À l'ère de l'IA, nous perdons encore face aux vieux problèmes de cybersécurité

À une époque où l'intelligence artificielle domine les conversations sur la cybersécurité, trois incidents survenus en octobre ont livré un rappel à la réalité plutôt inconfortable.

Certains des cabinets d'avocats les plus prestigieux du Canada ont vu des renseignements confidentiels de clients compromis. Binance, la plus grande plateforme d'échange de cryptomonnaies au monde, a perdu environ 6,3 milliards de dollars US en actifs numériques. Et partout en France, des centaines de supermarchés ont découvert que des pirates avaient transformé leurs systèmes de réfrigération en appareils de chauffage, détruisant d'énormes quantités d'aliments.

Trois secteurs très différents. Trois attaques très différentes. Pourtant, elles soulèvent une question étonnamment semblable : sommes-nous à ce point concentrés sur les menaces de cybersécurité de demain que nous négligeons les vulnérabilités d'aujourd'hui ?

La vulnérabilité humaine

Au Canada, des attaquants ont visé de grands cabinets d'avocats en se faisant passer pour du personnel de soutien informatique interne, parfois au moyen de Microsoft Teams, en convainquant des employés que des mises à jour urgentes de compte ou de sécurité étaient nécessaires.

Les victimes étaient dirigées vers de fausses pages d'authentification capables d'intercepter les identifiants et de relayer en temps réel les réponses d'authentification multifacteur.

Il ne s'agissait pas simplement d'employés utilisant des mots de passe faibles. Les attaquants ont exploité quelque chose de bien plus fondamental : la confiance envers des processus de travail familiers et une autorité présumée légitime.

Le Centre canadien pour la cybersécurité a lancé un avertissement le 28 octobre au sujet de la campagne en cours, qui visait de plus en plus les organisations juridiques et financières.

La leçon n'est pas que les employés sont négligents. C'est que les processus de sécurité doivent être conçus pour un monde où une demande convaincante provenant du service informatique pourrait ne pas venir réellement du service informatique.

L'infrastructure oubliée

La France a offert un autre type d'avertissement.

Les 11 et 12 octobre, des attaquants ont manipulé à distance des contrôleurs de réfrigération dans des centaines de supermarchés. Des congélateurs qui auraient dû conserver les aliments ont plutôt atteint des températures allant jusqu'à 50 °C, entraînant d'énormes pertes de stock et, dans certains cas, des incendies.

Les enquêteurs ont relevé des préoccupations liées à des micrologiciels obsolètes, à des vulnérabilités déjà divulguées et à des systèmes de contrôle accessibles à distance.

Nul besoin d'imaginer une superintelligence artificielle prenant le contrôle de l'approvisionnement alimentaire. La réalité la plus troublante était que des équipements d'exploitation ordinaires, connectés à Internet par commodité et pour la maintenance à distance, étaient devenus un point d'attaque potentiel.

Pour bien des organisations, les technologies d'exploitation restent en dehors des discussions traditionnelles sur la sécurité informatique. L'équipement est installé, remplit sa fonction et demeure en service pendant des années, parfois longtemps après que son logiciel est devenu obsolète.

Les conséquences pour l'entreprise, elles, n'ont pourtant rien de théorique.

La question à plusieurs milliards

Puis il y a Binance.

Le 29 octobre, des attaquants ont volé environ 6,3 milliards de dollars US en cryptomonnaie. Binance a d'abord évoqué l'ordinateur portable compromis d'un ingénieur DevOps, ce qui aurait pu permettre un accès non autorisé à l'infrastructure interne. Son enquête ultérieure a révélé d'autres points d'intrusion.

Le 31 octobre, le FBI a attribué le vol à des acteurs nord-coréens parrainés par l'État.

Il s'agissait clairement d'une opération complexe, et ses causes techniques précises font toujours l'objet d'une enquête. Il serait prématuré de la décrire simplement comme un défaut de correctif logiciel ou de prévention de l'hameçonnage.

Mais l'incident soulève une question importante pour chaque organisation : quels dommages un attaquant peut-il causer une fois qu'un appareil, une identité ou un système interne de confiance a été compromis ?

La sécurité ne peut pas reposer entièrement sur la prévention de l'accès initial. Elle doit aussi restreindre les privilèges, isoler les opérations critiques, surveiller les activités anormales et limiter les dommages lorsque, inévitablement, quelque chose tourne mal.

Le problème n'est pas un manque de technologie

L'intelligence artificielle transforme indéniablement la cybersécurité. Les attaquants peuvent s'en servir pour rendre l'hameçonnage plus convaincant, automatiser la reconnaissance et accélérer la découverte de vulnérabilités. Les défenseurs peuvent s'en servir pour détecter les anomalies, enquêter sur les incidents et réagir plus vite.

Ces évolutions méritent une attention sérieuse.

Mais aucun de ces trois incidents ne nous oblige à supposer que l'IA a été l'arme décisive. Et trop insister sur l'IA risque d'occulter une série de questions moins spectaculaires.

Les systèmes sont-ils corrigés ? Savons-nous quels appareils connectés ont atteint la fin de leur vie prise en charge ? Les employés peuvent-ils vérifier de façon autonome les demandes informatiques inattendues ? Les méthodes d'authentification résistent-elles à l'hameçonnage ? Un compte ou un appareil compromis peut-il atteindre les systèmes d'affaires critiques ? Qui est responsable de veiller à ce que ces mesures fonctionnent vraiment ?

Ce sont des questions de gouvernance, de processus, d'architecture et de discipline organisationnelle.

Elles font rarement de passionnantes démonstrations de conférence. Pourtant, leurs réponses comptent peut-être davantage qu'un énième produit de cybersécurité sophistiqué.

L'innovation exige des fondations plus solides

Il y a ici une leçon plus large pour les organisations qui se précipitent pour adopter l'IA.

Chaque nouvelle technologie crée des occasions, mais élargit aussi les systèmes, les identités, les données et les dépendances que les organisations doivent gérer. L'adoption de l'IA ne fait pas exception.

Déployer une technologie de plus en plus intelligente sur une infrastructure mal gouvernée ne rend pas cette infrastructure sûre. Cela peut simplement amplifier les conséquences de faiblesses déjà présentes.

La réponse n'est pas de ralentir l'innovation ni de renoncer à investir dans une cybersécurité avancée. C'est de reconnaître que la sophistication technologique et la maturité opérationnelle sont deux choses différentes.

Une organisation peut être à l'avant-garde de l'adoption de l'IA tout en peinant sur les contrôles d'accès de base, la gestion des correctifs ou la sensibilisation à la sécurité.

La maturité en cybersécurité ne se mesure pas à la sophistication de vos outils. Elle se mesure à la fiabilité avec laquelle votre organisation gère le risque.

Avant d'investir dans la prochaine génération de défenses propulsées par l'IA, les dirigeants devraient se poser une question plus simple : avons-nous réellement sécurisé ce que nous possédons déjà ?

Car parfois, le chemin vers une cyberattaque de plusieurs milliards de dollars ne commence pas par un algorithme révolutionnaire. Il commence par une faiblesse familière que personne n'a traitée comme il se doit.