Comment protéger son entreprise contre les attaques IA

Le virement de 45 000 euros était à un clic d'être validé. L'e-mail du fournisseur semblait authentique, le ton pressant mais plausible, l'IBAN correctement formaté. Seul un appel de contrôle, déclenché par une procédure interne contre-intuitive, a révélé l'arnaque : le véritable fournisseur n'avait jamais envoyé cette facture. Ce scénario, vécu par une PME de la plasturgie en mars dernier, n'est plus une exception. Il illustre le basculement d'une cybercriminalité artisanale vers des opérations industrielles, où l'intelligence artificielle sert de catalyseur.

L'IA ne crée pas la menace, elle en démultiplie la portée, la crédibilité et la vitesse. Le coût moyen mondial d'une violation de données a atteint un record de 4,45 millions de dollars en 2023, selon le rapport d'IBM. La question n'est donc plus de savoir si les PME et ETI sont des cibles, mais de déterminer comment organiser leur résilience face à des attaques qui exploitent la confiance humaine avec une efficacité redoutable.

Pourquoi les attaques dopées à l’IA changent la donne

75 %. C'est la proportion d'entreprises qui, selon le World Economic Forum, estiment que l'IA générative représente un nouveau risque de cybersécurité majeur. Le changement n'est pas seulement technique, il est économique. L'IA abaisse drastiquement le coût de production d'une attaque sophistiquée. Générer des milliers d'e-mails de *spear phishing* personnalisés, cloner une voix pour une arnaque à la fraude au président deepfake, ou scanner des milliers de sites web à la recherche de failles basiques devient quasi instantané et peu coûteux.

Cette industrialisation s'appuie sur une mine d'or de données publiquement accessibles. Organigrammes sur LinkedIn, communiqués de presse, publications sur les réseaux sociaux, photos d'événements professionnels : chaque information aide les attaquants à construire un contexte crédible. « L'IA ne fait qu'assembler les pièces d'un puzzle que nous laissons traîner partout. L'attaquant n'a plus besoin d'être un génie, il lui suffit d'être un bon chef d'orchestre », analyse un expert de la Direction Générale de la Sécurité Intérieure (DGSI).

Le paradoxe est que l'IA exploite souvent les faiblesses les plus humaines et les processus les plus fragiles. L'urgence, la pression hiérarchique, la volonté d'aider ou la simple routine sont les véritables portes d'entrée. C'est pourquoi la réponse ne peut être uniquement logicielle ; elle doit être organisationnelle.

Autopsie des nouvelles menaces IA pour l'entreprise

Quelles formes concrètes prennent ces attaques ? Loin des clichés de hackers encapuchonnés, la menace est souvent plus subtile et s'immisce dans les communications du quotidien. Cinq scénarios dominent.

Le phishing IA et le spear phishing industrialisés

Le phishing IA ne se reconnaît plus aux fautes d'orthographe. Les messages sont rédigés dans un français impeccable, adaptés au jargon métier de la cible et au contexte de l'entreprise. L'IA peut analyser les communications publiques d'une société pour en imiter le style, le ton et les sujets. Une demande de devis d'un faux prospect peut ainsi mentionner un projet réel, rendant la sollicitation presque impossible à distinguer d'une vraie.

La fraude au président par deepfake audio et vidéo

Le deepfake est sorti des laboratoires pour entrer dans le champ opérationnel. Un comptable peut recevoir un appel vocal de son directeur financier, dont la voix a été clonée à partir d'une interview ou d'une vidéo publique, lui ordonnant un virement urgent et confidentiel. La DGSI a documenté des cas d'escroquerie tentés via visioconférence, où l'image et la voix d'un dirigeant ont été simulées. L'objectif est de court-circuiter les procédures en jouant sur l'autorité et l'urgence.

L'usurpation d’identité IA au-delà du dirigeant

L'usurpation d’identité à l’IA ne vise pas que les C-levels. Un attaquant peut usurper l'identité d'un fournisseur clé pour soumettre un nouvel IBAN, d'un technicien de maintenance pour obtenir un accès, ou même d'un nouvel employé du service RH pour demander des informations personnelles à ses collègues. Ces attaques de plus bas niveau sont plus difficiles à détecter car elles ne déclenchent pas les mêmes niveaux d'alerte qu'une demande émanant du PDG.

Le risque interne : fuites de données et shadow AI

L'autre front est interne. Des collaborateurs, cherchant à gagner en productivité, utilisent des outils d'IA grand public pour traduire des contrats, résumer des rapports confidentiels ou générer du code. Ce phénomène de *shadow AI* expose l'entreprise à des fuites de données massives. Les informations soumises à ces plateformes peuvent être stockées sans garanties de sécurité, réutilisées pour entraîner les modèles et devenir accessibles à des tiers. Mettre en place un cadre pour utiliser l'IA dans une petite entreprise devient alors une priorité défensive.

Le playbook en 8 mesures pour protéger son entreprise

« Les entreprises achètent des forteresses, mais laissent la porte d'entrée grande ouverte. La priorité n'est plus l'outil miracle, mais le processus robuste », analyse Claire Valois, consultante en gestion des risques numériques. Protéger son entreprise des attaques IA impose de revenir aux fondamentaux et de les adapter à cette nouvelle donne.

