Depuis de nombreuses années déjà, les cybercriminels du monde entier utilisent des identités d'utilisateurs numériques compromises comme première porte d'entrée dans les systèmes informatiques de leurs victimes. Déguisés en utilisateurs vérifiés, ils espionnent leurs systèmes, placent des logiciels malveillants et des ransomwares, passent des commandes et effectuent des virements au nom d'autres personnes.
Les experts en sécurité
informatique du monde entier sont convaincus que ce danger va encore augmenter
dans les années à venir, notamment parce que les cybercriminels utilisent de
plus en plus souvent des outils basés sur l'IA. Les grandes entreprises sont
conscientes de l'aggravation des risques et ont commencé à mettre en place des
contre-mesures - dans le monde entier. Une nouvelle enquête publiée récemment
par Ping Identity montre à quoi ressemblent ces mesures. Elle donne également
la parole à des cadres français.
Au cours des dernières
années et décennies, les systèmes IAM et CIAM ont connu un développement
rapide. Depuis longtemps, ils peuvent faire bien plus que simplement aider
leurs utilisateurs à gérer et à sécuriser les données d'identité numérique. Ils
peuvent également aider les entreprises à empêcher les tentatives de fraude de
manière préventive et à les combattre de manière curative. Cependant, toutes
les entreprises ne se sont pas encore décidées à investir dans les nouvelles
technologies. Les principaux utilisateurs sont - pour l'instant - toujours les
entreprises qui disposent du plus grand nombre de ressources : Les grandes
entreprises. Elles testent, posent les jalons, montrent la voie que les
moyennes et petites entreprises suivront tôt ou tard. L'enquête 'Fighting The
Next Major Digital Threat : AI and Identity Fraud Protection Takes Priority',
publiée récemment par Ping Identity, montre comment les décideurs des grandes
entreprises évaluent la situation actuelle de la sécurité de leurs identités
numériques, quelles mesures ils prévoient ou ont déjà prises. Au total, 700
décideurs de haut niveau de grandes entreprises ont été interrogés dans le
cadre de cette enquête, dont 100 représentants de grandes entreprises
françaises.
Les identités
numériques dans la ligne de mire des cybercriminels
La protection des
identités numériques des employés, des partenaires, des fournisseurs et des
clients est un facteur clé dans la minimisation des risques pour la sécurité
des systèmes, des applications et des données informatiques. Aujourd'hui déjà,
la majorité des cyberattaques réussies sont dues à la capture et à la
compromission de comptes d'utilisateurs. Les cybercriminels utilisent
l'ingénierie sociale, le phishing et le spear phishing pour s'approprier les
informations, créer de faux comptes, prendre le contrôle de comptes originaux
ou les compromettre.
Comment les grandes
entreprises se protègent
Dans l'enquête
récemment publiée par Ping Identity, plus de 90% des décideurs informatiques de
haut niveau interrogés ont déclaré que le niveau de risque de leur entreprise
était 'préoccupant' ou 'très préoccupant' en ce qui concerne les variantes
d'attaques actuelles pour la fraude à l'identité - de la compromission de
l'identité, du phishing et du détournement de session, en passant par les
entités synthétiques, les faux comptes et les prises de contrôle de compte,
jusqu'à l'ingénierie sociale. Rien d'étonnant à cela ! Les mesures de sécurité
actuellement mises en place dans de nombreux endroits sont encore très
perfectibles, même dans le cas des grandes entreprises. Seuls 50% environ ont
déjà mis en place une authentification sécurisée à deux ou même plusieurs
facteurs. A peine la moitié d'entre elles ont recours à la biométrie ou à des
facteurs liés à la propriété, et un bon tiers à des facteurs basés sur la
connaissance, bien moins sûrs. Les grandes entreprises françaises sont encore
moins bien placées. Près de la moitié d'entre elles continuent de faire
confiance à des combinaisons nom d'utilisateur/mot de passe peu sûres. Mais ce
qui est réjouissant, c'est que la majorité - environ
75% - veut augmenter ses
investissements dans les systèmes IAM et CIAM au cours des 12 prochains mois -
de la prévention à la lutte contre la fraude en passant par la détection des
fraudes. En moyenne, 30,5 millions d'euros devraient être investis. En France,
ce chiffre s'élève à 26,1 millions d'euros.
