Pensez-vous que vos clients et employés peuvent repérer les escroqueries en ligne, les faux profonds et les désinformation et désinformation délibérées ? Des études récentes montrent que les gens surestiment leur capacité à discerner la vérité de la fiction, et elle est susceptible de s’aggraver à mesure que l’IA devient plus sophistiquée.
Cela devrait préoccuper les dirigeants d’entreprise et se tourner vers leurs responsables de la sécurité de l’information. Ces RSSI, il s’avère, ont d’anciennes astuces qui peuvent contrer ces nouvelles menaces alimentées par l’IA.
Tout d’abord, l’étude : une enquête de Citi publiée en novembre a demandé à 2 432 répondants en ligne dans quelle mesure ils pouvaient détecter une escroquerie financière, et 90 % ont déclaré qu’ils étaient bons, malgré le fait que plus d’un quart (27 %) avaient été victimes de tels programmes.
Une autre étude, publiée en juin, a révélé que les personnes sont plus susceptibles de croire que la désinformation élaborée par l’IA est plutôt que de fausses déclarations écrites par les humains. La distinction est faible : les 697 personnes interrogées étaient 3 % moins susceptibles de repérer les faux tweets générés par l’IA par rapport aux mensonges écrits par l’homme, mais significative compte tenu de la déluge prévue de ce contenu convaincant.
« Le fait que la désinformation générée par l’IA soit non seulement moins chère et plus rapide, mais également plus efficace, me donne des cauchemars », a déclaré le chercheur de l’Université de Zurich, Giovanni Spitale, Ph.D., qui a dirigé l’étude, à la MIT Technology Review en juin dernier.
Six mois plus tard, il est toujours inquiet.
« Je ne suis pas inquiet par la technologie elle-même, mais par son potentiel d’abus », dit-il à Focal Point par e-mail. Spitale, un passionné de technologie auto-décrit et un « grand nerd » (il a commencé à programmer un Olivetti 386 en 1993 lorsqu’il avait six ans), craint que les gouvernements et les lois ne soient tout simplement trop lents pour suivre le rythme des technologies perturbatrices telles que les modèles en grand langage (LLM) qui alimentent ChatGPT.
La loi sur l’IA de l’UE, adoptée cet été, est « déjà ancienne », observe-t-il. Et cela laisse les personnes et les entreprises exposées.
Désinformation, désinformation : quel que soit votre nom, c’est ici
Les experts avertissent depuis des années de la capacité de l’IA à améliorer la fréquence et la qualité des désinformation (déclarations erronées), des désinformation (mentions pures) et des malinformation (vérités délibérément tordues ou retirées du contexte à des fins malveillantes), et nous les voyons maintenant se développer.
« Je ne suis pas inquiet par la technologie elle-même, mais par son potentiel d’abus. »Giovanni Spitale, Ph.D., chercheur en désinformation, Université de Zurich
Les escrocs utilisent de plus en plus l’IA pour « stimuler » la fraude, a averti la présidente de la Federal Trade Commission, Lina Khan, en juin. Pindrop, qui surveille des milliards d’appels dans de nombreuses grandes banques américaines, a noté une hausse cette année dans les escroqueries profondes où l’IA a été utilisée pour simuler les voix des clients afin d’essayer de transférer des fonds.
Les petites et moyennes entreprises (PME) sont tout aussi à risque que les grandes multinationales. Les publicités en ligne négatives, trompées par des clients ou des employés mécontents pour ternir la réputation d’une marque, ou concoctées par des cybergangs pour extorquer de l’argent, sont déjà un problème pour les PME. Ottawa Perogies a découvert cela en 2021, lorsqu’un cybercriminel a inondé Facebook et Google d’avis d’une seule étoile après que le restaurant à emporter familial a ignoré les demandes d’argent. Les commandes ont considérablement diminué en quelques jours, et il a fallu des semaines au restaurant pour ternir sa réputation en ligne. La même année, les entreprises ont perdu environ 152 milliards USD dans le monde en raison de faux avis, selon une étude de l’Université de Baltimore. Les experts avertissent que l’IA n’augmentera que ces types d’attaques.
La bonne nouvelle est que les dirigeants d’entreprise peuvent s’appuyer sur des méthodes de cybersécurité traditionnelles, des tactiques éprouvées que les RSSI et d’autres professionnels de la sécurité défendent depuis des années, pour contrecarrer ces menaces. « Pour l’instant, la meilleure défense que nous ayons identifiée est d’avoir un guide non seulement pour répondre aux incidents, mais aussi pour évaluer leur probabilité, mais aussi pour que les choses se produisent », concède Spitale.
