Cyberattaques par IA : transformer une menace systémique en avantage de gouvernance
L’intelligence artificielle ne se contente plus d’optimiser les processus métiers. Elle redessine aussi le paysage des menaces cyber. Les attaquants – États, groupes criminels organisés, activistes – exploitent désormais l’IA pour industrialiser, personnaliser et accélérer leurs offensives.
Pour un COMEX, l’enjeu n’est pas de maîtriser les détails techniques, mais de comprendre ce que ces évolutions changent en profondeur : dans la gouvernance, la gestion des risques, la résilience opérationnelle et la confiance des parties prenantes.
1. Comment l’IA change la nature des cyberattaques
1.1. De l’artisanat à l’industrialisation intelligente
Historiquement, beaucoup de cyberattaques reposaient sur un travail “manuel” : rédaction de mails de phishing, repérage des cibles, tests de mots de passe, etc. L’IA fait sauter ce plafond de verre.
Les modèles de langage et autres algorithmes permettent désormais de :
Générer des milliers de messages de phishing, tous différents, tous crédibles.
Adapter le ton, le vocabulaire et les références au secteur, au pays, voire à la culture d’entreprise.
Automatiser la recherche d’informations publiques (sites, réseaux sociaux, communiqués, rapports annuels) pour affiner le ciblage.
Résultat : le coût marginal d’une attaque baisse drastiquement, alors que son efficacité augmente. Des campagnes autrefois réservées à quelques cibles “premium” deviennent rentables à grande échelle.
1.2. Hyper‑personnalisation des attaques contre les dirigeants
Les COMEX et directions générales deviennent des cibles privilégiées, car ils concentrent :
Le pouvoir de décision (validation de paiements, arbitrages stratégiques, annonces sensibles).
L’accès à des informations critiques (fusions-acquisitions, restructurations, incidents majeurs).
Une forte exposition publique (interviews, conférences, réseaux sociaux).
L’IA permet de construire des scénarios d’attaque très crédibles :
E‑mails ou messages instantanés imitant parfaitement le style d’un dirigeant.
Faux documents ou présentations reprenant la charte graphique et le langage interne.
Faux profils sur les réseaux sociaux, capables de dialoguer de manière cohérente sur la durée.
La frontière entre “vrai” et “faux” devient floue, surtout dans les situations d’urgence ou de forte pression.
1.3. Attaques plus rapides, plus adaptatives, plus silencieuses
Au‑delà du phishing, l’IA renforce toutes les phases d’une attaque :
Reconnaissance : cartographie automatique des systèmes exposés, des partenaires, des filiales, des prestataires.
Intrusion : génération et test automatisés de mots de passe, exploitation de failles connues à grande échelle.
Mouvement latéral : exploration intelligente du système une fois à l’intérieur, pour atteindre les actifs les plus critiques.
Effacement des traces : analyse et modification des journaux techniques pour retarder la détection.
L’attaquant apprend en continu, ajuste ses tactiques en fonction des défenses rencontrées, et peut rester longtemps sous le radar.
1.4. Désinformation, manipulation et atteinte à la confiance
L’IA générative facilite aussi les attaques visant la réputation et la confiance :
Faux communiqués de presse ou faux posts attribués à un dirigeant.
Faux enregistrements audio ou vidéo (deepfakes) utilisés pour influencer une décision, une négociation ou une annonce.
Campagnes coordonnées de désinformation pour déstabiliser un groupe, un secteur ou un pays.
Pour une entreprise, l’impact peut être majeur : chute de confiance des clients, volatilité boursière, tensions internes, perte de crédibilité auprès des régulateurs.
2. Pourquoi ces menaces concernent directement le COMEX
2.1. Un risque systémique, pas un simple problème “IT”
Les cyberattaques par IA touchent simultanément plusieurs dimensions :
Financière : fraude, rançon, interruption d’activité, pénalités réglementaires.
Opérationnelle : indisponibilité de systèmes critiques, perturbation de la chaîne de valeur.
Réputationnelle : perte de confiance des clients, partenaires, investisseurs.
Réglementaire : non‑conformité aux exigences (NIS2, DORA, RGPD, etc.), enquêtes et sanctions.
Ce n’est donc plus un sujet cantonné à la DSI ou au RSSI. C’est un risque d’entreprise, qui doit être piloté au même niveau que les risques financiers, juridiques ou stratégiques.
2.2. Une question de responsabilité et de devoir de vigilance
Les régulateurs, les actionnaires et les conseils d’administration attendent désormais des COMEX :
Qu’ils comprennent les grands scénarios de risque cyber, y compris ceux amplifiés par l’IA.
Qu’ils démontrent une gouvernance structurée : rôles clairs, décisions tracées, arbitrages documentés.
