if ( !emtpy($headline_subheadline ) ) : ?>
L’IA comprime le cycle de vie des cyberattaques. Les défenseurs peuvent-ils suivre le rythme ?
endif; ?>
Les cybercriminels n’ont pas besoin de l’IA pour compromettre une organisation, mais l’IA fait son chemin dans les méthodes d’attaque classiques et modifie la rapidité avec laquelle ces attaques peuvent progresser. Les tâches qui obligeaient autrefois les attaquants à trier manuellement les informations et à reconstituer le fonctionnement d’une organisation peuvent être accélérées par l’IA, réduisant ainsi le temps dont disposent les défenseurs pour détecter et intervenir.
Un exemple récent de ceci est EvilTokens, une plate-forme de phishing en tant que service qui aide les attaquants à accéder aux boîtes de réception Microsoft 365, puis utilise l’IA pour analyser l’environnement afin de déterminer les prochaines étapes les plus efficaces. Identifié pour la première fois en février 2026, EvilTokens exploite le flux d’autorisation d’appareil d’OAuth 2.0 pour accéder aux comptes Microsoft sans avoir à créer de pages de connexion frauduleuses. Après avoir éliminé Storm-2992, l’acteur malveillant soupçonné d’être à l’origine du projet, en septembre, Microsoft a déclaré que l’opération EvilTokens exploitait l’IA « à chaque étape de la chaîne d’attaque ».
À mesure que l’IA élimine davantage les frictions qui ralentissent les attaquants, la sécurité dépendra non seulement de la rapidité avec laquelle les équipes réagissent aux menaces, mais également de ce qu’un attaquant peut accomplir avant de le faire.
L’IA élimine les frictions du cycle de vie des attaques
La plupart des cyberattaques peuvent être globalement considérées comme progressant en trois étapes : accès, expansion et impact.
Premièrement, un attaquant accède à l’environnement, que ce soit en volant des informations d’identification, en exploitant une vulnérabilité ou en manipulant socialement un employé. À partir de là, ils élargissent ce à quoi ils peuvent accéder et établissent la persistance. Enfin, ils utilisent leur position pour atteindre un objectif tel que voler des renseignements, commettre une fraude, déployer un ransomware ou perturber des opérations.
Tout au long du cycle de vie de l’attaque, l’IA peut donner aux attaquants plus de vitesse, d’échelle, de sophistication et d’endurance, ce que nous appelons chez SimSpace « les quatre S ». EvilTokens montre comment ces avantages peuvent être regroupés dans un seul service. Il permet aux attaquants d’exploiter le flux légitime d’authentification par code d’appareil de Microsoft, convainquant ainsi les victimes d’autoriser l’accès des attaquants sans communiquer leurs mots de passe. Une fois à l’intérieur, l’IA identifie qui contrôle les paiements, quelles relations commerciales suscitent la confiance et quelles factures ou transactions présentent des opportunités de fraude. Il recommande ensuite des cibles d’usurpation d’identité et rédige des messages frauduleux convaincants fondés sur de véritables conversations commerciales.
EvilTokens montre ce qui se passe lorsque l’analyse et la prise de décision assistées par l’IA deviennent une fonctionnalité packagée que les cybercriminels peuvent acheter. L’attaquant doit encore prendre pied, mais l’IA peut éliminer les frictions de tout le travail qui suit.
La performance doit être évaluée différemment
Le temps moyen de détection (MTTD) ou le temps moyen de réponse (MTTR) sont des mesures largement utilisées par les équipes de sécurité pour mesurer leurs performances. Les attaques assistées par l’IA modifient la pertinence de ces mesures, car la chronologie de l’attaquant peut également s’accélérer.
Si un attaquant assisté par l’IA compromet le compte d’un employé et qu’il faut 30 minutes aux équipes de sécurité pour le détecter, l’attaquant peut être en mesure d’accomplir bien plus pendant cette fenêtre qu’auparavant. Et à moins que la détection ne déclenche un confinement immédiat, l’horloge de l’attaquant continue de fonctionner et l’ampleur des dégâts potentiels augmente.
