Buckle up for 2025.
Le paysage de la cybersécurité, en constante évolution, est déjà suffisamment difficile à appréhender, et nous observons désormais l'émergence de menaces d'un tout autre niveau qui se profilent à l'horizon.
Pensez à certaines des violations de sécurité les plus marquantes de cette année : cela vous donnera quelques indices sur les prévisions à venir en matière de cybersécurité.
En 2024, plus d'un milliard d'enregistrements ont été volés, ce qui a porté préjudice tant aux particuliers qu'à la réputation des entreprises. L’IA « fantôme » – cette forme insaisissable d’IA générative que les pionniers de votre organisation testent déjà – a continué à s’imposer dans les entreprises du monde entier, posant aux services informatiques des dilemmes qu’ils n’avaient plus rencontrés depuis l’apparition des appareils mobiles peu sécurisés et leur utilisation par les employés au travail. Et, bien sûr, le ransomware « » ( ) a continué de sévir de manière particulièrement brutale, touchant très durement les prestataires de soins de santé () ( ).
Vous pouvez parier que ces tendances se poursuivront au cours de la nouvelle année – mais ce n’est pas tout : Focal Point a demandé à certaines des sources que nous avons récemment interviewées si elles avaient des prévisions audacieuses sur ce qui nous attend. Voici quelques-unes de leurs analyses les plus stimulantes, ainsi que des conseils et des ressources que nous avons rassemblés pour vous préparer au cours 2025… et au-delà :
1. La biométrie va se solfeler
La biométrie a été présentée comme le Saint Graal de l'authentification, mais Roger Grimes, expert renommé en authentification chez KnowBe4, une entreprise spécialisée dans la formation à la sensibilisation à la sécurité, estime que ce ne sont que des balivernes.
«Dites adieu au mythe selon lequel les empreintes digitales seraient des identifiants « uniques » : elles sont presque aussi faciles à pirater que les mots de passe. »Roger Grimes, expert chevronné en authentification, KnowBe4
« On verra que la biométrie n’est pas un bon moyen d’authentification », affirme-t-il, car les technologies modernes, telles que l’IA générative, permettent de falsifier beaucoup trop facilement un visage, une rétine ou une empreinte digitale. Ces films dans lesquels des voleurs coupent le pouce d'un méchant et s'en servent pour accéder à une chambre forte imprenable prennent une toute nouvelle dimension avec la technologie numérique, explique-t-il.
« Aujourd’hui, je peux extraire 30 secondes de votre vidéo et créer un deepfake qui vous permettra de dévaliser votre banque », explique Grimes.
Un nouveau rapport de l’Institute for Security + Technology intitulé « » confirme cette affirmation en indiquant : « L’essor des technologies de deepfakes convaincantes constitue une menace sérieuse pour les systèmes d’authentification traditionnels qui s’appuient sur des indices visuels ou auditifs pour la vérification. » « Les systèmes d’authentification biométrique qui recourent à la reconnaissance faciale ou à l’analyse vocale ont déjà été compromis par la technologie du deepfake à plusieurs reprises. »
Alors, quelle est la prochaine étape ? Les entreprises et les pouvoirs publics s'orienteront probablement vers l'authentification multifactorielle (MFA) et d'autres formes de gestion renforcée de l'identité et des accès (IAM) , en combinant peut-être la biométrie avec des clés matérielles telles que les YubiKeys, explique-t-il. En résumé : la biométrie à elle seule n'est tout simplement pas suffisamment sûre. Selon les prévisions de Gartner , , d’ici 2026, les attaques utilisant des « deepfakes » générés par l’IA et ciblant la biométrie faciale conduiront 30 % des entreprises à ne plus considérer ces solutions de vérification d’identité et d’authentification comme fiables lorsqu’elles sont utilisées seules.
« Dites adieu au mythe selon lequel les empreintes digitales seraient des identifiants “uniques” : elles sont presque aussi faciles à pirater que les mots de passe, dès lors que les pirates informatiques commencent à s’y intéresser », déclare Grimes.
2. Les outils basés sur l'IA deviennent des armes à double tranchant
Erik Avakian, ancien responsable de la sécurité des systèmes d'information (RSSI) de l'État de Pennsylvanie et désormais consultant en cybersécurité, prévoit une augmentation de l'utilisation des outils d'automatisation et de productivité personnelle basés sur l'intelligence artificielle dans les entreprises. Selon lui, l'intégration de ces outils qui imitent les tâches humaines permettra d'accroître la productivité, mais entraînera également des risques en matière de sécurité et de confidentialité.