Suffisamment juste. Les tactiques de sécurité suivantes ne peuvent pas inoculer complètement une organisation, mais elles peuvent diminuer un grand nombre d’effets négatifs :
1. Réécrire les playbooks de réponse aux incidents et les relire
Bien qu’initialement conçus pour gérer les crises techniques telles que les violations de données, les plans de réponse aux incidents peuvent et doivent être révisés pour gérer les crises de désinformation et de désinformation. Cela signifie ajouter des étapes à votre manuel pour repérer rapidement les informations inexactes, comme les vidéos et les clips audio factices, les hashtags indésirables qui incorporent votre nom de marque et d’autres contenus en ligne malveillants, déterminer leur source et lancer une stratégie de communication assertive pour contrer ses effets. (Plus d’informations à ce sujet plus tard.)
« Si quelqu’un dans votre tribu en ligne partage de fausses informations, vous ressentez une pression pour les partager également, même si vous ne savez pas si c’est faux ou vrai. »Matthew Asher Lawson, Ph.D., professeur adjoint en sciences de la décision, NSEAD
Un guide de réponse aux incidents mis à jour vous aidera à réagir rapidement et efficacement lorsque les mauvais acteurs détournent sciemment ou involontairement le récit de votre marque.
Ce dernier scénario, qui se propage par des complices involontaires, vaut la peine d’être souligné. Les recherches sur quelque 60 000 utilisateurs des réseaux sociaux publiées cette année par l’American Psychological Association ont montré que la plupart des personnes qui diffusent de fausses informations n’ont pas d’axe spécifique à attaquer à une personne ou un groupe ; elles veulent simplement s’intégrer.
[Lire également : 5 étapes vers un plan de réponse aux incidents robuste]
« Si quelqu’un dans votre tribu en ligne partage de fausses nouvelles, vous ressentez une pression pour les partager également, même si vous ne savez pas si c’est faux ou vrai », a noté le chercheur principal Matthew Asher Lawson, Ph.D., professeur adjoint en sciences de la décision à l’INSEAD, une école de commerce en France.
2. Ajouter des deepfakes aux tutoriels d’hameçonnage
Les cybercriminels utilisent l’IA pour manipuler des images et des enregistrements réels ou créer des contenus entièrement faux. Cet été, par exemple, quelque 50 fausses vidéos publiées sur TikTok, Facebook et YouTube ont montré Elon Musk dans des « entretiens » avec diverses personnalités de la télévision - Gayle King, Tucker Carlson, Bill Maher - vantant un faux plan d’investissement. Ils ont accumulé des dizaines de milliers de vues.
Les attaques de phishing devraient également évoluer, avec « des faux profonds permettant l’usurpation quasi parfaite de personnalités de confiance, faisant un bond significatif par rapport à la méthode habituelle de répliquer le style d’écriture ou de reproduire la conception d’e-mails », écrit Neil Lappage, RSSI et conseiller en sécurité dans des entreprises telles que C5 et ITC Secure, dans un article récent pour l’organisation de fiducie numérique ISACA. La vidéo et l’audio Deepfake peuvent être utilisés pour usurper l’identité du personnel informatique ou des cadres, ciblant les employés peu méfiants ou même les systèmes biométriques qui utilisent un logiciel de reconnaissance vocale et faciale.
« Les employés doivent connaître les procédures standard pour répondre aux médias manipulés suspectés et comprendre les mécanismes de signalement de cette activité au sein de leur organisation », conseille un rapport conjoint publié par la NSA, le FBI et la CISA.
La mise à jour de vos programmes de formation du personnel démontre également l’engagement d’une entreprise à faire évoluer les risques de cybersécurité, ce que vous pouvez et devez transmettre à vos agents de cyberassurance, qui recherchent des signes manifestes de cybervigilance d’une entreprise.
Pour plus d’informations sur la manière d’identifier les faux profonds et ce que votre formation doit inclure, consultez ces conseils de SANS ici ; du Centre pour un public éclairé de l’Université de Washington ici ; et du MIT ici et ici.
3. Améliorer la DEX, c’est-à-dire jouer au long jeu
Renforcer votre expérience numérique des employés (DEX) est peut-être un moyen moins évident mais puissant de lutter contre la désinformation. Prendre le temps aujourd’hui d’améliorer la DEX grâce à des interfaces conviviales, des outils de travail et des canaux de communication numériques transparents peut porter ses fruits de plusieurs manières :
En général, la satisfaction des employés est une mesure importante de la réputation globale d’une entreprise en matière de marque. Lorsqu’une fausse nouvelle frappe et jette une ombre sur une entreprise, les consommateurs seront plus sceptiques si l’entreprise est réputée pour la manière dont elle traite ses travailleurs.
Sur le lieu de travail, les employés heureux sont plus productifs, moins stressés et moins susceptibles de devenir des menaces internes. Ceux qui se sentent valorisés seront moins enclins à partager de fausses informations et plus engagés dans les programmes de formation mentionnés ci-dessus, et plus susceptibles de signaler les désinformation et désinformation lorsqu’ils les voient (ou les soupçonnent).