Cela change le contexte dans lequel MTTD et MTTR doivent être évalués. Une détection qui se produit avant qu’un attaquant n’aille au-delà du compte d’origine est bien plus précieuse qu’une détection qui se produit après que la persistance a été établie et que l’attaquant a identifié les personnes et les processus qu’il a l’intention d’exploiter.
La vitesse doit être mesurée par la rapidité avec laquelle une menace peut atteindre son impact, et non seulement par les performances antérieures d’une organisation.
Les contrôles doivent être testés ensemble
Un autre défi auquel sont confrontées les équipes de sécurité est que les technologies de sécurité sont souvent évaluées individuellement, même si les attaques réelles se propagent sur plusieurs systèmes.
Une attaque de type EvilTokens peut interagir avec de nombreux systèmes d’entreprise, tels que les outils de sécurité de la messagerie électronique, de vérification d’identité ou de surveillance du réseau, et n’importe laquelle de ces couches pourrait potentiellement interrompre l’attaque. Tester ces défenses de manière indépendante peut montrer si elles protègent des fonctions individuelles, mais cela ne fournit pas aux organisations beaucoup de certitude sur ce qui se passe lorsqu’un attaquant les traverse.
Comprendre comment les défenses fonctionnent ensemble nécessite de tester l’ensemble du chemin d’attaque, plutôt que de tester des techniques individuelles de manière isolée. Les équipes de sécurité peuvent recréer des scénarios d’attaque réalistes et mesurer le moment où l’activité initiale est détectée, ce que l’attaquant accomplit avant et après la détection, quels contrôles interrompent l’attaque et combien de temps il faut pour contenir l’activité.
L’exécution répétée de ces scénarios à mesure que les menaces et les technologies évoluent peut également montrer si l’intervalle entre l’accès initial et l’intervention défensive se rétrécit ou s’élargit. Plus important encore, cela donne aux équipes de sécurité la possibilité d’identifier où une attaque peut progresser et de remédier à ces faiblesses avant qu’elles ne soient exploitées lors d’un incident réel.
C’est l’idée qui sous-tend la sécurité préventive, une pratique émergente dans laquelle les équipes de sécurité se concentrent sur l’identification et la réponse aux actions plausibles qu’un attaquant pourrait entreprendre avant qu’elles ne le fassent réellement, plutôt que sur la détection et la réponse aux menaces actives.
La sécurité doit suivre le rythme de l’adversaire
EvilTokens est l’un des premiers exemples de la manière dont des acteurs malveillants peuvent appliquer l’IA à des techniques cybercriminelles établies. Tout ce qui permet aux criminels d’agir plus rapidement, de gérer davantage de cibles et d’opérer avec moins d’expertise est susceptible d’être adopté et reconditionné. Dans ce cas, les équipes de sécurité devront reconsidérer ce qui constitue une « bonne » performance défensive. Un MTTD ou un MTTR historiquement impressionnant signifie moins lorsqu’un attaquant assisté par l’IA peut accomplir beaucoup plus dans la même fenêtre.
Les défenseurs ne peuvent pas contrôler la rapidité avec laquelle les attaquants adoptent ces fonctionnalités, mais ils peuvent influencer les progrès qu’un attaquant peut réaliser avant d’être découverts et arrêtés. De plus en plus, cela nécessitera de regarder au-delà de la rapidité avec laquelle les organisations réagissent aux attaques et de se demander où un attaquant est susceptible de progresser avant qu’un incident ne se produise. Plus les organisations peuvent identifier et sécuriser ces vulnérabilités à l’avance, moins elles doivent compter sur la victoire dans une course contre un attaquant assisté par l’IA une fois que l’attaque a déjà commencé.
