Olivier Debeney

Les entreprises et professions libérales face à la cybercriminalité

Le risque cyber constitue désormais un territoire de délinquance de masse. Il impose aux entreprises d’opérer un changement de paradigme sur le sujet pour se protéger face à cette insécurité de type numérique.

Par Benoît Fayet, membre du comité stratégique du CRSI

Les petites entreprises et les professions libérales, au même titre que les grandes entreprises ou organismes publics détenteurs de données personnelles, sont particulièrement exposées aux risques numériques et doivent en conséquence s’adapter et trouver des solutions pour se protéger de la cybercriminalité. Il s’agit de systématiser la prise en compte de cette menace. Penser son activité professionnelle sans intégrer le risque cyber est désormais l’assurance de conséquences potentiellement dramatiques sur le long terme.

Plus de 6 000 PME françaises victimes de cybercriminalité en 2023

Les entreprises françaises, ETI, PME ou grands groupes, au même titre que des structures publiques (hôpitaux, écoles, …) sont aujourd’hui massivement victimes d’incidents de sécurité informatique.

Plus de 6 000 PME françaises ont été attaquées sur les 12 derniers mois.

Des données sans doute minorées, pour 1 cyberattaque déclarée auprès des services de police, il y aurait plus de 50 cyberattaques en réalité, tentées ou réussies.

Les conséquences sont désastreuses puisque 60% des entreprises victimes de cybercriminalité déposent le bilan dans les 6 mois. Il est donc nécessaire que les entreprises prennent conscience du risque cyber, sans attendre de se faire attaquer pour réagir.

La cybercriminalité, un “marché” structuré et organisé

Le “marché” de la cybercriminalité s’est en effet considérablement transformé et structuré depuis quelques années. 70% des infractions “cyber” sont liées à des escroqueries, 25% sont liées à l’image et à la vie privée (cyber harcèlement, pédopornographie, etc.) et 5% sont véritablement du hacking, émanant de professionnels généralement liées à des attaques organisées par des groupes, voire des États dans un marché ou le caractère international des attaques est de plus en plus prégnant.

Désormais en effet, des groupes de cybercriminels sont constitués en véritables entreprises avec des stratégies et des objectifs pour réaliser un chiffre d’affaires et faire fructifier leurs activités. Aussi, ces cybercriminels visent ils en priorité les entreprises de taille moyenne du fait de leurs vulnérabilités avec de la donnée sensible qu’il est possible de faire “fuiter” et essentielle au bon déroulement des activités de ces entreprises sans laquelle elles pourraient être paralysées et qui sont donc des leviers pour les faire “chanter”. Les données médicales sont par exemple les données les plus lucratives pour les cybercriminels avec le coût d’un dossier médical pouvant atteindre 350 dollars sur le darkweb.

De plus, le risque cyber a été particulièrement renforcé avec la crise sanitaire. Le confinement a contraint les entreprises à laisser leurs salariés accéder aux réseaux internes depuis des appareils personnels, sans que ces réseaux n’aient été durcis en conséquence. Plus généralement, les entreprises payent aujourd’hui le prix d’une accélération de la digitalisation de la société alors même que leurs environnements informatiques se sécurisent peu à peu.

Cette situation est d’autant plus préoccupante que ces environnements sont de plus en plus interconnectés, générant des quantités de données qui sont autant de cibles. Les cybercriminels surfent aussi sur les nouvelles technologies qui leur offrent des opportunités comme le cloud qui a vu le nombre d’attaques contre ces serveurs doubler en 2023. L’intelligence artificielle est aussi un facteur de risque avec des technologies facilitant la tromperie des entreprises sur des périmètres de plus en plus large (clonage vocal, pretexting, …).

Des réponses possibles face à la cybercriminalité

1. Un enjeu clé de souveraineté qui engage une réponse étatique

En France, la cybercriminalité est prise en compte depuis la loi informatique et libertés (1978) et encadrée par un dispositif juridique prévoyant des peines allant jusqu’à cinq ans d’emprisonnement et 75 000 euros d’amende.