4. Donnez aux équipes de recherche des menaces les moyens de détecter les « inconnues inconnues »
Les chasses aux menaces, conçues pour regarder vers l’intérieur et rechercher des points d’entrée non protégés au sein d’un réseau informatique, peuvent également se tourner vers le monde extérieur pour identifier des schémas et détecter des anomalies liées à une désinformation ou une crise de désinformation.
Les chasseurs de menaces sont formés à l’art d’explorer les « inconnues inconnues », les vulnérabilités non identifiées ou les risques imprévus qui sont mûrs pour l’exploitation. Dans le domaine de la désinformation ou de la désinformation, il peut s’agir de capacités avancées et non encore inventées de contrefaçon profonde, de nouveaux canaux de diffusion ou d’une augmentation soudaine des mentions négatives sur les réseaux sociaux qui lient votre marque ou vos dirigeants à un problème politique ou social auquel votre entreprise n’a jamais participé auparavant. À tout le moins, ils peuvent repérer une vague imminente de commentaires négatifs non acquis lorsqu’il ne s’agit que d’un problème précoce.
Armés d’outils de surveillance des réseaux sociaux, les chasseurs de menaces peuvent repérer les modèles et tactiques courants utilisés par les acteurs connus des menaces et alerter les équipes de communication, de relations publiques et de marketing lorsqu’une augmentation des messages négatifs sur votre entreprise est détectée. Une telle surveillance ne peut pas arrêter une attaque, mais elle peut donner à vos porte-parole quelques jours ou heures d’avertissement à l’avance pour élaborer une campagne de « prébaquement », contre-messagerie qui sort du public avant une inondation de mensonges sur Internet.
Lorsqu’il s’agit de désinformation et de désinformation, la rapidité est essentielle. Les chercheurs ont découvert que le pré-rembourrage proactif est plus persuasif et encourage les consommateurs à être plus sceptiques des mensonges que le désembourrage après les faits de fausses nouvelles.
5. Appliquer les règles d’une communication de crise efficace
Une fois que les fausses informations deviennent virales, les principes fondamentaux de la communication de crise , à savoir la rapidité, la transparence et l’empathie, doivent guider la réponse d’une organisation.
« Si l’entreprise a des antécédents d’exploitation sans empathie et transparence, il devient beaucoup plus facile pour les gens de croire aux affirmations infondées sur votre marque. »Jeff Pollard, vice-président et analyste principal, Forrester
Une action rapide et une transparence sont cruciales. L’année dernière, le ministère de la Justice des États-Unis a condamné le RSSI d’Uber, Joe Sullivan, pour avoir menti et essayé de dissimuler un piratage 2016 dans lequel des voleurs ont volé des données d’environ 57 millions de clients. D’autres entreprises n’ont pas fait mieux devant le tribunal d’opinion publique lorsque les retards de passage au public sont, eh bien, devenus publics.
« Le monde a tendance à être plutôt tolérant si vous êtes en avance sur les choses », a déclaré Jenai Marinkovic, RSSI chez Tiro Security, à Focal Point dans un article sur les stratégies de communication réussies au printemps dernier.
Il est également essentiel de traduire les données des ingénieurs en messages clairs et clairs que les clients (et les membres du conseil d’administration) peuvent comprendre lorsqu’ils répondent à une attaque d’information, car cela démontre de l’empathie pour les parties prenantes. L’empathie humanise une marque et est l’un des sept leviers de confiance dans l ’impératif de confiance de Forrester, un ensemble de directives pour aider les entreprises à établir des liens durables avec les clients et les parties prenantes. C’est également quelque chose que toute entreprise peut nourrir et encourager dès aujourd’hui.
Ne vous trompez pas : tout comme les autres cyberattaques, les attaques de désinfos alimentées par l’IA ne sont pas une question de si , mais de quand. Il est donc essentiel d’établir de l’empathie dans les opérations commerciales et les communications, écrit Jeff Pollard, vice-président et analyste principal chez Forrester, dans un article de blog publié plus tôt cette année. « L’histoire est importante lorsqu’il s’agit de se défendre contre les atteintes à la réputation causées par les faux profonds », explique-t-il.
« Si l’entreprise a des antécédents d’exploitation sans empathie et transparence », note-t-il, « il devient beaucoup plus facile pour les gens de croire aux affirmations infondées sur votre marque. »
POUR EN SAVOIR PLUS
Découvrez le premier volet de cette série en deux parties, qui offre plus de conseils sur la manière de lutter contre la désinformation et la désinformation et explique pourquoi les entreprises ne peuvent pas compter sur des tiers ou des autorités juridiques pour faire ce bon choix :
