Des voix en qui vous avez confiance, des mensonges auxquels vous croyez : comment l’IA a dopé l’art de l’ingénierie sociale

Imaginez répondre au téléphone au travail et entendre la voix de votre patron, faisant référence à un projet récent et vous pressant d’envoyer des fichiers sensibles - sauf que ce n’est pas votre patron. C’est un cybercriminel, armé d’IA, exploitant la confiance à une échelle et avec une précision dont le phishing traditionnel ne pouvait que rêver. Bienvenue dans la nouvelle ère de l’ingénierie sociale - où l’intelligence artificielle est l’outil ultime de l’escroc.

En bref

• L’IA amplifie l’ingénierie sociale, rendant les arnaques plus crédibles, évolutives et ciblées.
• Les attaquants utilisent désormais l’IA pour imiter des voix, rédiger des messages réalistes et simuler des relations de confiance.
• Les experts en cybersécurité avertissent qu’un excès de vigilance sur les menaces par e-mail laisse les organisations vulnérables aux attaques par téléphone, réseaux sociaux et deepfakes alimentées par l’IA.
• Les grandes entreprises font face à une nouvelle vague de manipulation psychologique, l’IA exploitant l’instinct humain à faire confiance aux voix et références familières.
• Les fournisseurs de solutions de sécurité se précipitent pour développer des défenses contre des intrus numériques de plus en plus sophistiqués.

L’anatomie d’une arnaque pilotée par l’IA

« L’IA n’a pas inventé l’ingénierie sociale, elle l’a juste rendue plus évolutive, précise et crédible », explique Deneen DeFiore, Chief Information Security Officer chez United Airlines, dans un récent épisode de « CISO Confidential » de Cybercrime Magazine. L’ingénierie sociale - tromper les gens pour obtenir des informations confidentielles - a toujours exploité la confiance et l’autorité. Mais aujourd’hui, avec l’IA, les attaquants peuvent simuler non seulement des e-mails génériques, mais aussi des messages personnalisés, riches en contexte, et même des voix qui semblent étrangement réelles.

La manipulation psychologique est subtile mais dévastatrice. Si un e-mail ou un appel téléphonique inclut des références personnelles et adopte un ton familier, notre instinct nous pousse à obéir. L’IA peut extraire des données publiques, analyser les réseaux sociaux et assembler des détails pour créer des récits convaincants qui touchent juste là où il faut. « C’est un changement psychologique quand quelque chose sonne comme votre patron et que les références sont réelles », prévient DeFiore. « Votre instinct humain est d’obéir, et l’IA cible cet instinct de manière très efficace. »

Bobby Ford, Chief Strategy Officer chez Doppel, souligne que, tandis que la communauté de la sécurité s’est concentrée sur la défense contre les e-mails de phishing, les attaquants se sont tournés vers des canaux moins surveillés - comme les appels téléphoniques, les réseaux sociaux et les vidéos deepfake. Résultat ? Les organisations sont prises au dépourvu par des attaques qui contournent les filtres traditionnels et exploitent la couche de sécurité la plus vulnérable : la psychologie humaine.

Avec des outils d’IA désormais accessibles même aux criminels de bas niveau, les barrières au lancement d’attaques sophistiquées d’ingénierie sociale ont pratiquement disparu. Les fournisseurs de solutions de sécurité s’empressent de développer de nouvelles défenses, mais la course à l’armement est lancée. Une seule certitude : l’époque où il suffisait de « ne pas cliquer sur le lien » est révolue.

Le pare-feu humain

À mesure que les arnaques pilotées par l’IA deviennent plus avancées, les lignes de front se déplacent. Former les employés à reconnaître la manipulation, questionner les demandes inattendues - même venant de voix « de confiance » - et maintenir une vigilance technologique sont plus cruciaux que jamais. À l’ère de l’IA, le scepticisme n’est plus une option ; c’est une compétence de survie.

WIKICROOK

• Ingénierie sociale : L’ingénierie sociale est l’utilisation de la tromperie par des hackers pour amener des personnes à révéler des informations confidentielles ou à fournir un accès non autorisé à des systèmes.
• Phishing : Le phishing est un cybercrime où les attaquants envoient de faux messages pour inciter les utilisateurs à révéler des données sensibles ou à cliquer sur des liens malveillants.
• Deepfake : Un deepfake est un média généré par IA qui imite l’apparence ou la voix de personnes réelles, souvent utilisé pour tromper en créant de fausses vidéos ou audios convaincants.
• CISO (Chief Information Security Officer) : Un CISO est le cadre responsable de la stratégie de sécurité de l’information et des données d’une entreprise, supervisant les politiques de cybersécurité et la gestion des risques.
• Manipulation psychologique : La manipulation psychologique consiste à utiliser des tactiques trompeuses pour influencer les actions ou décisions des personnes, souvent afin d’obtenir un accès non autorisé ou des informations sensibles.