La France dispose de plusieurs structures dédiées à la répression de la cybercriminalité au sein d’un dispositif de défense de qualité mais morcelé et complexe. Il y a l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication (OCLCTIC) au sein de la Police judiciaire, le Centre de lutte contre les criminalités numériques (C3N) au sein de la Gendarmerie nationale ou encore la Brigade d’enquête sur les fraudes liées aux technologies de l’information (BEFTI) au sein de la préfecture de police de Paris auquel s’ajoute l’Agence nationale de la sécurité des systèmes d’information (ANSSI) qui pilote la stratégie de défense et de sécurité des systèmes d’information de la France. Un dispositif national d’assistance aux victimes de cybercriminels existe également (cybermalveillance.gouv.fr) permettant de les aider dans leurs démarches et proposant des programmes de formation (SensCyber).

2. Un enjeu clé pour les entreprises qui disposent de solutions pour se protéger

Les entreprises et professions libérales hébergent des données particulièrement recherchées par des cybercriminels qu’ils pourront revendre. Il s’agit de données dites sensibles, au sens du RGPD. Dans le cas d’un cabinet d’avocats, ces données peuvent être celles d’entreprises clientes couvertes par le secret des affaires (savoir-faire industriel, technique ou technologique, brevet ou marque, fichiers clients, activités commerciales, …). Il peut s’agir aussi de données personnelles confiées en vue d’une action en justice (données médicales, données d’identité, données financières, données liées à des activités professionnelles, …) qui sont des informations recherchées pour servir ensuite à des infractions liées à des usurpations d’identité.

Les actions de prévention ou de limitation des impacts

La plupart des infractions cyber peuvent être évitées, en mettant en place des systèmes de prévention. La cybersécurité d’une entreprise doit reposer sur les axes suivants :

• Mettre en place des dispositifs amont de sécurité informatique.
• Réaliser un audit de sécurité et une analyse des risques par un prestataire de service spécialisé.
• Identifier si  sa  structure  dispose d’informations sensibles, s’interroger sur l’endroit où sont stockées les données, …
• Identifier les données sur lesquelles la structure a des obligations de protection et de gestion aux termes du RGPD
• Evaluer la sécurité informatique des données utilisées et des équipements informatiques (stockage, propriété des informations, outils type messageries, etc.).
• S’appuyer sur l’audit pour mettre en place un dispositif de protection.
• Mettre en place des outils numériques sécurisés garantissant la sécurité des données et des échanges au sein de sa structure et vers l’extérieur.
• Mettre en  place  des  dispositifs  de protection qui permettent en cas d’attaque de revenir rapidement à une situation acceptable (sauvegarde et back-up de ses données essentielles, plan de continuité de l’activité informatique,…).
• Mettre en place au sein de son organisation des actions de sensibilisation et de formation des collaborateurs sur des règles d’hygiène numérique (parcours proposés par l’ANSSI, la CNIL, …).
• Intégrer le risque cyber dans les budgets pour l’achat de logiciels de protection, de matériel, mais aussi pour les moyens humains ou de formations pour mener les actions évoquées de formations ou les plans de prévention.

Les actions en réaction à une attaque

En réponse à une attaque, plusieurs points clés sont à retenir, autour des actions suivantes :

• Signaler rapidement les faits auprès des services de police et systématiquement porter plainte.
• Communiquer en transparence et rapidement aux enquêteurs toute trace ou preuve numérique que le cybercriminel aurait pu laisser comme sur une scène “physique” de crime.
• Solliciter le dispositif cybermalveillance.gouv.fr et se faire aider par des prestataires spécialisés pour mettre en place les actions de relance de l’activité.
• S’appuyer sur les liens existants à un niveau interprofessionnel (CGPME ou MEDEF, CNB,…) avec les structures type ANSSI afin de remonter les incidents.

