ChatGPT et l’ingénierie sociale : comment l’IA rend les attaques de phishing plus dangereuses

L’IA générative abaisse considérablement le seuil d’entrée pour les attaques d’ingénierie sociale : des e-mails de phishing sans fautes d’orthographe dans n’importe quelle langue, des prétextes personnalisés à partir de données publiques et des voix Deepfake pour les attaques de Vishing. Pour les équipes de sécurité, un nouveau chapitre de la défense contre les menaces commence.

L’essentiel

• Situation des menaces : L’IA générative permet la création d’e-mails de phishing sans fautes d’orthographe et contextuels à l’échelle industrielle – la fin de la reconnaissance par les fautes d’orthographe.
• Scalabilité : Alors qu’auparavant, les recherches et les écrits étaient effectués manuellement, l’IA génère des attaques personnalisées en quelques secondes.
• Deepfakes : Les voix et vidéos générées par l’IA permettent le CEO Fraud et les attaques de Vishing à un niveau de qualité difficilement distinguable des appels réels.
• Défense : Les mesures techniques seules ne suffisent pas – la formation continue à la sensibilisation à la sécurité avec des scénarios spécifiques à l’IA devient obligatoire.
• Changement de paradigme : La prémisse « on reconnaît le phishing par les erreurs » est obsolète – de nouvelles méthodes de détection et des processus Zero-Trust sont nécessaires.

La fin de l’e-mail de phishing reconnaissable

Pendant des décennies, la règle de base était : les e-mails de phishing se reconnaissent aux fautes d’orthographe, à la mauvaise grammaire et au contenu générique. Cette règle est devenue caduque avec ChatGPT et des modèles similaires.

L’IA générative produit des textes sans fautes dans n’importe quelle langue et style linguistique. Un attaquant peut générer un texte de phishing qui imite le style de communication d’une entreprise, d’un département ou même d’une personne donnée. La qualité linguistique n’est plus le point faible – elle est parfaite.

Pire encore : l’IA permet la personnalisation à grande échelle. Alors qu’auparavant, un attaquant devait manuellement parcourir les profils LinkedIn et les sites web d’entreprises pour créer un prétexte convaincant, l’IA génère en quelques secondes des attaques personnalisées pour des centaines de cibles simultanément.

Deepfakes et Vishing : la prochaine étape de l’escalade

La menace ne se limite pas au texte. Les voix générées par l’IA sont désormais si réalistes qu’elles sont indifférenciables des voix réelles dans les conversations téléphoniques. Un audio Deepfake du PDG demandant au directeur financier d’effectuer un virement n’est plus un scénario de science-fiction – cela se produit déjà.

En février 2024, un employé d’une entreprise de Hong Kong a été convaincu de transférer 25 millions de dollars par un appel vidéo Deepfake avec des collègues prétendument authentiques. Tous les participants à l’appel étaient générés par l’IA.

Les coûts de tels attaques chutent rapidement. Des outils open-source comme Bark, Tortoise-TTS ou VALL-E peuvent cloner une voix avec quelques secondes de matériel audio. Pour les vidéos Deepfake, quelques photos disponibles publiquement et quelques minutes de temps de calcul suffisent. Le seuil technique d’entrée est pratiquement tombé à zéro.

Pourquoi la défense traditionnelle échoue

Les outils de sécurité des e-mails reconnaissent traditionnellement le phishing par trois signaux : les indicateurs techniques (anomalies d’en-tête, URL suspectes), les motifs linguistiques (phrases de phishing connues, erreurs grammaticales) et la réputation de l’expéditeur.

Le phishing généré par l’IA contourne deux des trois signaux. La langue est impeccable, les phrases sont originales et contextuelles. Seuls les indicateurs techniques restent comme caractéristique de reconnaissance – et ceux-ci sont de plus en plus professionnellement dissimulés.

Cela signifie : le taux de détection des filtres de phishing classiques diminue, tandis que le volume et la qualité des attaques augmentent. Un double coup qui remet en question fondamentalement la stratégie de défense actuelle.

