Webinar : quand l'IA s'arme contre vous

À noterLes chiffres cités dans ce webinar sont les propos des intervenants, en particulier d'Éric Devaulx, et non des données publiées par Global SP.

Un accélérateur de la menace

Pour Éric Devaulx, l'IA ne change pas forcément la porte d'entrée des attaques, mais elle les accélère. Elle s'ajoute à une surface d'attaque déjà élargie par la transformation numérique : des milliards d'objets connectés, toujours plus de logiciels, donc toujours plus de failles. Le nombre d'attaquants augmente, parce que tout est devenu plus facile : après l'attaque du fichier des cartes grises et des permis de conduire, la personne arrêtée avait 15 ans. Et le coût d'une attaque baisse avec les agents d'IA.

Surtout, tout va plus vite. Le temps laissé aux entreprises pour installer un correctif a disparu, et les compétences pour se défendre manquent.

Vitesse

Le temps entre la découverte d'une faille et son exploitation

• Dans les années 2020≈ 60 jours
• 20235 jours
• Aujourd'huiLa faille est découverte après l'attaque− 1 semaine

Un risque économique et réputationnel

Pour Éric Devaulx, la cybercriminalité est devenue un business très rentable, et le poids de ses dommages continue de croître.

Cybercriminalité mondiale

Le coût des dommages croît encore de 50 à 60 %

10 000

Milliards de dollars de dommages en 2026

→

15 000 à 16 000

Milliards de dollars évalués pour 2029

José de Andrade en tire la conséquence : un arrêt n'est plus une simple panne. L'entreprise à l'arrêt ne paie plus ses fournisseurs, parfois plus ses salariés, et sa réputation est engagée. Éric Devaulx s'appuie aussi sur le baromètre des risques que l'assureur Allianz publie chaque année.

Baromètre des risques Allianz

Le cyber en tête, l'IA juste derrière

Risque	Rang cette année	Rang l'an dernier
Cyber	1er	1er (en tête depuis quatre ans)
Intelligence artificielle	2e	10e et 12e

Hameçonnage et deepfakes : la fin des messages maladroits

José de Andrade le rappelle : on repérait autrefois un hameçonnage à ses fautes. Avec l'IA, le message est propre, personnalisé grâce aux informations publiques de l'entreprise, décliné en de multiples variantes. Éric Devaulx décrit la préparation d'une arnaque au président : numéros de mobile, adresses e-mail, enregistrements de voix, jusqu'au fameux appel du vendredi soir à la direction financière pour un virement urgent et confidentiel. Repérer un contenu manipulé devient très difficile. Le bon réflexe reste de vérifier par un autre canal. Notre article sur l'IA revient sur la fraude au président par deepfake.

Un sujet de direction générale

Le binôme qui compte, c'est le dirigeant et son correspondant sécurité : RSSI ou responsable informatique. Quand le cyber est quantifié comme le premier risque de l'entreprise, il doit figurer à l'ordre du jour du comité de direction et du conseil d'administration. Le dirigeant est aussi plus exposé que les autres : Éric Devaulx l'estime dix fois plus ciblé que ses collaborateurs. Les équipes techniques ont leur part du chemin à faire : parler en risque et en perte d'activité, pas en jargon.

On ne va pas interdire le vent et la pluie.Éric Devaulx, sur l'interdiction de l'IA en entreprise

Pour Éric Devaulx, l'IA ne s'interdit pas, elle s'encadre : par une charte informatique, une charte cyber, une charte IA. Il faut ensuite un budget cohérent, de la sensibilisation à tous les niveaux, et des exercices de crise. La question qu'il pose aux dirigeants, avant l'incident : comment paierons-nous les salaires et les fournisseurs si tout s'arrête ? Pour le jour où l'attaque arrive, notre guide Gérer une cyberattaque décrit chaque étape.

Budget

Part du budget informatique consacrée à la cybersécurité

• Encore observéIncompatible avec une bonne protection2 à 3 %
• Régime établi7 à 10 %
• Phase d'accélérationRecommandation de la gendarmerie10 à 15 %

05101520 %

Une chaîne de protection, pas des options

José de Andrade décrit les briques qui doivent être évidentes, et non optionnelles.

Protection

Six briques, et ce que chacune apporte

Brique	Ce qu'elle apporte
Identités et double authentification	Prouver que c'est bien la bonne personne, et bloquer par exemple les connexions depuis des pays sensibles.
Détection sur les postes et serveurs (EDR, XDR)	Repérer tôt un comportement malveillant, avec l'aide de l'IA.
Messagerie protégée	Empêcher qu'un attaquant se serve de votre nom de domaine pour un hameçonnage plus crédible.
Gestion des vulnérabilités	Suivre les failles connues et les corriger au plus vite : le délai laissé avant une attaque est devenu négatif.
Sauvegarde et plan de reprise testés	Redémarrer après une attaque, avec une reprise déjà éprouvée.
SOC	Relier ces protections et traquer les signaux faibles, invisibles à l'écran.

Éric Devaulx ajoute un conseil simple : une charte e-mail d'une quinzaine de points, qui fait aussi gagner du temps. Et les PME ne sont pas à l'abri : elles subissent des attaques de masse, comme les particuliers, ou servent de porte d'entrée vers un grand client mieux protégé. Chez Global SP, la réponse se déroule sur 90 jours. Notre page consacrée à la cybersécurité des PME propose aussi un plan d'action sur 90 jours, mois par mois.

Questions : NIS 2, RGPD, DORA, CRA

Pour les entités concernées, NIS 2 clarifie la responsabilité personnelle des dirigeants, rappelle José de Andrade. Pour savoir si votre PME est concernée par NIS 2, voyez la FAQ de notre page sur la cybersécurité des PME. Éric Devaulx ajoute le RGPD : le dirigeant est mandataire social, et si des données personnelles sensibles s'échappent faute d'avoir fait le nécessaire, cela peut aller jusqu'au procès. Ces réglementations, NIS 2, DORA pour la banque et la finance, et désormais le Cyber Resilience Act (CRA), ont selon lui une vertu : elles sensibilisent. Mais elles ne font pas tout. L'essentiel reste que le dirigeant prenne le sujet en main, avec ses équipes techniques et sa direction. Notre article sur l'IA détaille ce que NIS 2 change pour le dirigeant.