Étude : 65 % des victimes de ransomware affirment que l’IA a renforcé les attaques

L’IA transforme le manuel du ransomware, et les victimes le remarquent

Une nouvelle étude portant sur des organisations ayant subi des attaques par ransomware a mis un chiffre sur une réalité que les chercheurs en sécurité soupçonnaient depuis un certain temps : l’intelligence artificielle rend ces attaques plus efficaces. Selon cette étude, près des deux tiers des victimes, soit 65 %, affirment que les outils d’IA ont accru l’efficacité de l’attaque qu’elles ont subie. Un aveu frappant de la part de personnes qui ont vécu l’incident et qui comprennent exactement comment il s’est déroulé.

L’étude met également en lumière les modes opératoires des attaquants pour s’introduire. Les liens malveillants représentaient 47 % des points d’entrée, les pièces jointes malveillantes 46 %, et le vol d’identifiants 36 %. Aucune de ces méthodes n’est nouvelle. Les liens d’hameçonnage et les pièces jointes piégées sont des classiques de la cybercriminalité depuis des années. Ce qui a changé, d’après les victimes, c’est la qualité et la crédibilité des leurres, ainsi que la rapidité avec laquelle les criminels adaptent leurs tactiques une fois à l’intérieur du réseau.

Pourquoi l’IA redonne vie à ces vieilles astuces

Pendant des années, les formations de sensibilisation à la sécurité ont appris aux employés à repérer les signes révélateurs de l’hameçonnage : une grammaire maladroite, des formules de politesse génériques, des adresses d’expéditeur incohérentes. Les outils d’IA ont effacé bon nombre de ces indices. Les attaquants peuvent désormais générer à grande échelle des messages plus convaincants et personnalisés, et utiliser l’automatisation pour adapter leurs tentatives d’ingénierie sociale au rôle, à l’entreprise, voire à l’activité publique récente d’une cible spécifique.

Il ne s’agit pas d’une préoccupation théorique. Cela s’inscrit dans un schéma plus large que les chercheurs ont déjà documenté. Un acteur malveillant, suivi sous le nom de JadePuffer, a déjà été associé à ce qui a été décrit comme la première campagne de ransomware menée de bout en bout par un grand modèle de langage, et a depuis publié de nouveaux outils ciblant les modèles d’IA eux-mêmes. La frontière entre un groupe criminel qui expérimente l’IA et un autre qui l’utilise de manière opérationnelle semble se réduire rapidement.

Le volume d’activité aggrave le problème. Une analyse distincte de l’entreprise de cybersécurité Black Kite a révélé qu’un nouveau groupe de ransomware se forme environ chaque semaine, ce qui signifie que les défenseurs ne font pas seulement face à des attaquants plus intelligents, mais aussi à un plus grand nombre d’entre eux, avec des barrières à l’entrée réduites grâce à des outils assistés par IA qui diminuent les compétences techniques nécessaires pour lancer une campagne crédible.

L’angle de la vie privée que les défenseurs ne doivent pas négliger

La couverture médiatique des ransomwares se concentre souvent sur la perturbation opérationnelle : systèmes verrouillés, demandes de rançon, temps d’arrêt. Mais les points d’entrée identifiés dans cette étude, en particulier le vol d’identifiants, indiquent une conséquence plus silencieuse et sans doute plus dommageable : l’exposition des données. Lorsque les attaquants parviennent à récolter des identifiants ou à piéger un utilisateur pour qu’il clique sur un lien malveillant, ils obtiennent souvent un accès bien avant l’apparition d’une note de rançon. C’est pendant cette fenêtre que les données personnelles, les dossiers clients et les communications internes sont copiés et exfiltrés.

Pour les organisations qui traitent des données sensibles de clients ou d’employés, cela signifie que le risque pour la vie privée lié à un incident de ransomware ne commence pas au moment du chiffrement des fichiers. Il débute dès que l’hameçonnage assisté par IA ou le vol d’identifiants réussit, parfois plusieurs jours ou semaines plus tôt. Les victimes et les régulateurs considèrent de plus en plus le ransomware comme un événement de violation de données, et non comme une simple panne technique, et cette distinction entraîne des conséquences bien réelles en matière d’obligations de notification et pour les personnes concernées.

Ce que cela signifie pour vous

Que vous soyez administrateur informatique ou simple employé, cette étude rappelle que les vieux conseils pour repérer les courriels suspects doivent être mis à jour. Le contenu d’hameçonnage généré par IA peut paraître soigné, personnalisé et légitime. La grammaire et la mise en forme ne sont plus des signaux d’alarme fiables.

Pour les particuliers, cela signifie ralentir avant de cliquer sur des liens ou d’ouvrir des pièces jointes, même si elles semblent provenir de contacts connus ou de marques de confiance. Vérifier les demandes par un canal distinct, comme un appel téléphonique, avant de donner suite à un courriel urgent est une habitude simple qui reste efficace, quelle que soit la crédibilité du message.

Pour les organisations, le chiffre de 36 % concernant le vol d’identifiants plaide fortement en faveur de l’authentification multifacteur et d’audits réguliers des accès. Si un mot de passe seul ne suffit plus à contrer une tentative d’hameçonnage assistée par IA, il devient essentiel de limiter ce qu’un mot de passe dérobé peut déverrouiller.

Points clés à retenir

• Près des deux tiers des victimes de ransomware déclarent que l’IA a rendu l’attaque qu’elles ont subie plus efficace, selon cette nouvelle étude.
• Les liens malveillants, les pièces jointes et le vol d’identifiants restent les principaux points d’entrée, mais l’IA rend chacun de ces vecteurs plus difficiles à détecter.
• Traitez les courriels et les liens inattendus avec scepticisme, même lorsqu’ils semblent bien rédigés et familiers.
• Favorisez l’authentification multifacteur et des examens réguliers de l’hygiène des mots de passe au sein de votre organisation, car le vol d’identifiants reste une porte d’entrée majeure pour les attaquants.
• Reconnaissez qu’un incident de ransomware signifie souvent aussi un incident de confidentialité des données, et pas seulement une interruption de service.

Alors que les outils d’IA continuent d’abaisser la barrière des compétences pour les cybercriminels, rester informé de la manière dont ces attaques se déroulent réellement et prendre au sérieux les mesures de protection de base demeure l’une des défenses les plus efficaces à la disposition des particuliers comme des organisations.