En conclusion, les cyberattaques spectaculaires et médiatisées contre les infrastructures sont les prémices de difficultés voire de catastrophes qui peuvent désormais frapper tous les acteurs économiques privés. Compte tenu des enjeux attachés à leur secteur d’activité, les entreprises et professions libérales sont autant exposées que les autres. Il incombe donc à chacun de s’organiser en conséquence et de s’y préparer, avec l’aide de spécialistes, via des plans de prévention de hauts niveaux et surtout en éduquant chacun des collaborateurs des entreprises concernées. La première faille est humaine, et chacun doit être responsabilisé.

Intelligence artificielle et cyber-conflictualité

Depuis novembre 2022 et la sortie de ChatGPT 3, l’IA suscite un intérêt passionné – mais aussi teinté d’inquiétude – dans les médias, le grand public et le monde économique. Jamais une innovation ne s’était diffusée aussi vite : le million d’utilisateurs était atteint en cinq jours, les cent millions en moins de deux mois. Un débat mondial s’engageait à son égard.

Par Colomban Lebas, agrégé d’histoire et géographie, docteur en science politique.

Quelques mois après le lancement public de ChatGPT 3,5, apparaissait une version augmentée, ChatGPT 4, ce qui semblait impliquer une dynamique de progression très ascendante – à rapprocher de la loi de Moore, ininterrompue depuis les années 50, et prévoyant le doublement des capacités de calcul des circuits intégrés à base de transistors tous les 18 mois environ. Bientôt des entrepreneurs et des chercheurs de haut niveau s’inquiétaient d’une possible perte de contrôle du destin de l’humanité, au cas où les IA atteindraient trop vite et sans précaution un niveau d’intelligence apparente dépassant celui d’un humain convenablement éduqué (La fameuse AGI)…

Une telle rupture technologique n’aurait-elle pas inévitablement un impact significatif sur les équilibres régnant au sein du cyberespace en particulier matière de rapport offensive-défensive ?

Après un bref commentaire des performances actuelles des grands modèles de langage de type GPT, Gemini ou Claude, nous tenterons de mettre en évidence la manière dont ces IA pourraient transformer les pratiques ayant cours dans le champ de la cyberconflictualité.

Si à moyen/long terme, l’apparition d’IA à aux performances décuplées, capables de dépasser l’humanité   dans   nombre   de   tâches quotidiennes, constitue sans nul doute une rupture anthropologique profonde – car facteur  d’accélération  du  progrès techno-scientifique et porteuse de mutations qui affecteront l’ensemble des domaines d’activité – il convient néanmoins de resituer à sa place exacte la percée technologique en cours.

Les IA comme ChatGPT fonctionnent sur la base de grands modèles de langage (LLM), capables de sélectionner à partir d’une amorce textuelle les contenus les plus plausibles, sur la base d’un entraînement préalable supervisé portant sur un gigantesque corpus de données issues de la sphère numérique et tirant parti d’algorithmes probabilistes sophistiqués. La performance du système repose sur la capacité à effectuer massivement des calculs dans des délais de plus en plus brefs. Ce qui, incidemment, posera à terme d’importants problèmes énergétiques. Notons qu’en aucun cas les LLM (Large Language Models) ne comprennent ce qu’ils font. Il s’agit de simples programmes informatiques, agissant de manière purement mécanique.

A noter également que ces dispositifs ne constituent que l’une des manières de progresser en matière de simulation des intelligences humaines. Des voies alternatives sont possibles, et il est tout à fait plausible qu’à moyen/long terme, le progrès en IA emprunte d’autres chemins que celui des LLM. Toujours est-il que ce sont ces IA à base de LLM qui sont aujourd’hui à la disposition du grand public. D’utilisation assez simple, elles sont intrinsèquement reliées – par leurs modalités d’entraînement et de fonctionnement – au cyberespace, milieu en proie à une intense conflictualité dont l’origine et les modalités sont très diverses : rançonnage, intrusions, prises de contrôle hostile, acquisition de renseignement, opérations d’influence, déstabilisation du système de défense de l’adversaire…

Examinons désormais en quoi les IA contemporaines, fondées sur l’apprentissage supervisé et /ou automatique, type ChatGPT et concurrents, sont-elles susceptibles, aujourd’hui et dans l’avenir proche, de modifier les termes de la conflictualité dans le cyberespace ?