Durcir la gestion des identités : Le point de départ non négociable est l'activation de l'authentification multifacteur (MFA ou authentification forte) sur tous les comptes critiques : messagerie, VPN, accès aux plateformes cloud, outils financiers et administratifs. Un mot de passe seul n'est plus une défense.

Imposer la validation à deux canaux : Aucune demande sensible (virement, changement d'IBAN, partage de données confidentielles) ne doit être exécutée sur la base d'un seul canal de communication. Une demande reçue par e-mail doit être confirmée par un appel sur un numéro de téléphone connu, ou via un message sur une plateforme de communication interne sécurisée.

Établir une charte pour sécuriser l’usage de l’IA en entreprise : Il est crucial de définir une politique claire : quels outils sont autorisés ? Quelles données est-il formellement interdit de soumettre (données clients, secrets industriels, informations financières) ? Qui valide l'adoption d'un nouvel outil ? Cette charte, communiquée à tous, limite le risque de *shadow AI*.

Réduire l'exposition publique : Auditez les informations disponibles en ligne sur votre entreprise et vos dirigeants. Limitez les détails sur les organigrammes hiérarchiques et les circuits de validation financière. Réservez les noms de domaine proches du vôtre pour éviter le cybersquatting.

Sanctuariser les fondamentaux techniques : La sophistication des attaques ne doit pas faire oublier l'essentiel. Assurer une politique de mises à jour (patch management) rigoureuse, disposer de sauvegardes déconnectées et testées régulièrement, et segmenter le réseau pour contenir un éventuel intrus restent des piliers. La pensée critique face à l'IA doit devenir un réflexe.

Former les équipes sans relâche : La sensibilisation cyber doit évoluer. Au-delà des campagnes de phishing génériques, il faut entraîner les équipes, y compris le comité de direction, à reconnaître les scénarios de manipulation psychologique, les demandes inhabituelles et les tentatives de pression.

Tester les défenses : Organisez des tests d'intrusion et des campagnes de phishing contrôlées pour évaluer le niveau de maturité de vos équipes et de vos systèmes. Un test raté est une leçon peu coûteuse par rapport à un incident réel.

Préparer un plan de réponse sur incident : Qui appeler en premier ? Comment isoler les systèmes compromis ? Qui est autorisé à communiquer en interne et en externe ? Ce plan doit être écrit, connu des personnes clés et testé.

Le plan d'action en 30 jours pour une PME

Le passage à l'acte ne nécessite pas des mois de travail. Une approche pragmatique en quatre semaines permet de couvrir 80 % du risque pour une PME ou une ETI.

* Semaine 1 : Cartographie et Priorisation. Identifier les actifs critiques (données, comptes, processus). Lister tous les outils d'IA utilisés officiellement ou non. Auditer les processus de paiement et de validation.

* Semaine 2 : Verrouillage technique. Déployer la MFA sur les comptes prioritaires. Revoir les droits d'accès administrateur. Vérifier que les sauvegardes sont fonctionnelles et isolées.

* Semaine 3 : Renforcement des processus. Rédiger et diffuser la procédure de validation à deux canaux pour toutes les transactions financières. Ébaucher une charte d'usage de l'IA.

* Semaine 4 : Sensibilisation et Test. Organiser une première session de formation sur les risques de phishing IA et de deepfake. Lancer une campagne de phishing simulée pour établir une base de référence. Valider un plan de réponse simplifié.

Que faire en cas de suspicion d’attaque IA ?

« J'ai reçu un message vocal sur WhatsApp de 'mon' PDG, en déplacement à l'étranger, me demandant de régler une facture urgente pour débloquer une situation. La voix était la sienne, mais quelque chose clochait dans l'intonation. J'ai raccroché et j'ai appelé son assistante sur sa ligne fixe », raconte une directrice financière. Ce réflexe a permis d'éviter une perte de plusieurs dizaines de milliers d'euros. La procédure à suivre tient en quatre étapes claires, recommandées par les plateformes comme cybermalveillance.gouv.fr.

Couper la communication : Ne cherchez pas à démasquer l'escroc. Raccrochez, fermez la conversation, ne répondez plus à l'e-mail.

Vérifier par un autre canal : Contactez la personne prétendument à l'origine de la demande via un canal de confiance (numéro de téléphone connu, contact direct).

Alerter en interne : Prévenez immédiatement votre direction, votre service informatique ou votre responsable sécurité. L'alerte rapide permet de bloquer d'éventuelles autres tentatives et de protéger d'autres collaborateurs.

Conserver les preuves et signaler : Gardez une copie des messages, e-mails, numéros de téléphone. Déposez plainte auprès de la police ou de la gendarmerie et signalez l'incident sur les plateformes dédiées.

Les attaques dopées à l'IA ne sont pas une fatalité. Elles sont un test de robustesse pour les processus et la culture d'une entreprise. La résilience ne se décrète pas, elle s'organise. Les créations d'entreprises en 2026 devront intégrer cette dimension dès leur premier jour. La technologie a offert aux attaquants la vitesse et l'échelle ; c'est par la rigueur et la discipline que les entreprises se défendront.

Sources & références