Pensez-vous que vos clients et vos collaborateurs soient capables de repérer les escroqueries en ligne, les « deepfakes », ainsi que les fausses informations et la désinformation délibérées ? Des études récentes montrent que les gens surestiment leur capacité à distinguer la vérité de la fiction – et cette tendance risque de s'accentuer à mesure que l'intelligence artificielle gagne en sophistication.
Cela devrait inquiéter les dirigeants d'entreprise — et les inciter à se tourner vers leurs responsables de la sécurité des systèmes d'information. Il s'avère que ces RSSI disposent de quelques astuces éprouvées permettant de contrer ces nouvelles menaces alimentées par l'IA.
Tout d’abord, l’étude : une enquête « Citi » publiée en novembre a interrogé 2 432 participants en ligne sur leur capacité à repérer une arnaque financière, et 90 % d’entre eux ont déclaré être doués pour cela, alors même que plus d’un quart (27 %) avaient déjà été victimes de ce type d’escroquerie.
Une autre étude de l' , intitulée « » et publiée en juin, a révélé que les gens sont plus enclins à croire à la désinformation générée par l'IA qu'aux fausses déclarations rédigées par des humains. La différence est minime – les 697 personnes interrogées avaient 3 % moins de chances de repérer des faux tweets générés par l'IA que des mensonges rédigés par des humains –, mais elle est significative compte tenu du déluge prévu de contenus aussi convaincants.
« Le fait que la désinformation générée par l’IA soit non seulement moins coûteuse et plus rapide, mais aussi plus efficace, me donne des cauchemars », a déclaré en juin dernier à MIT Technology Review Giovanni Spitale, docteur en sciences et chercheur à l’Université de Zurich, qui a dirigé l’étude.
Six mois plus tard, il est toujours inquiet.
« Ce n’est pas la technologie en soi qui m’inquiète, mais le risque qu’elle fasse l’objet d’abus », explique-t-il par e-mail à , le point de contact de l’ . M. Spitale, qui se décrit lui-même comme un passionné de technologie et un « grand geek » (il a commencé à programmer sur un Olivetti 386 d’ , en 1993 , alors qu’il avait six ans), craint que les gouvernements et la législation ne soient tout simplement pas assez réactifs pour suivre le rythme des technologies de rupture telles que les grands modèles linguistiques (LLM) qui sous-tendent ChatGPT.
La loi européenne sur l'IA « » (), adoptée cet été, est « déjà dépassée », observe-t-il. Ce qui expose les particuliers et les entreprises à des risques.
Fausses informations, désinformation… quel que soit le nom que vous leur donniez, elles sont bien là
Depuis des années, les experts mettent en garde contre la capacité de l’IA à accroître la fréquence et la qualité des fausses informations (déclarations erronées), de la désinformation (mensonges purs et simples) et de la malinformation (vérités délibérément déformées ou sorties de leur contexte à des fins malveillantes), et nous assistons aujourd’hui à la concrétisation de ce phénomène.
«Ce n’est pas la technologie en elle-même qui m’inquiète, mais le risque qu’on en fasse un mauvais usage. »Giovanni Spitale, docteur en sciences, chercheur spécialisé dans la désinformation, Université de Zurich
Les escrocs recourent de plus en plus à l'IA pour « booster » la fraude, a averti en juin Lina Khan, présidente de la Commission fédérale du commerce ( ) . Pindrop, qui surveille des milliards d'appels au sein de nombreuses grandes banques américaines, a constaté une recrudescence cette année des escroqueries par « deepfake », dans lesquelles l'IA était utilisée pour imiter la voix des clients afin de tenter de transférer des fonds.