La sphère numérique se caractérise par sa très forte évolutivité. Le cycle de vie des outils qui y permettent l’action est en effet extrêmement court. Dans ce monde opaque et changeant, l’agilité des postures est le maître-mot. D’où l’avantage donné à l’offensive sur la défensive. D’où également la supériorité de principe des défenses mobiles sur les défenses statiques ou périmétriques. Dans ce cadre, l’usage d’outils d’attaque ou de défense fondés sur l’IA y apparaît a priori fort utile. Cette sphère est par ailleurs transversale à tous les autres milieux physiques d’action : terre, air, mer, espace,… d’où un important potentiel, hors-cyber (actions parfois qualifiées de “cinétiques”).

Le coût d’accès à la sphère cyber est par ailleurs très faible, tandis que se développent des outils d’IA généralistes quasi-gratuits. Alors qu’à l’inverse, les effets d’une attaque cybernétique peuvent procurer des gains considérables, comme par exemple la création d’une nouvelle configuration  du  champ  de  bataille, structurellement favorable, sans même avoir physiquement combattu,… ce qui, dans la perspective de penseurs comme Sun Tzu, établirait une situation stratégique “idéale”.

Cette sphère numérique est enfin le milieu où il est aujourd’hui le plus aisé aux IA de type LLM d’opérer,… en attendant la généralisation de leur appariement avec des agents physiques artificiels qui permettront de disposer de robots pleinement insérés dans la sphère matérielle, et pourtant dotés de la même quantité d’intelligence que ChatGPT 4 , 5 ou ses successeurs…

Il faut donc s’attendre dans les années qui viennent à un recours massif aux techniques d’IA dans la cyberconflictualité, qu’il s’agisse d’actions sur la couche sémantique, sur la couche logicielle, ou bien même sur la couche physique.

Il en sera ainsi, par exemple, des opérations de cyber-influence, qui seront de plus en plus friandes en outils à base d’IA.

• Dans le cadre d’une opération d’influence, intervenant sur la couche sémantique, L’IA permettra de créer très vite des agents conversationnels de propagande diffusant des contenus biaisés, ou bien comportant des informations volontairement erronées. L’automatisation par l’IA permet de créer massivement de tels agents, entraînant un effet de masse et saturation du “marché idéologique” susceptible de susciter massivement de fausses perceptions : théories complotistes, ou bien, au cours d’un conflit, impression que l’on perd alors que dans la réalité on progresse, etc.
• Le recours à des IA à des fins de persuasion peut s’avérer très productif car les LLM les plus performants s’avèrent dès aujourd’hui plus convaincants qu’un  humain réel. Les IA récentes sont par ailleurs plus empathiques que ces derniers.
• De plus en plus, L’IA permettra de diffuser massivement et de manière toujours plus crédibles, des fausses images, de faux fichiers vocaux, de fausses vidéos, de fausses interviews, même si certaines IA pourraient inversement s’avérer performantes dans le repérage des “fakes”.
• L’IA permettra d’aller toujours plus loin dans l’hyper-personnalisation des contenus, affinant d’autant les techniques de manipulation de masse.
• Le recours à des agents conversationnels à base d’IA performantes peut être utile pour effectuer des tâches de renseignement comme le repérage et la priorisation de cibles en vue d’opérations ultérieures, y compris dans la sphère Dans tous les cas, l’IA pourra être mobilisée pour repérer le plus rapidement et le plus exhaustivement possible l’ensemble optimal des cibles à soumettre à une attaque cyber donnée, par exemple dans le cadre d’une opération d’intrusion et de vol de données ou bien d’influence. Des techniques comme l’eye tracking, la reconnaissance des émotions, le neurohacking ou bien la détermination de patterns de comportement à travers l’exploitation d’objets connectés à diffusion aujourd’hui exponentielle, peuvent être mobilisées pour affiner la connaissance de la cible. Elles faciliteront sa manipulation ultérieure : captation d’attention, exploitation rationnelle des circuits de la récompense… les leviers à disposition sont nombreux et variés !