« À mesure que ces outils et ces fonctionnalités sont intégrés dans les environnements d’entreprise, ils pourraient avoir des conséquences imprévues et durables », met en garde M. Avakian. « L’exploitation des fonctionnalités et des capacités de ces outils pourrait permettre un accès non autorisé à des données sensibles ou à la propriété intellectuelle, ou encore donner lieu à des injections malveillantes et à des utilisations abusives, telles que l’injection de commandes erronées (intentionnelles ou non) sans que l’utilisateur ne le souhaite. »
Avant d’adopter des outils basés sur l’IA en production, M. Avakian conseille aux organisations de mettre en place des bases solides en matière d’ , d’IA et de gouvernance des données, de stratégie de sécurité (combattre le feu par le feu en renforçant votre sécurité grâce à l’automatisation et à l’IA), de politiques de confidentialité, de formation des collaborateurs et de procédures de test rigoureuses – le tout en cohérence avec les objectifs de l’entreprise. Sans ces bases, ces outils pourraient accroître l'exposition aux risques de l'organisation, car leur efficacité dépend fortement de la qualité et de la sécurité des données qu'ils traitent, explique-t-il.
3. Les paiements versés aux auteurs de ransomware font l'objet d'une réglementation mondiale
Les ransomwares ne constituent plus seulement un problème informatique ; ils représentent désormais une menace pour la sécurité nationale, selon Kirsten Bay, PDG de Cysurance, un assureur spécialisé dans la cyberassurance. Compte tenu de la récente recrudescence des attaques de type « ransomware-as-a-service » (qui ne fera que s'intensifier grâce à l'IA), M. Bay prévoit une répression des paiements de rançons par le biais d'un cadre réglementaire coordonné à l'échelle mondiale.
« Les actes d'extorsion constituent une menace mondiale pour la sécurité nationale », déclare M. Bay. Cela implique un suivi plus rigoureux et des sanctions potentielles en cas de non-déclaration des paiements de rançon, notamment lorsqu'ils sont effectués en cryptomonnaie.
Même si la réglementation ne permettra sans doute pas d'éradiquer les ransomwares, elle pourrait en freiner la propagation en coupant les sources de revenus des cybercriminels. Il faut s'attendre à ce que les gouvernements incitent davantage les entreprises à signaler les incidents liés aux demandes de rançon, en prévoyant des sanctions pour celles qui ne le font pas. Cela pourrait se traduire par de nouveaux obstacles juridiques et réglementaires pour les entreprises lors des négociations de rançon.
4. La souveraineté des données et les « ambassades de données » se généralisent
Les pays, notamment au sein de l’Union européenne, se montrent de plus en plus soucieux de protéger les données personnelles de leurs citoyens , ce qui a donné naissance aux « ambassades de données » – des centres de données sécurisés situés en dehors des frontières physiques d’un pays.
«Les petits États se rendent compte qu’ils ne peuvent pas toujours protéger leurs données sur site. »Frank Dickson, analyste en cybersécurité chez IDC
Le principe des « ambassades de données » repose sur l’idée suivante : en transférant des actifs numériques hors de ses propres frontières — où un gouvernement pourrait ne pas disposer des moyens nécessaires pour se prémunir pleinement contre les intrusions — vers des installations plus sécurisées situées dans d’autres pays, on les rend « inviolables et, par conséquent, à l’abri de toute perquisition, réquisition, saisie ou mesure d’exécution », selon l’initiative Datasphere. L'Estonie, par exemple, a transféré ses actifs numériques au Luxembourg voisin en 2016 afin de les protéger contre des attaques qui proviendraient, selon certaines allégations, de Russie.
IDC considère qu'il s'agit d'une tendance qui se poursuit et prévoit que d'ici 2026 (bon, ce n'est pas tout à fait une prévision pour 2025 , mais il pourrait y avoir des évolutions à ce sujet l'année prochaine), cinq pays souverains auront mis en place des « ambassades de données » au sein de l'UE.
« Les petits États souverains prennent conscience qu’ils ne peuvent pas toujours protéger leurs données sur site », explique Frank Dickson, analyste en cybersécurité chez IDC. C'est logique. Après tout, comment pouvez-vous garantir la souveraineté et la cohérence de vos données gouvernementales si vous avez du mal à protéger vos propres frontières ?
