

Premièrement, il y a l'effet direct d'une perturbation. Si un hôpital ou un aéroport est touché, les patients et les voyageurs le ressentent. Deuxièmement, la même automatisation qui aide les attaquants à passer à l'échelle contre de grandes organisations peut rendre moins coûteux le sondage des réseaux domestiques, des routeurs non corrigés, des mots de passe réutilisés et des comptes exposés. Les appareils faiblement sécurisés sont souvent le point d'entrée le plus facile, et les attaquants capables d'en tester des milliers automatiquement n'ont besoin d'aucune raison personnelle pour vous choisir.

L'IA est aussi déjà utilisée contre les particuliers. Notre article sur l'hameçonnage par IA et les deepfakes qui dépassent les défenses des entreprises montre comment le clonage vocal et les faux messages convaincants ciblent les gens aujourd'hui, et non en 2028.

Ce que cela signifie pour vous

Vous ne pouvez pas défendre une centrale électrique depuis votre salon, mais vous pouvez faire de vous une cible plus difficile et moins intéressante. Si les attaquants s'appuient sur l'automatisation pour trouver des gains faciles, alors éliminer les gains faciles est une réponse sensée. L'objectif n'est pas de rivaliser avec un État-nation, seulement d'éviter d'être l'option à faible effort.

Il y a aussi un point pratique concernant le calendrier. Une prévision pour 2028 donne aux particuliers et aux organisations une fenêtre pour bien faire les choses de base. Les habitudes prises dès maintenant, comme la mise à jour rapide et l'utilisation d'une authentification forte, compteront tout autant face aux attaques assistées par l'IA que face aux attaques conventionnelles.

Mesures pratiques : correctifs, authentification forte et sécurité du routeur

Maintenez tout à jour. Activez les mises à jour automatiques pour votre téléphone, votre ordinateur, vos applications et vos objets connectés. Les vulnérabilités connues sont une voie d'accès courante, et les outils automatisés savent bien trouver les systèmes non corrigés.

Utilisez l'authentification multifacteur (MFA). Activez-la sur la messagerie, les services bancaires, le stockage cloud et les comptes de réseaux sociaux. Lorsque c'est possible, privilégiez une application d'authentification ou une clé de sécurité matérielle plutôt que les SMS. Associez cela à un gestionnaire de mots de passe afin que chaque compte ait un mot de passe unique.

Sécurisez votre routeur. Changez le mot de passe administrateur par défaut, installez les mises à jour du micrologiciel (ou activez les mises à jour automatiques si votre routeur le permet), désactivez l'administration à distance sauf si vous en avez besoin, et remplacez le routeur si le fabricant ne fournit plus de correctifs de sécurité.

Passez en revue vos objets connectés. Les caméras, sonnettes et autres gadgets connectés doivent avoir des mots de passe uniques et un micrologiciel à jour. Retirez ceux que vous n'utilisez plus.

Soyez sceptique face aux messages inattendus. L'IA rend les faux e-mails, SMS et appels vocaux plus convaincants. Vérifiez les demandes inhabituelles par un canal distinct et de confiance.

Conclusion

L'avertissement du NCSC concernant la menace que représentent les logiciels malveillants dopés à l'IA pour les infrastructures britanniques est un signal pour se préparer, pas pour paniquer. La même automatisation qui pourrait être dirigée contre les hôpitaux et les aéroports réduit le coût de l'attaque des appareils et des comptes du quotidien. Prenez une heure cette semaine pour auditer votre exposition : mettez à jour vos appareils et votre routeur, activez l'authentification multifacteur et passez en revue vos habitudes en matière de mots de passe. Pour un aperçu de la manière dont les attaques pilotées par l'IA ciblent déjà les particuliers, lisez notre article sur l'hameçonnage par IA et les deepfakes.