Les petites et moyennes entreprises (PME) sont tout aussi exposées aux risques que les grandes multinationales. Les publicités négatives en ligne – inventées de toutes pièces par des clients ou des employés mécontents pour ternir la réputation d’une marque, ou concoctées par des cybercriminels dans le but de faire chanter – constituent déjà un problème pour les PME. Ottawa Perogies a découvert cette situation en 2021, lorsqu'un cybercriminel a inondé Facebook et Google d'avis à une étoile après que ce restaurant familial proposant des plats à emporter eut ignoré ses demandes d'argent. Les commandes ont chuté de manière spectaculaire en l'espace de quelques jours, et il a fallu plusieurs semaines au restaurant pour rétablir sa réputation en ligne. Cette même année, les entreprises auraient subi une perte estimée à 152 milliards de dollars à l'échelle mondiale en raison d'avis frauduleux, selon une étude de l' de l'université de Baltimore. Les experts préviennent que l'intelligence artificielle ne fera qu'accroître ce type d'attaques.
La bonne nouvelle, c'est que les dirigeants d'entreprise peuvent s'appuyer sur les méthodes traditionnelles de cybersécurité – des stratégies qui ont fait leurs preuves et que les RSSI et autres professionnels de la sécurité préconisent depuis des années – pour contrer ces menaces. « Pour l’instant, la meilleure défense que nous ayons identifiée consiste à disposer d’un guide d’intervention permettant non seulement de réagir aux incidents, mais aussi d’évaluer leur probabilité – mais des incidents se produiront inévitablement », concède M. Spitale.
C'est tout à fait juste. Les mesures de sécurité suivantes ne permettent pas de protéger totalement une organisation, mais elles peuvent réduire considérablement les conséquences négatives :
1. Réécrivez les guides d'intervention en cas d'incident – et mettez-les en pratique
Bien qu’ils aient été initialement conçus pour faire face à des crises techniques telles que les fuites de données, les plans d’intervention en cas d’incident de l’ peuvent et doivent être révisés afin de gérer les crises liées à la mésinformation et à la désinformation. Cela implique d'ajouter des étapes à votre plan d'action afin de repérer rapidement les informations inexactes – telles que les vidéos et extraits audio « deepfake », les hashtags malveillants intégrant le nom de votre marque et tout autre contenu en ligne préjudiciable –, d'en déterminer la source et de mettre en place une stratégie de communication ferme pour en contrer les effets. (Nous y reviendrons plus tard.)
«Si un membre de votre communauté en ligne partage une fausse information, vous ressentez alors une pression qui vous pousse à la partager à votre tour, même si vous ne savez pas si elle est fausse ou vraie. »Matthew Asher Lawson, docteur, maître de conférences en sciences de la décision, NSEAD
Un guide actualisé de gestion des incidents liés à l' , disponible à l'adresse , vous aidera à réagir rapidement et efficacement lorsque des acteurs malveillants, sciemment ou à leur insu, détournent le discours de votre marque.
Ce dernier scénario – celui des mensonges diffusés par des complices involontaires – mérite d’être souligné. Une étude portant sur quelque 60 000 utilisateurs de réseaux sociaux, publiée cette année par l'Association américaine de psychologie, a montré que la plupart des personnes qui diffusent des fausses informations n'ont pas d'intérêt particulier à servir à l'encontre d'une personne ou d'un groupe ; elles souhaitent simplement s'intégrer.
[À lire également : 5 étapes pour élaborer un plan d'intervention en cas d'incident à toute épreuve]
« Si un membre de votre communauté en ligne partage une fausse information, vous ressentez alors une pression qui vous pousse à la partager à votre tour, même si vous ne savez pas si elle est fausse ou vraie », a fait remarquer le chercheur principal, Matthew Asher Lawson, titulaire d’un doctorat et maître de conférences en sciences de la décision à l’INSEAD, une école de commerce située en France.
2. Intégrez des « deepfakes » aux tutoriels sur le hameçonnage
Les cybercriminels utilisent l'intelligence artificielle pour manipuler des images et des enregistrements réels ou pour créer du contenu entièrement faux. Cet été, par exemple, quelque 50 fausses vidéos publiées sur TikTok, Facebook et YouTube montraient Elon Musk dans des «interviews » avec diverses personnalités de la télévision – Gayle King, Tucker Carlson, Bill Maher – vantant un faux projet d'investissement. Leurs vidéos ont totalisé des dizaines de milliers de vues.
