La cybercriminalité arrive en tête du baromètre des risques publié par l’assurance Allianz. La situation est d’autant plus complexe que les cybercriminels ont non seulement adopté une approche plus professionnelle, mais ils ont aussi capitalisé sur l’insécurité ambiante.
En 2022, plus de 23 000 nouvelles failles ont été découvertes. Leur exploitation est de plus en plus rapide et elle atteint un rythme alarmant. Difficile pour les équipes de sécurité de suivre ce rythme. La preuve, une étude de Risk Intel media note que l’email reste à 61 % le canal privilégié pour récupérer des identifiants.
80 % des vulnérabilités ne sont pas corrigées dans les 30 jours selon Nucleus Security, une solution de « Risk Based Vulnerability Management » (RBVM).
Pourtant, les cybercriminels restent fidèles à leur arme de prédilection : l’ingénierie sociale, qui prend généralement la forme de phishing. Menée par SoSafe, une plateforme de sensibilisation à la sécurité, une analyse du risque humain 2023 a révélé qu’elle arrivait toujours dans le top 3 des stratégies de cyberattaques les plus fructueuses, se classant même au second rang, aux côtés des malwares et des rançongiciels.
Un email de phishing créé en cinq minutes avec ChatGPT !
Plus de 61 % des professionnels de la cybersécurité affirment que leurs entreprises ont été la cible d’emails envoyés par des cybercriminels. Une tendance qui ne montre pas de signe de ralentissement… Et, les personnes malveillantes ont raison de continuer à utiliser cette technique puisque les données recueillies sur notre plateforme montrent qu’un utilisateur sur trois clique sur le contenu malveillant des emails d’hameçonnage.Si la technique reste toujours la même, les supports d’attaque évoluent sans cesse. Chaque nouveau canal de communication qui émerge ouvre de nouvelles opportunités aux cybercriminels : réseaux sociaux, applications de messagerie et plus récemment SMS.
Dans tous les cas, ce type d’attaque repose de plus en plus sur de l’ingénierie sociale pour leurrer les solutions logicielles traditionnelles. Et, l'intégration de la GenAI ne fait que compliquer la tâche des responsables de la cybersécurité.
Dans une récente étude publiée fin octobre par IBM X-Force, ChatGPT a créé en quelques minutes un email convaincant à partir de cinq simples prompts ! Le pire est donc à venir lorsque de plus en plus de cybercriminels exploiteront cette solution.
Nos dernières recherches chez SoSafe ont, en effet, montré que le taux d’ouverture des emails générés par l’IA était aussi élevé que ceux rédigés par une main humaine, à savoir 78 %. Si l’on compare le taux de clics sur les contenus potentiellement dangereux de l’email, les messages créés par IA étaient un peu moins performants avec un taux de 21 %. Selon une étude de Risk Intel media, une personne sur cinq a cliqué sur des emails générés par de l’IA.
L’être humain au centre de la cybersécurité
Comme toujours, des messages très ciblés sont extrêmement performants. Créés avec ChatGPT 4, leur taux de clics atteint 64,3 %. La conclusion de ces tests est évidente : l’intelligence artificielle offre aujourd’hui aux cybercriminels des outils très performants pour optimiser leurs tentatives de phishing.Cette évolution des techniques malveillantes implique des améliorations et des adaptations constantes. Mettre à jour les logiciels, optimiser la gestion des mots de passe, cloisonner son réseau… Autant de mesures indispensables, mais qui ne suffisent plus.
Les entreprises doivent se battre à armes égales. L’intelligence artificielle doit donc aider les équipes de cybersécurité en automatisant certaines tâches telles que la surveillance des activités inhabituelles susceptibles d’indiquer une violation sur les réseaux ou le déclenchement des premières réponses en cas d’incident de cybersécurité par l’isolation des systèmes infectés.
L’être humain doit être aussi replacé au centre de la problématique cyber. C’est déterminant. Cette nécessaire évolution implique de modifier en profondeur la façon dont les salariés sont sensibilisés aux menaces cyber.
Il faut des formations et des programmes de sensibilisation dynamiques, en phase avec les dernières tendances en matière de cybercriminalité. Les sessions traditionnelles ne suffisent plus.
Il faut capter l’attention de nos collaborateurs, les intéresser au sujet, les impliquer dans la lutte contre la cybercriminalité. Les entreprises doivent instaurer une culture vivante de la sécurité, adaptée au rythme du quotidien, tant professionnel que personnel. L’objectif est d’instaurer au sein de l’entreprise une solide culture de la cybersécurité.
Cependant, pour que ces bonnes habitudes s’installent dans le temps, il est indispensable d’attirer l’attention de ceux qui se trouvent au sommet de la hiérarchie, des instances dirigeantes.
La cybersécurité n’est pas une simple affaire de technologie. C’est l’affaire de tous !
Par Jean-Baptiste Roux, Vice President - International Sales chez SoSafe