Qu’ils soient capables de piloter une crise cyber majeure, avec des impacts potentiellement systémiques.
Ignorer ces enjeux ou les déléguer entièrement à la technique expose la direction à des critiques sévères en cas d’incident majeur.
2.3. Une opportunité de différenciation stratégique
À l’inverse, un COMEX qui prend le sujet à bras‑le‑corps peut transformer la contrainte en avantage :
Meilleure résilience opérationnelle que ses concurrents.
Capacité à rassurer clients, partenaires et régulateurs sur la solidité de sa gouvernance.
Attractivité renforcée pour les talents, notamment dans les fonctions critiques (IT, sécurité, finance, juridique).
La cybersécurité – et en particulier la gestion des menaces liées à l’IA – devient alors un levier de compétitivité et de confiance.
3. Comment mieux se défendre : 4 axes pour le COMEX
Axe 1 – Repenser la gouvernance cyber à l’ère de l’IA
3.1. Clarifier les rôles et les circuits de décision
Quelques questions clés pour le COMEX :
Qui porte la responsabilité globale du risque cyber au sein de la direction ?
Comment le RSSI / CISO est‑il intégré aux décisions stratégiques (comité de risques, comités d’investissement, M&A) ?
Les enjeux liés à l’IA (opportunités et risques) sont‑ils traités de manière transversale, ou en silos ?
Une gouvernance robuste implique :
Un sponsor clair au niveau du COMEX (par exemple le Directeur Général, le Directeur des Risques ou le Directeur Financier).
Un dialogue régulier et structuré entre le RSSI, la DSI, les métiers, le juridique, la conformité et la communication.
Des circuits de décision définis pour les situations de crise (qui décide quoi, en combien de temps, avec quelles informations).
3.2. Intégrer l’IA dans la cartographie des risques
Les scénarios d’attaques par IA doivent être intégrés dans la cartographie globale des risques :
Phishing ciblé contre les dirigeants et fonctions clés.
Fraude au président amplifiée par des deepfakes audio ou vidéo.
Attaques sur la chaîne de valeur (fournisseurs, partenaires, prestataires) pilotées par IA.
Campagnes de désinformation visant la réputation de l’entreprise ou d’un dirigeant.
Pour chaque scénario, il s’agit de :
Identifier les actifs critiques concernés (systèmes, données, processus, personnes).
Évaluer l’impact potentiel (financier, opérationnel, réputationnel, réglementaire).
Définir les mesures de prévention, de détection et de réponse.
Axe 2 – Renforcer la “ligne humaine” de défense
Les attaques par IA exploitent d’abord les comportements humains. La technologie seule ne suffit pas.
3.3. Sensibiliser spécifiquement les dirigeants et fonctions sensibles
Les formations génériques ne sont plus adaptées. Il faut des dispositifs ciblés pour :
Les membres du COMEX et du Conseil d’Administration.
Les directions Finance, Juridique, Achats, RH, Communication.
Les équipes en première ligne sur les opérations critiques.
Ces dispositifs peuvent inclure :
Des ateliers de sensibilisation basés sur des cas réels adaptés au secteur.
Des simulations d’e‑mails ou de messages générés par IA, très crédibles, pour tester les réflexes.
Des exercices de crise impliquant des scénarios de désinformation ou de fraude sophistiquée.
3.4. Installer une culture du doute raisonné
Face à des attaques de plus en plus crédibles, il devient essentiel de légitimer certains réflexes simples :
Vérifier par un autre canal toute demande urgente et inhabituelle (changement de RIB, virement exceptionnel, partage de document sensible).
Accepter de “perdre 5 minutes” pour vérifier, plutôt que de risquer de perdre des millions.
Donner le droit – et même le devoir – de dire “non” ou “je vérifie” face à une pression hiérarchique apparente.
Cette culture doit être portée explicitement par le COMEX, dans ses messages et dans ses propres comportements.
3.5. Simplifier et sécuriser les processus critiques
Les procédures complexes ou floues sont des terrains de jeu idéaux pour les attaquants. Il est donc clé de :
Cartographier les processus sensibles (paiements, validation de contrats, accès à des données critiques).
Clarifier les étapes de validation, les seuils d’alerte, les contrôles de cohérence.
Intégrer des garde‑fous simples : double validation, rappels automatiques, journalisation des décisions.
L’objectif est de rendre la fraude plus difficile, même lorsque le message initial semble parfaitement crédible.
Axe 3 – Mettre l’IA au service de la défense
L’IA n’est pas seulement une arme pour les attaquants. Bien utilisée, elle renforce aussi la posture de défense.
3.6. Détection avancée des comportements anormaux
Les outils de sécurité basés sur l’IA peuvent :
Analyser en continu les connexions, les accès et les mouvements de données.
