Les organisations ont passé des années à apprendre à leurs employés à faire confiance à ce qu’ils voient et entendent.
Cependant, les progrès de l’intelligence artificielle (IA) sapent rapidement ces présupposés.
Une récente démonstration en direct sur LinkedIn de HYPR a montré avec quelle rapidité et quelle facilité un deepfake convaincant peut être créé à l’aide d’outils disponibles gratuitement et d’images accessibles au public.
Au cours de la démonstration, HYPR , son PDG et cofondateur Bojan Simic, a illustré comment un attaquant pouvait créer un deepfake en direct en quelques minutes en combinant une photo trouvée en ligne, un logiciel open source et une application de caméra virtuelle.
Points clés à retenir
- La création de deepfakes est désormais accessible à presque tout le monde. Les outils gratuits, les images accessibles au public et les tutoriels en ligne peuvent permettre de mener en quelques minutes des attaques convaincantes d’usurpation de la voix et de l’image vidéo.
- Les signaux de confiance traditionnels deviennent peu fiables. Les voix et les visages générés par IA peuvent imiter des dirigeants, des employés et des partenaires de confiance, ce qui rend insuffisante la seule vérification visuelle et audio.
- Les deepfakes accroissent les risques d’ingénierie sociale et de fraude. Les attaquants peuvent utiliser des usurpations générées par IA pour influencer des transactions financières, obtenir un accès non autorisé ou dérober des informations sensibles.
- Les organisations doivent mettre en place une vérification de l’identité à plusieurs niveaux. Les processus de confirmation hors bande, la confiance accordée aux appareils et les méthodes de vérification multiples peuvent contribuer à réduire le risque d’attaques d’usurpation réussies.
- L’authentification résistante au phishing est essentielle. Les clés d’accès, l’authentification basée sur FIDO, les clés de sécurité matérielles et l’assurance continue de l’identité offrent une protection plus solide que le seul jugement humain.
Les attaques par deepfake sont de plus en plus faciles à lancer
La démonstration a mis en évidence une préoccupation croissante en matière de cybersécurité : les attaques d’usurpation sophistiquées ne sont plus l’apanage des acteurs étatiques ni des cybercriminels hautement qualifiés.
Au contraire, les outils nécessaires pour cloner des visages, des voix et des identités sont désormais largement disponibles et faciles à utiliser.
Selon Simic, la création d’un deepfake convaincant nécessitait autrefois une expertise spécialisée en IA, du matériel coûteux et beaucoup de temps.
Aujourd’hui, le processus peut être réalisé en moins de cinq minutes à l’aide de logiciels gratuits, de tutoriels accessibles au public et d’un ordinateur basique.
Cela abaisse considérablement la barrière à l’entrée pour les acteurs malveillants qui cherchent à mener des attaques de fraude, d’ingénierie sociale ou de compromission de comptes.
Les risques associés aux deepfakes continuent de croître à mesure que les organisations s’appuient davantage sur les communications à distance et les interactions numériques.
Les attaquants peuvent utiliser des contenus audio et vidéo générés par IA pour se faire passer pour des dirigeants, des employés, des fournisseurs ou des partenaires de confiance lors de visioconférences, d’appels téléphoniques ou de processus de vérification d’identité.
Dans certains cas, l’ingénierie sociale rendue possible par les deepfakes a été associée à d’importantes pertes financières après que des employés ont été convaincus qu’ils communiquaient avec de véritables dirigeants de l’entreprise.
Pourquoi la vérification traditionnelle de l’identité échoue
L’un des principaux défis tient au fait que les méthodes traditionnelles d’établissement de la confiance deviennent moins fiables.
Pendant des décennies, les organisations se sont appuyées sur des indices visuels et auditifs pour vérifier l’identité.
Si une personne avait l’apparence et la voix de l’individu attendu, cela était souvent considéré comme une preuve suffisante.
La technologie des deepfakes remet en cause cette hypothèse. Comme l’a souligné Simic, « voir ne suffit plus à croire, et entendre ne constitue plus une preuve ».
De nombreux programmes de sensibilisation à la sécurité encouragent encore les employés à surveiller les comportements inhabituels, les anomalies visuelles ou les incohérences au cours des conversations.
Si la vigilance des utilisateurs reste importante, la technologie des deepfakes progresse rapidement, ce qui rend le seul jugement humain de plus en plus fragile comme ligne de défense.
Les attaquants exploitent précisément la tendance naturelle à faire confiance aux voix et aux visages familiers.
Comment les organisations peuvent réduire les risques liés aux deepfakes
Pour réduire les risques, les organisations doivent adopter une approche à plusieurs niveaux de la vérification de l’identité.
Premièrement, les actions critiques telles que les virements bancaires, les demandes d’accès privilégié, les réinitialisations de mots de passe et la divulgation de données sensibles doivent nécessiter plusieurs formes de vérification.
Les organisations doivent instaurer des processus de vérification hors bande utilisant des canaux de communication distincts avant d’approuver les demandes à haut risque.
Deuxièmement, les organisations doivent mettre en œuvre des technologies d’authentification résistantes au phishing, telles que les clés d’accès, les clés de sécurité matérielles ou les méthodes d’authentification basées sur FIDO.
Ces contrôles contribuent à garantir que la vérification de l’identité repose sur une preuve cryptographique plutôt que sur la seule confirmation visuelle.
Troisièmement, les équipes de sécurité doivent renforcer les programmes de confiance accordée aux appareils et d’assurance de l’identité.
Vérifier que les utilisateurs se connectent depuis des appareils de confiance et des emplacements prévus peut fournir une validation supplémentaire lorsque surviennent des tentatives d’usurpation facilitées par des deepfakes.
Enfin, la vérification de l’identité doit être considérée comme un processus continu plutôt que comme un événement ponctuel.
L’assurance continue de l’identité, la surveillance comportementale et l’authentification fondée sur le risque peuvent aider les organisations à détecter les activités suspectes même après l’octroi de l’accès initial.
L’identité est le nouveau périmètre de sécurité
À mesure que les attaques d’usurpation basées sur l’IA évoluent, les organisations doivent repenser la manière dont la confiance est établie dans les environnements numériques.
Les deepfakes peuvent être capables de reproduire des visages et des voix, mais ils ne peuvent pas facilement reproduire des identifiants cryptographiques, des appareils de confiance et des contrôles d’authentification robustes.
À l’heure où l’identité est devenue le nouveau périmètre de sécurité, les organisations qui renforcent leurs processus de vérification de l’identité seront mieux armées pour se défendre contre la menace croissante de la fraude facilitée par les deepfakes.