Hors de la couche sémantique ensuite, l’IA va également être déterminante : au plan logiciel, elle change la donne. Elle met en effet – et elle mettra  toujours  plus – de capacités de programmation automatisées à la disposition de ses utilisateurs.

Autrement dit, il deviendra de plus en plus facile à des pirates, même peu avancés en programmation, de réaliser des outils relativement sophistiqués, et en un temps très bref puisque l’IA code extrêmement rapidement. Le consensus des experts s’attend d’ailleurs à une poursuite de la progression exponentielle des performances des LLM dans les tâches de programmation.

Enfin, au plan des actions offensives matérielles à des fins de perturbation de la couche physique, il est clair que le développement de drones ou de robots d’attaque, dont la part d’autonomie ira croissant en particulier grâce à l’IA, ouvre d’importantes perspectives : des drones, toujours plus denses en outils fondés sur l’IA, pourraient apprendre à perturber le fonctionnement d’infrastructures-clés des réseaux. Par exemple des drones ou robots sous-marins, dopés à l’IA – particulièrement utile ici pour pallier l’opacité du milieu sous-marin vis-à-vis des ondes électromagnétiques, qui rend quasi-impossible leur téléopération sans fil. Ces drones pourraient perturber efficacement et en toute discrétion le fonctionnement de câbles sous-marins.

Inversement, n’oublions pas que l’IA ouvre également d’importantes perspectives en matière de défense cyber : mise au point plus rapide de parades logicielles (antivirus par exemple, patchs correctifs de failles logicielles) en utilisant les capacités de codage rapide de l’IA. L’analyse de la stratégie des attaquants pourra également être facilitée par le recours à l’IA en matière d’observation du comportement de l’adversaire, de détection des intrusions et des manipulations, d’identification des dégradations commises et compréhension générale de la manœuvre et du dispositif d’attaque auxquels on fait face. En cas d’attaque portant sur le capital réputationnel d’un acteur, l’IA rendra la détection des signaux faibles plus aisée et permettra d’engager au plus vite des actions correctives.

En conclusion, les technologies relevant de l’IA modifient considérablement les outils à disposition pour agir dans le cyberespace autant au plan offensif que défensif, et ce, pour les couches tant sémantiques que logicielles ou physiques. La plus ou moins grande maîtrise de ces techniques sera l’un des paramètres décisifs du rapport de force et de la relation offensive/défensive lors des conflits à venir. L’irruption de l’IA grand public accentuera encore la porosité entre sphère civile et sphère militaire dans le cyberespace, fragilisera de nombreux États et démocratisera toujours plus l’usage de techniques d’attaques qui autrefois étaient l’apanage d’acteurs chevronnés. Sans une réelle volonté politique régulatrice, dotée de moyens convenablement dimensionnés, il pourrait en résulter une explosion des récits divergents, une prolifération des théories complotistes et une dangereuse relativisation du concept même de Vérité. La maîtrise des technologies fondamentales de l’IA ainsi que la capacité à les appliquer à la sphère militaire et sécuritaire apparaissent donc incontournables pour une puissance comme la France, membre permanent du Conseil de Sécurité de l’ONU : il en va de sa crédibilité future et de sa liberté de manœuvre dans le monde complexe et instable du XXIe siècle, qui, sous nos yeux, s’esquisse.