Les pirates informatiques prennent désormais le pas sur les mécanismes mis en place pour les contrer

Les responsables de la sécurité chez Google, Mandiant, Symantec, Trellix et la CISA avertissent que l’IA abaisse le seuil d’accès aux cyberattaques sophistiquées, réduisant à quelques minutes le délai entre la divulgation d’une vulnérabilité et son exploitation. Il en résulte un besoin croissant pour les pouvoirs publics et les organismes gérant des infrastructures critiques de se préparer à poursuivre leurs activités en cas de compromission, et non plus simplement à la prévenir.^2,3

Que s'est-il passé ?

Les attaques menées par des États exploitent les failles connues de manière quasi instantanée.

Lors du Billington Cybersecurity Summit qui s’est tenu au début du mois, des responsables de la sécurité de haut niveau et des représentants du gouvernement ont décrit une évolution déjà en cours : l’IA abaisse le seuil technique requis pour mener des attaques de niveau étatique tout en réduisant le temps dont disposent les défenseurs pour réagir. « Le seuil de sophistication requis pour une attaque de type étatique a baissé », a déclaré Vikram Thakur, directeur technique chez Symantec by Broadcom, avertissant que l’IA permet désormais même à des cybercriminels ordinaires de mener des attaques qui ressemblent à des opérations étatiques.¹ 

Le changement le plus concret concerne la rapidité. John Hultquist, analyste en chef au sein du Threat Intelligence Group de Google, a décrit une évolution : les attaquants, qui vérifiaient manuellement chaque jour l’existence de nouvelles vulnérabilités, ont laissé place à des systèmes autonomes qui ne cessent jamais de rechercher ces failles, réduisant ainsi le délai entre la divulgation et l’exploitation à quelques minutes, voire quelques secondes. John Fokker, de Trellix, en a clairement exposé les conséquences pratiques : les organisations ne disposent désormais que de quelques secondes pour fermer la porte avant que quelqu’un ne se soit déjà introduit à l’intérieur.¹ Ce délai fait des cycles de correctifs de routine, même les plus rigoureux, une défense peu fiable à elle seule. 

Les responsables américains considèrent cela comme un problème de planification immédiat, et non comme un risque futur. Le directeur par intérim de la CISA, Nick Andersen, a évoqué le scénario précis sur lequel les équipes de sécurité doivent désormais se préparer : un moment où une nation adversaire déciderait de porter atteinte directement aux infrastructures civiles critiques, plutôt que de se contenter de s’y implanter. Charles Carmakal, de Mandiant, qui suit les activités d’intrusion dans les organisations capables de perturber les infrastructures critiques, formule la question en suspens de la même manière : dans de nombreux cas, l’accès existe déjà, et la seule variable qui reste est de savoir si un déclencheur géopolitique modifie le calcul nécessaire à son utilisation.¹ 

Il ne s'agit pas d'un scénario hypothétique limité à un seul pays. Des intrusions et des perturbations ont été signalées cette année dans plusieurs régions, ainsi qu'une campagne soutenue visant plus de 100 services des eaux américains², ainsi qu’une panne de quatre jours chez un producteur d’électricité britannique attribuée à une activité présumée liée à un État³, ainsi que des campagnes confirmées de prise de contrôle de comptes visant des hauts responsables de l’UE⁴, correspondent tous au même schéma décrit par les experts : des adversaires qui se positionnent au sein d’infrastructures civiles ou agissent contre celles-ci, bien en dehors de tout conflit déclaré. Le prépositionnement décrit par Carmakal n’est plus une simple hypothèse théorique. Cette année, il a déjà contribué à de véritables pannes et à la compromission de comptes dans plusieurs régions.

Les recommandations de la CISA à l’intention des RSSI reflètent cette évolution de la prévention vers la résilience. M. Andersen a déclaré lors du sommet que les exercices de simulation ne pouvaient plus se contenter d’écarter d’un revers de main les perturbations prolongées touchant l’électricité, les télécommunications, l’approvisionnement en eau, les services cloud ou les fournisseurs, en les considérant comme hors de leur champ d’application. On attend désormais des organisations qu’elles prévoient de poursuivre leurs activités en cas de compromission, et non plus simplement d’empêcher celle-ci.¹ 

Ce qu'ils ont découvert et ce que cela signifie 

Pourquoi est-ce important ? 

Mesures recommandées

Position de BlackBerry en matière de communications sécurisées

Les RSSI avaient déjà pris conscience du risque lié aux États-nations. Ce qui a changé, c’est le délai dont ils disposent pour y faire face : un adversaire qui mettait auparavant plusieurs jours à passer d’une faille divulguée à un exploit fonctionnel comble désormais cet écart en quelques minutes, et une organisation qui partait du principe qu’elle n’était pas suffisamment intéressante sur le plan stratégique pour être prise pour cible ne dispose plus d’aucun moyen fiable de vérifier cette hypothèse. La capacité à s'adapter avec succès à cette évolution dépendra moins de la rapidité d'application des correctifs que de la capacité d'une organisation à maintenir sa coordination lorsque l'infrastructure sur laquelle elle s'appuie habituellement devient indisponible. 

Références :

1. Les RSSI ne peuvent plus ignorer la menace que représentent les États-nations (CSO Online, Cynthia Brumfield, 22 septembre 2026). 

2. La CISA exhorte le secteur de l'eau et des eaux usées à protéger ses systèmes opérationnels contre les attaques visant les automates programmables (Agence pour la cybersécurité et la sécurité des infrastructures (CISA), 30 juillet 2026). 

3. Un petit producteur d'électricité britannique a cessé ses activités après une cyberattaque liée à l'Iran : Telegraph (CNBC, 23 août 2026). 

4. Des pirates informatiques soutenus par des États ont pris pour cible des responsables de l'UE sur WhatsApp, selon un document (POLITICO Europe, Sam Clark, 25 août 2026).