Les attaques de hameçonnage devraient également évoluer, les « deepfakes permettant une usurpation d’identité quasi parfaite de personnalités de confiance, ce qui représente un bond en avant considérable par rapport à la méthode habituelle consistant à reproduire le style d’écriture ou à imiter la mise en page des e-mails », écrit Neil Lappage, RSSI et conseiller en sécurité auprès d’entreprises telles que C5 et ITC Secure, dans un article récent publié sur le site de l’ISACA, l’organisation dédiée à la confiance numérique. Les vidéos et fichiers audio « deepfake » peuvent être utilisés pour usurper l'identité de membres du personnel informatique ou de dirigeants, en ciblant des employés qui ne se doutent de rien, voire des systèmes biométriques utilisant des logiciels de reconnaissance vocale et faciale.
« Les employés doivent connaître les procédures standard permettant de réagir face à des contenus multimédias soupçonnés d’avoir été manipulés et comprendre les mécanismes permettant de signaler ce type d’activité au sein de leur organisation », conseille un rapport conjoint intitulé « » ( ), publié par la NSA, le FBI et la CISA.
La mise à jour de vos programmes de formation du personnel témoigne également de l'engagement de votre entreprise face à l'évolution des risques liés à la cybersécurité – un aspect que vous pouvez et devez faire valoir auprès de vos agents d'assurance cyber de , qui recherchent des signes tangibles de la vigilance de votre entreprise en matière de cybersécurité.
Pour plus d'informations sur la manière de repérer les deepfakes et sur ce que devrait inclure votre formation, consultez ces conseils proposés par le SANS ( ) ici : ; par le Center for an Informed Public de l'université de Washington ( ) ici : ; ainsi que par le MIT ( ) ici : et ici :.
3. Améliorer son DEX – autrement dit, jouer sur le long terme
Le renforcement de votre « Digital Employee Experience » (DEX) sur constitue peut-être un moyen moins évident, mais néanmoins efficace, de lutter contre la mésinformation et la désinformation. Consacrer du temps aujourd’hui à améliorer l’expérience client (DEX) grâce à des interfaces conviviales, des outils de travail et des canaux de communication numériques fluides peut s’avérer bénéfique à plusieurs égards :
D'une manière générale, la satisfaction des salariés constitue un indicateur important de la réputation globale de la marque d'une entreprise. Lorsqu’une fausse information fait la une et jette le discrédit sur une entreprise, les consommateurs se montreront plus sceptiques si cette entreprise est réputée pour la manière dont elle traite ses salariés.
Au sein de l'entreprise, les employés satisfaits sont plus productifs, moins stressés et moins susceptibles de devenir des menaces internes. Les personnes qui se sentent valorisées seront moins enclines à diffuser de fausses informations, s'impliqueront davantage dans les programmes de formation mentionnés ci-dessus et seront plus enclines à signaler les fausses informations et la désinformation lorsqu'elles les repèrent (ou les soupçonnent).
4. Donnez aux équipes chargées de la recherche active des menaces les moyens de rester vigilantes – et de regarder vers l'extérieur – afin de détecter les « inconnues inconnues »
Les opérations de recherche de menaces, conçues pour analyser l'intérieur d'un réseau informatique et y repérer les points d'entrée non protégés, peuvent également se tourner vers l'extérieur afin d'identifier des tendances et de détecter des anomalies liées à une crise de désinformation ou de fausses informations en gestation.
Les chasseurs de menaces sont formés à l’art d’explorer les «unknown unknowns », ces vulnérabilités non identifiées ou ces risques imprévus qui ne demandent qu’à être exploités. Dans le domaine de la désinformation ou de l'information erronée, cela pourrait inclure des techniques de « deepfake » sophistiquées qui n'ont pas encore été mises au point, de nouveaux canaux de diffusion, ou encore une recrudescence soudaine de mentions négatives sur les réseaux sociaux associant votre marque ou vos dirigeants à une question politique ou sociale avec laquelle votre entreprise n'a jamais eu affaire auparavant. À tout le moins, ils sont capables de détecter une vague de commentaires négatifs injustifiés dès ses premiers signes.