Contre-mesures pour l’ère de l’IA

1. Sensibilisation à la sécurité 2.0 : La formation doit inclure des scénarios spécifiques à l’IA – langue parfaite, contenus personnalisés, appels Deepfake. Les employés doivent apprendre à ne pas se fier à la qualité linguistique, mais aux processus : les virements ne doivent être effectués qu’après rappel sur un numéro connu, les actions sensibles uniquement via des canaux vérifiés.

2. Contrôles basés sur les processus : Aucun transfert d’argent, aucun accès au système, aucune information sensible sur la base d’une seule communication – peu importe à quel point elle est convaincante. Le principe des quatre yeux et la vérification hors bande sont les contre-mesures les plus efficaces contre l’ingénierie sociale.

3. Détection assistée par l’IA : Paradoxalement, l’IA est également la meilleure défense. Les outils de sécurité des e-mails basés sur l’IA analysent les motifs de communication, les styles d’écriture et les anomalies de comportement – et détectent le phishing que les systèmes basés sur des règles ignorent.

4. Renforcement technique : DMARC, DKIM et SPF comme authentification des e-mails. FIDO2/Passkeys au lieu des mots de passe – l’authentification résistante au phishing élimine complètement le vecteur d’attaque le plus courant.

Faits clés en un coup d’œil

Taux de réussite du phishing avec l’IA : +135 % de taux de clics plus élevé pour les e-mails de phishing personnalisés par l’IA (IBM X-Force)

Dommage des Deepfakes : 25 millions de dollars de perte par un seul appel vidéo Deepfake (Hong Kong, 2024)

Coût d’un clonage de voix : Moins de 5 euros avec des outils open-source et quelques secondes de matériel audio

Phishing comme vecteur d’attaque : 91 % de toutes les cyberattaques commencent par le phishing (Verizon DBIR)

Source : IBM X-Force, Verizon DBIR, ARUP/Police de Hong Kong, 2023/24

Questions fréquentes

Chaque question est verrouillée. Un clic déverrouille la réponse.

ChatGPT peut-il être utilisé pour le phishing ?

OpenAI a intégré des mécanismes de sécurité qui bloquent la génération directe de phishing. Cependant, ces restrictions peuvent être contournées par un prompting habile. De plus, des modèles open-source non censurés existent, qui n’ont aucune restriction. La disponibilité n’est pas le goulot d’étranglement – c’est l’intention de l’attaquant.

Comment reconnaître les e-mails de phishing générés par l’IA ?

La perfection linguistique n’est plus un signal d’alerte. Faites plutôt attention à : des adresses d’expéditeurs inhabituelles (vérification technique), une urgence atypique, des écarts par rapport au modèle de communication normal et des demandes d’actions sensibles via des canaux inhabituels. En cas de doute : vérifier par un autre canal.

Les appels Deepfake sont-ils vraiment une menace réelle ?

Oui, et ils augmentent rapidement. La qualité des clones de voix est si élevée que même des employés proches peuvent être trompés. Les entreprises devraient introduire systématiquement une vérification hors bande pour les actions sensibles – rappel sur un numéro connu plutôt que réaction à un appel entrant.

L’authentification résistante au phishing aide-t-elle contre le phishing par l’IA ?

Oui, fondamentalement. Les clés FIDO2 et les Passkeys ne peuvent pas être compromis par le phishing, peu importe à quel point l’e-mail ou l’appel est convaincant. La mise en œuvre de l’authentification MFA résistante au phishing est la mesure individuelle la plus efficace contre toutes les formes de phishing.

À quelle fréquence la formation à la sensibilisation à la sécurité doit-elle avoir lieu ?

De manière continue, et non annuelle. Des unités courtes mensuelles avec des scénarios actuels sont plus efficaces qu’une formation obligatoire annuelle. Les campagnes de phishing simulées avec des e-mails générés par l’IA testent la vigilance au quotidien. Important : pas de punition, mais une culture d’apprentissage.

Lectures complémentaires dans le réseau

IA et tendances de la cybersécurité : www.securitytoday.de

IA dans l’utilisation en entreprise : www.mybusinessfuture.com

Leadership digital et sécurité : www.digital-chiefs.de

Source de l’image : Pexels / Sora Shimazaki