Il y a encore quelques années, repérer un e-mail frauduleux était parfois presque trop facile. Une faute d’orthographe par-ci, une phrase étrange par-là, une devise incohérente, une adresse d’expéditeur suspecte… Autant de petits signaux qui permettaient de se méfier et de détecter une tentative de fraude.
Mais aujourd’hui, les choses ont bien changé !
L’intelligence artificielle générative permet désormais aux cybercriminels de créer des messages beaucoup plus crédibles, dans un français quasi impeccable et avec un niveau de personnalisation qui rend les anciennes méthodes de détection beaucoup moins efficaces et limpide.
Le problème n’est donc plus forcément de savoir si un message contient des fautes. Il faut apprendre à se demander pourquoi on nous demande quelque chose… et surtout si cette demande est réellement légitime et cohérente.
Des messages frauduleux de plus en plus crédibles
Les outils d’intelligence artificielle permettent de rédiger en quelques secondes un e-mail parfaitement structuré, dans pratiquement n’importe quelle langue. Ils peuvent également adapter le ton du message : professionnel, rassurant, urgent ou même particulièrement familier.
Pour un escroc, il devient ainsi beaucoup plus facile d’imiter le style d’une entreprise, d’une personne, d’un fournisseur ou d’une administration.
Et ce n’est que la partie visible de l’iceberg.
Les informations disponibles sur Internet ou issues de fuites de données peuvent être utilisées pour rendre une attaque beaucoup plus personnelle et crédible. le nom d’un collaborateur, sa fonction, entreprise où il travaille, les fournisseurs habituels, projet en cours ou période de vacances : plus l’escroc disposera d’informations, plus son scénario peut sembler crédible.
Imaginez par exemple recevoir un e-mail qui semble provenir de votre direction. Le message mentionne votre nom, celui d’un client que vous connaissez, une facture réellement attendue et vous demande simplement de procéder à son paiement.
Il n’y a aucune faute d’orthographe. Rien ne semble vraiment anormal et pourtant, tout peut être faux.
L’industrialisation de l’ingénierie sociale (social engineering)
C’est probablement l’un des changements les plus importants apportés par l’intelligence artificielle : elle permet de personnaliser les attaques sans nécessairement demander beaucoup plus de travail aux escrocs, tant sur la recherche d’informations que tu la préparations et la rédactions de l’attaque.
Auparavant, envoyer des centaines de messages personnalisés demandait du temps. Aujourd’hui, une grande partie de ce travail peut être automatisée à très grande échelle.
L’objectif n’est plus uniquement d’envoyer un maximum de messages en espérant qu’une personne tombe dans le piège. Il devient possible de construire des scénarios beaucoup plus précis, adaptés aux personnes ou structures visées.
C’est ce que l’on appelle l’ingénierie sociale : exploiter non pas une faille informatique, mais la confiance, des habitudes et des réflexes humains.
Quand la voix et le visage peuvent eux aussi être imités
Le phénomène ne s’arrête pas aux e-mails et autres courriers.
Les technologies capables de reproduire une voix ou de générer des images et des vidéos réalistes progressent rapidement. À partir d’un enregistrement vocal disponible en ligne, il est par exemple possible de créer une imitation suffisamment convaincante pour tromper quelqu’un au téléphone.
Le scénario peut être très simple : un proche appelle et explique qu’il a un problème urgent et qu’il a besoin d’argent. Ou un prétendu dirigeant contacte un collaborateur pour lui demander d’effectuer rapidement un paiement.
La voix semble familière. Le contexte paraît cohérent. L’urgence empêche parfois de prendre le temps de réfléchir à la situations.
Dans d’autres situations, les escrocs peuvent aller encore plus loin avec des visioconférences ou des vidéos permettant d’imiter l’apparence d’une personne, c’est ce qu’on appel le Deep Fake.
Le plus inquiétant est peut-être que nous avons tendance à faire davantage confiance à ce que nous voyons ou entendons qu’à un simple e-mail. Hé ben non. Il faut rester vigilent, méfiant et vérifier qui est son interlocuteur.
La bonne question à se poser : « Est-ce vraiment lui ? »
Face à ces nouvelles techniques, nos anciens réflexes doivent évoluer.
Il ne faut évidemment pas devenir méfiant envers chaque e-mail, chaque appel ou chaque visioconférence. En revanche, certaines demandes doivent systématiquement déclencher un petit temps d’arrêt, se poser, analyser, vérifier avec calme. Ne pas laisser la notion « d’urgence », prendre le dessus.
- Un changement de coordonnées bancaires ?
- Une demande de paiement inhabituelle ?
- Une transmission de données confidentielles ?
- Une demande urgente venant d’un supérieur ou d’un proche ?
- Une situation qui exige de ne surtout pas vérifier auprès de quelqu’un d’autre ?
Ce sont précisément ces moments-là qu’il faut prendre le temps de vérifier.
Le meilleur réflexe consiste à utiliser un autre moyen de communication. Si une demande arrive par e-mail, appelez directement la personne concernée avec son numéro habituel. Si elle arrive par téléphone, contactez-la par un autre canal sécurités et usuellement utilisé.
Et surtout, ne reprenez pas les coordonnées indiquées dans le message suspect pour effectuer cette vérification.
L’humain reste notre meilleure protection
L’intelligence artificielle donne de nouveaux outils aux escrocs, mais elle ne rend pas les fraudes impossibles à éviter. Elle nous oblige surtout à changer notre manière de les détecter et de travailler.
Demain, un message frauduleux pourra être parfaitement écrit. La voix pourra sembler authentique. Le visage pourra paraître réel. Le contexte lui-même pourra être soigneusement préparé.
Dans ce nouvel environnement, la question n’est donc plus seulement « Est-ce que ce message semble vrai ? ».
Il faut aussi apprendre à se demander : « Est-ce que cette demande est normale ? » et « Comment puis-je vérifier qu’elle vient réellement de la bonne personne ? ».
