Les cybercriminels exploitent plus que jamais l'intelligence artificielle pour mener des attaques de phishing sophistiquées et toujours plus efficaces. De quoi alerter les spécialistes de la cybersécurité et, par extension, le grand public.
L'intelligence artificielle n'est plus l'apanage des défenseurs, elle est même très bien maîtrisée par les cybercriminels. Comme nous l'explique Check Point ce lundi, pendant que les entreprises se dotent d'outils IA pour tenter de se protéger, les hackers développent carrément leurs propres IA malveillantes, pour mettre au point des systèmes autonomes, des deepfakes ultra-réalistes et des e-mails de phishing indétectables. Le tableau est, vous allez le voir, plutôt effrayant.
L'émergence d'un arsenal IA entièrement malveillant
Les pirates informatiques ne se contentent plus de détourner des outils légitimes. Ils développent désormais leurs propres systèmes d'intelligence artificielle, à des fins criminelles malheureusement. WormGPT est l'un des symboles de cette tendance. Cette plateforme blackhat, qui utilise des techniques illégales pour manipuler ou tromper en ligne, s'appuyait sur le modèle GPT-J et se vantait d'être entraînée sur des données de malwares. Même si ce projet a fermé, il a ouvert la voie.
La boîte de Pandore est désormais bien ouverte. BurpGPT, FraudGPT, PentestGPT et PassGPT pullulent sur le dark web, rendant les cyberattaques sophistiquées accessibles au plus grand nombre. Le projet Evil-GPT-Web3 annonce même une nouvelle génération d'outils encore plus redoutables. Toutes ces nouvelles armes numériques redistribuent les cartes du crime organisé.
Le summum de cette évolution s'appelle Xanthorox AI. Lancé au début de l'année, ce système modulaire fonctionne entièrement offline pour garantir l'anonymat des utilisateurs. Ses cinq composants – Coder, V4 Model, Vision, Reasoner Advanced et Fifth Coordination Module – orchestrent automatiquement le développement de malwares et les campagnes d'attaque. Une véritable armée numérique autonome.
Le phishing nouvelle génération fait des ravages
Les e-mails truffés de fautes qui démasquaient immédiatement l'arnaque sont aussi de l'histoire ancienne. On a pu le voir dernièrement avec les arnaques usurpant l'identité de Mondial Relay ou encore d'Ulys, l'IA transforme l'art du phishing en produisant des messages d'une qualité rédactionnelle irréprochable. Les statistiques avancées par Check Point sont révélatrices, puisque 67,4% des incidents de phishing enregistrés en 2024 exploitaient des techniques d'intelligence artificielle. Le secteur financier figure d'ailleurs en première ligne de ces attaques.
L'efficacité de ces nouvelles méthodes dépasse même toutes les prévisions. Alors qu'une étude de 2021 montrait déjà un taux de réussite de 60% pour les e-mails de spear-phishing (le phishing avec ingénierie sociale) générés par IA, les dernières recherches révèlent des scores encore plus alarmants. Les campagnes entièrement automatisées atteignent désormais 54% de taux de clic, soit une progression de 350 % par rapport aux techniques traditionnelles.
Une affaire hongroise de février 2024 vient à l'esprit des experts cyber. Une filiale européenne de distribution a été dépouillée de 15,5 millions d'euros par des escrocs qui avaient utilisé l'IA générative. Leurs courriers électroniques reproduisaient à la perfection le style, le ton et même la terminologie spécifique de l'entreprise pour piéger le service financier.
Deepfakes et espionnage : l'usurpation devient un art
Celle qui est aussi à craindre, c'est la technologie deepfake, puisqu'elle propulse l'usurpation d'identité vers des sommets inédits. Ces contenus synthétiques ultra-réalistes permettent de créer de fausses voix, images et vidéos d'une qualité parfois saisissante. La démocratisation de la manipulation audiovisuelle inquiète le secteur, d'autant plus que selon Deloitte, plus d'un quart des dirigeants (25,9 %) ont déjà été confrontés à des incidents utilisant cette technologie.
Les montants en jeu sont, il faut le dire, colossaux. En 2020, un banquier émirati fut escroqué de 35 millions de dollars par un deepfake vocal imitant son PDG. Plus récemment, en janvier 2024, des criminels ont orchestré une fausse visioconférence à Hong Kong, avec des hackers qui utilisaient des avatars IA pour soutirer 25 millions à une multinationale. Ferrari a échappé de peu, il y a quelques semaines, à une arnaque par deepfake.
L'IA ne se contente plus de générer du contenu : elle analyse massivement les données publiques dans le but d'identifier les cibles les plus rentables. En Inde, cette approche a porté ses fruits l'an dernier. Une institution financière majeure a été piratée à cause d'e-mails de spear-phishing qui reproduisaient le style du PDG, grâce au traitement automatique de ses communications LinkedIn. Le résultat de tout cela ? Les attaques financières par phishing ont bondi de 175% dans le pays.
27 juin 2025 à 09h45
