Hameçonnage multicanal, deepfakes, agents autonomes : l’IA offre aux cybercriminels des attaques d’une crédibilité inédite. Pour Florian Malecki, vice-président EMEA de KnowBe4, l’erreur humaine ne peut plus être traitée comme une faute individuelle. Elle doit devenir un signal, et le collaborateur, lui, le premier rempart de l’entreprise.
Une vidéo arrive un matin sur le poste d’un directeur financier. Son PDG y apparaît et lui demande d’agir vite. Un détail l’arrête pourtant : le dirigeant, d’ordinaire tiré à quatre épingles, porte un survêtement. « Il s’est dit que ça paraissait suspect et il a eu la bonne idée de signaler l’attaque au département de sécurité informatique », raconte Florian Florian Malecki. La vidéo était un deepfake. Aucun outil ne l’avait repérée : un œil humain, si. Pour le vice-président EMEA de KnowBe4, qui rapporte l’épisode sans nommer l’entreprise, le salarié n’est plus seulement le maillon qu’on cherche à corriger, mais celui sur lequel on peut s’appuyer.
Des attaques taillées sur mesure
L’IA permet d’identifier à grande vitesse des vulnérabilités connues de longue date, voire inédites, et de multiplier les offensives. Surtout, elle abaisse la barrière d’entrée.
L’IA permet de démocratiser l’attaque
Florian Malecki, vice-président EMEA de KnowBe4
Plus besoin de solides compétences techniques pour lancer une campagne, et le niveau de sophistication grimpe dans le même temps.
Les attaques ne passent plus par un seul canal. Un email de phishing peut être suivi d’un SMS, d’un message vocal, d’un QR code piégé ou d’une vidéo truquée, selon des séquences pensées pour mettre la cible sous pression. Pour rendre ces scénarios plausibles, les attaquants s’appuient sur l’IA afin d’aspirer les informations que chacun publie sur les réseaux sociaux. Le contenu, le contexte et le timing collent alors au plus près de la réalité de l’employé visé. La frontière entre vie privée et vie professionnelle n’arrange rien : une messagerie personnelle consultée au bureau suffit à ouvrir une brèche.
Les chiffres traduisent l’ampleur du phénomène. Selon le dernier rapport de KnowBe4, 90 % des organisations ont signalé des incidents causés par des erreurs de leurs salariés. Face à des messages aussi bien ciblés, un clic malheureux relève plus de la probabilité que de la négligence.
Signaler plutôt que dissimuler
Si l’erreur devient inévitable, la manière de la traiter change tout. Or la honte d’avoir cliqué reste tenace dans les entreprises, et elle pousse certains collaborateurs à se taire. Florian Malecki plaide pour l’inverse : déculpabiliser.
Si tu as fait une erreur, ça arrive. Il faut le dire le plus rapidement possible
Florian Malecki, vice-président EMEA de KnowBe4
Un signalement précoce permet aux équipes de sécurité d’isoler l’attaque et de la stopper avant qu’elle ne se propage. Avec l’IA, la fenêtre de réaction se resserre considérablement, et chaque minute de silence profite à l’attaquant.
Cette logique suppose d’en finir avec la formation annuelle cochée pour la conformité. “Je fais une formation, je réponds à un questionnaire au mois de mars, et ça y est, je suis conforme. Non, ça doit être permanent”, tranche le dirigeant. KnowBe4 parle d’un indicateur, le Phish-Prone Percentage, qui mesure la probabilité qu’un salarié clique sur un lien malveillant. Selon l’éditeur, ce taux recule nettement après quelques mois de campagnes de simulation et de sensibilisation continues.
L’intérêt réside aussi dans la granularité. Les résultats peuvent être analysés par service (marketing, finance, commercial) ou par pays. Les équipes de sécurité repèrent ainsi les zones de fragilité, adaptent les contenus et renforcent si besoin les protections techniques sur les périmètres concernés. Lorsqu’un collaborateur se fait piéger lors d’un test, la réponse n’est pas la sanction mais un contenu adapté, un quiz ou un nouvel exercice. L’IA, qui sert les attaquants, permet aussi de personnaliser cette pédagogie.
L’agent IA, un nouveau collègue à encadrer
L’erreur humaine ne se limite plus au clic. Elle se déplace désormais vers les agents IA, que les collaborateurs utilisent souvent sans cadre. Interdire ces outils ne fonctionne pas, prévient Florian Malecki : les salariés se tourneront vers leurs appareils personnels et y copieront des informations professionnelles, avec à la clé un risque de fuite de données confidentielles. Il recommande de revenir aux fondamentaux, c’est-à-dire de définir les agents tolérés dans l’entreprise, d’établir une politique de sécurité dédiée et de former les équipes à leur usage. Les prompts restent rédigés par des humains, et leur qualité conditionne le comportement de l’agent.
Car ces outils changent de nature. “On passe d’un copilote à un collègue”, résume le vice-président de KnowBe4. Un agent découpe une tâche en étapes et prend des initiatives pour atteindre son but. Chargé d’aller de Paris à Monaco, il n’hésitera pas à passer par Nantes si sa logique l’y conduit, sans le recul qui ferait juger le détour absurde. Les entreprises doivent donc superviser ce que font réellement leurs agents, recadrer les comportements anormaux, voire tout arrêter. Les concepteurs eux-mêmes reconnaissent ne pas disposer d’une visibilité complète sur ce qu’accomplissent ces systèmes.
Cette vigilance concerne les organisations de toutes tailles. Dans un tissu économique très interconnecté, une petite entreprise sous-traitante peut servir de porte d’entrée vers un grand groupe. “Les attaquants ne vont pas forcément aller en frontal, ils passent par les portes de jardin”, observe-t-il. Face à cette course de vitesse, la technologie ne suffira pas. Le directeur financier évoqué plus haut n’a pas eu besoin d’un outil de détection pour déjouer le deepfake : un survêtement mal placé et le réflexe de douter lui ont suffi.