L'IA - un GameChanger
dans l'utilisation abusive des données d'identité numériques
Ils ont d'ailleurs
grand besoin de ces augmentations d'investissement. En effet, dans les années à
venir, la qualité et la quantité des attaques liées à l'identité vont selon
toute vraisemblance augmenter de manière significative. La raison : la diffusion
croissante d'outils d'attaque basés sur l'IA. Grâce à eux, les campagnes
d'attaque peuvent être adaptées de manière automatisée à des victimes
individuelles ou à des groupes de victimes spécifiques. Les "deep
fakes", dont tout le monde parle déjà aujourd'hui, pourront alors, selon
toute vraisemblance, déployer une efficacité nettement plus grande
qu'aujourd'hui. Les décideurs informatiques des grandes entreprises ont
heureusement conscience de cette évolution des menaces. Ainsi, plus de 80% des
participants à l'enquête estiment que l'utilisation de l'IA par les
cybercriminels va encore considérablement aggraver la situation des menaces
basées sur l'identité au cours des 12 prochains mois. Plus de 90% considèrent
les 'nouvelles menaces basées sur l'IA' comme un risque préoccupant ou même
très préoccupant pour leur entreprise. En conséquence, les préparatifs pour
faire face à l'aggravation des menaces sont déjà bien avancés. Environ 40% ont
déjà mis en œuvre une stratégie prête à l'emploi contre les menaces d'identité
basées sur l'IA. 40% d’entre eux ont déjà élaboré une stratégie, mais doivent
encore la mettre en œuvre. Et 15% sont encore en train de planifier.
Prévention préventive -
Identités décentralisées
L'utilisation
d'identités décentralisées est une possibilité d'aborder de manière préventive
l'aggravation des menaces liées aux identités. Environ 50% des participants à
l'enquête ont déclaré avoir déjà mis en place des identités décentralisées dans
leurs propres systèmes IAM et CIAM. Un autre tiers a indiqué qu'il envisageait
de les utiliser dans les 12 mois à venir. Toutefois, la plupart des personnes
interrogées considèrent les identités décentralisées avant tout comme un moyen
de résoudre des problèmes commerciaux. Seule une minorité, environ 20%, pense
que l'utilisation d'identités décentralisées les aidera à limiter les risques
tels que la fraude sur les nouveaux comptes et le détournement de comptes. Il y
a donc encore beaucoup de travail d'information à faire dans ce domaine. Les
solutions de gestion des identités décentralisées sont justement supérieures à
leurs prédécesseurs centralisés dans les domaines de la sécurité des données et
de la protection des données, et ce sans nuire à la convivialité.
Lutte curative -
Intelligence artificielle
Une autre façon de
maîtriser la fraude à l'identité numérique basée sur l'IA : la détection active
et l'élimination des activités frauduleuses à l'aide de l'intelligence
artificielle. Plus de 40% des participants à l'enquête ont déclaré qu'ils
espéraient que l'utilisation de l'intelligence artificielle simplifierait
l'authentification multifactorielle, la reconnaissance vocale et la
reconnaissance faciale. Plus de 60% pensent que l'utilisation accrue de l'IA
leur permettra de rendre leurs exigences d'authentification plus dynamiques, en
se basant sur le comportement réel et en temps réel de leurs utilisateurs. Et
plus de
50% pensent que l'IA leur permettra d'automatiser davantage leurs
processus CIAM et de mieux s'entraîner à la détection automatique des fraudes.
L'enquête de Ping Identity montre que les grandes entreprises du monde entier ont compris que les risques liés à l'identité vont s'aggraver considérablement avec la montée en puissance de l'IA. Nombre d'entre elles ont donc commencé à investir massivement dans les technologies IAM et CIAM les plus récentes, telles que les solutions de détection de la fraude à l'identité basées sur l'IA et les solutions de gestion décentralisée des identités numériques. Dans les années à venir, les petites et moyennes entreprises suivront le mouvement, y compris en France. Seule une minorité d'entre elles pourra se permettre de recourir à l'approche gourmande en ressources de nombreuses grandes entreprises en misant entièrement ou partiellement sur des solutions internes. Mais cela ne sera pas nécessaire. Car il existe déjà aujourd'hui des solutions de fournisseurs efficaces. Et dans les années à venir, on peut s'attendre à ce qu'elles deviennent de plus en plus abordables pour les petites et très petites entreprises.