Repérer des comportements inhabituels (connexion depuis un pays inattendu, accès massif à des fichiers sensibles, activité nocturne anormale).
Croiser ces signaux faibles pour alerter plus vite les équipes de sécurité.
Pour le COMEX, l’enjeu est de :
Valider les investissements nécessaires.
S’assurer que ces outils sont intégrés dans une stratégie globale, et pas déployés en silos.
Demander des indicateurs simples sur leur efficacité (temps de détection, nombre d’incidents évités, etc.).
3.7. Filtrage intelligent des e‑mails et des contenus
Les solutions de filtrage basées sur l’IA peuvent :
Identifier des patterns de phishing, même lorsque le texte est bien rédigé et personnalisé.
Détecter des pièces jointes ou des liens suspects, même s’ils ne sont pas encore répertoriés comme malveillants.
Adapter les protections en fonction du profil de l’utilisateur (exposition, sensibilité des données manipulées).
Là encore, le rôle du COMEX est de :
Arbitrer entre niveau de protection et confort d’usage.
S’assurer que les équipes métiers comprennent les limites de ces outils (aucune solution n’est infaillible).
Intégrer ces protections dans une approche globale “défense en profondeur”.
3.8. Automatiser certaines réponses pour gagner en réactivité
Dans un contexte où les attaques sont plus rapides, l’automatisation devient un atout :
Isolement automatique d’un poste suspect.
Blocage temporaire d’un compte en cas de comportement anormal.
Alerte immédiate des équipes de sécurité et, si nécessaire, des équipes métiers concernées.
Le COMEX doit veiller à ce que :
Ces automatisations soient encadrées (pour éviter des blocages intempestifs qui paralysent l’activité).
Les scénarios d’activation soient clairs et testés régulièrement.
Les impacts potentiels sur la continuité d’activité soient pris en compte.
Axe 4 – Aligner IA, conformité et résilience
Les nouvelles réglementations (NIS2, DORA, etc.) renforcent les exigences en matière de gouvernance, de gestion des risques et de continuité d’activité. L’IA s’inscrit pleinement dans ce cadre.
3.9. Documenter les choix et les arbitrages
En cas d’incident majeur, les régulateurs et les parties prenantes chercheront à comprendre :
Quels risques avaient été identifiés, et comment.
Quels moyens avaient été alloués à la prévention, à la détection et à la réponse.
Comment les décisions ont été prises et tracées.
Il est donc essentiel de :
Documenter les analyses de risques, y compris celles liées à l’IA.
Tracer les arbitrages budgétaires et les priorités retenues.
Conserver les comptes rendus des comités de risques et des exercices de crise.
3.10. Tester régulièrement la résilience, avec le COMEX à bord
Les plans de continuité et de réponse à incident doivent être testés, pas seulement rédigés :
Exercices de crise simulant une attaque par IA (phishing ciblé, deepfake, fuite de données, désinformation).
Implication directe du COMEX et des directions clés, pour tester la prise de décision en situation de stress.
Débriefings structurés pour identifier les points forts, les faiblesses et les actions correctives.
Ces exercices permettent aussi de renforcer la cohésion entre les équipes techniques, métiers, juridiques et communication.
3.11. Piloter dans la durée avec des indicateurs lisibles
Le COMEX a besoin d’indicateurs simples, mais pertinents, pour piloter le risque cyber à l’ère de l’IA :
Temps moyen de détection et de réaction aux incidents.
Niveau de protection des actifs critiques (cartographie, segmentation, sauvegardes).
Taux de réussite des simulations de phishing, en particulier auprès des dirigeants et fonctions sensibles.
Avancement des plans de mise en conformité (NIS2, DORA, etc.).
L’objectif n’est pas de suivre des dizaines de KPI techniques, mais de disposer d’un tableau de bord clair pour orienter les décisions.
4. En conclusion : faire de l’IA un levier de résilience, pas seulement une menace
Les cyberattaques par IA ne sont pas un phénomène passager. Elles s’inscrivent dans une transformation profonde du paysage des risques numériques.
Pour un COMEX, la question n’est plus :
“Sommes‑nous une cible ?”mais :“Sommes‑nous une cible intéressante et facile ?”
En reprenant la main sur la gouvernance, en renforçant la ligne humaine de défense, en mettant l’IA au service de la protection et en alignant ces efforts avec les exigences réglementaires, une organisation peut :
Réduire significativement sa surface d’attaque.
Améliorer sa capacité de détection et de réaction.
Renforcer la confiance de ses clients, partenaires, régulateurs et collaborateurs.
Les entreprises qui feront cet effort dès maintenant transformeront une menace systémique en avantage de gouvernance : celui d’une organisation capable de décider vite, de manière éclairée, même au cœur de la tempête numérique.
Commentaires