Grâce à des outils de veille des réseaux sociaux, les chasseurs de menaces peuvent repérer les schémas et les tactiques couramment utilisés par des acteurs malveillants connus et alerter les équipes de communication, de relations publiques et de marketing lorsqu’une recrudescence des messages négatifs concernant votre entreprise est détectée. Une telle surveillance ne peut pas empêcher une attaque, mais elle peut donner à vos porte-parole quelques jours, voire quelques heures, d’avance pour mettre en place une campagne de « pré-déconstruction » – c’est-à-dire des contre-messages diffusés auprès du public avant qu’un déluge de mensonges n’envahisse Internet.
Face à la désinformation et aux fausses informations, la rapidité est essentielle. Des chercheurs ont constaté que le « prébunking » proactif s'avère plus convaincant et incite les consommateurs à se montrer plus sceptiques face aux mensonges que le démystification a posteriori des fausses informations.
5. Appliquez les règles d'une communication de crise efficace
Dès lors qu’une fausse information se propage de manière virale, les principes fondamentaux de la communication de crise – à savoir la rapidité, la transparence et l’empathie – doivent guider la réaction d’une organisation.
«Si l’entreprise a l’habitude d’agir sans empathie ni transparence, il devient beaucoup plus facile pour les gens de croire des allégations infondées concernant votre marque. »Jeff Pollard, vice-président et analyste principal chez Forrester
Il est essentiel d'agir rapidement et de faire preuve de transparence. Last year, the U.S. Department of Justice convicted Uber CISO Joe Sullivan for lying and trying to cover up a 2016 hack in which thieves stole data of some 57 million customers. D'autres entreprises n'ont pas mieux s'en sont sorties aux yeux de l'opinion publique lorsque les retards dans leur introduction en bourse ont, disons, été rendus publics.
« Le monde a tendance à se montrer plutôt indulgent si vous faites preuve de franchise », a déclaré Jenai Marinkovic, responsable de la sécurité des systèmes d’information (RSSI) chez Tiro Security, à Focal Point dans un article consacré aux stratégies de communication efficaces publié au printemps dernier.
Il est également essentiel, lors d’une riposte à une attaque informationnelle, de traduire le jargon technique des ingénieurs d’ en messages clairs et simples que les clients (et les membres du conseil d’administration) peuvent comprendre, car cela témoigne d’une empathie envers les parties prenantes. L'empathie humanise une marque et constitue l'un des sept leviers de la confiance décrits dans l'étude « : Forrester’s trust imperative », un ensemble de recommandations destinées à aider les entreprises à tisser des liens durables avec leurs clients et leurs parties prenantes. C'est également quelque chose que toute entreprise peut cultiver et encourager dès aujourd'hui.
Ne vous y trompez pas : tout comme les autres cyberattaques, les attaques de désinformation alimentées par l’IA ne relèvent pas de la question « » (si ), mais de « » (quand). Il est donc essentiel de faire preuve d'empathie dans les activités et les communications de l'entreprise, écrit Jeff Pollard, vice-président et analyste principal chez Forrester, dans un article publié en début d'année sur le blog « » . « L’histoire joue un rôle important lorsqu’il s’agit de se prémunir contre les atteintes à la réputation causées par les deepfakes », explique-t-il.
« Si l’entreprise a l’habitude d’agir sans empathie ni transparence », fait-il remarquer, « il devient alors beaucoup plus facile pour les gens de croire des allégations infondées concernant votre marque. »
POUR EN SAVOIR PLUS
Découvrez le premier volet de cette série en deux parties, qui vous propose davantage de conseils pour lutter contre la mésinformation et la désinformation, et explique pourquoi les entreprises ne peuvent pas compter sur des tiers ou sur les autorités judiciaires pour remédier à ce problème :