Pour les entreprises américaines présentes à l'international, cette tendance implique des règles plus strictes concernant les lieux où les données peuvent être stockées et traitées, explique M. Dickson. Le respect des cadres réglementaires de l'UE et de la norme G7 en matière de souveraineté des données deviendra probablement une exigence incontournable, ce qui obligera les entreprises à repenser leurs stratégies en matière d'infrastructure. Il conclut que tout manquement à ces obligations pourrait entraîner des amendes colossales et des restrictions commerciales de part et d'autre de l'Atlantique.
5. Les assureurs spécialisés dans la cybercriminalité durcissent leur politique en matière d'indemnisation
La période de « lune de miel » de l'assurance cyber touche à sa fin.
«Attendez-vous à des ajustements plus radicaux et à des conditions plus strictes pour les demandes d’indemnisation. »Scott Godes, associé et coprésident, Barnes & Thornburg
Scott Godes, associé et coprésident du cabinet Barnes & Thornburg, prévoit que les assureurs limiteront les indemnités versées au titre des sinistres liés à la cybercriminalité, notamment en ce qui concerne les attaques par ransomware et les violations de la confidentialité des données. « Il faut s’attendre à des ajustements plus radicaux et à des conditions plus strictes en matière d’indemnisation », déclare-t-il.
Quelles en sont les conséquences pour les entreprises ? Les assureurs durcissent les règles. Si votre entreprise n'est pas en mesure de démontrer qu'elle dispose d'un dispositif de sécurité à toute épreuve, ne vous attendez pas à recevoir une indemnisation conséquente, voire à en recevoir une tout court, en cas de piratage.
Veillez plutôt à vous prémunir contre la possibilité que votre assureur intente une action en justice pour éviter de vous indemniser, en faisant valoir que vous n’avez pas fait preuve de la diligence requise et que vous n’avez pas suffisamment détaillé les mesures que vous aviez prises pour protéger vos données. Les responsables de la sécurité des systèmes d'information (RSSI) doivent accorder davantage d'attention à l' , en documentant tout ce qu'ils font – l'ensemble de leurs mesures de sécurité – sous peine de voir un assureur leur couper l'herbe sous le pied lorsqu'un cyberincident coûteux se produira.
6. Les attaques basées sur l'IA compromettent les infrastructures critiques
Nous avons déjà assisté à de nombreuses attaques par ransomware, mais attendez un peu : l'année prochaine, voire plus tôt, ces attaques pourraient atteindre de nouveaux sommets en fragilisant les infrastructures critiques.
«Ce n’est plus seulement une disruption ; c’est une destruction. »Erik Avakian, ancien responsable de la sécurité des systèmes d'information (RSSI) de l'État de Pennsylvanie
M. Avakian estime que les pirates s'attaqueront de plus en plus aux systèmes physiques, qu'il s'agisse des réseaux électriques ou des réseaux d'approvisionnement en eau. (Particulièrement exposés : les petits services publics et les entreprises du secteur de l'énergie.) Nous observons d'ores et déjà des signes évidents indiquant que des pirates informatiques, qui seraient liés à des gouvernements hostiles, intensifient leurs attaques contre les infrastructures critiques américaines. En mars, le FBI a averti le Congrès que des pirates informatiques chinois avaient pénétré profondément dans les infrastructures informatiques américaines dans le but de causer des dommages. Et début octobre, American Water, le plus grand service public de distribution d'eau des États-Unis, a été victime d'une cyberattaque qui a contraint l'entreprise à mettre ses systèmes hors service. L'auteur n'a pas été identifié, mais on pense qu'il était soutenu par un État-nation.
« Il ne s’agit plus seulement de perturbation ; c’est de la destruction », met en garde Avakian.
Ces attaques basées sur l'intelligence artificielle pourraient compromettre des chaînes d'approvisionnement entières, provoquant des ravages qui vont bien au-delà de la simple perte de données. Imaginez la panique si un ver informatique alimenté par l'IA pouvait détruire physiquement du matériel, obligeant les entreprises à se démener pour rétablir leurs systèmes. Les pouvoirs publics et le secteur privé devront renforcer la sécurité cyber-physique, sous peine d'en subir les conséquences.
7. Les entreprises américaines se préparent à faire face à de nouvelles exigences de l'UE en matière de protection de la vie privée dans le domaine de l'IA
IDC prévoit que d'ici l'année prochaine, l'UE et G7 adopteront un cadre permettant aux particuliers de bloquer l'utilisation des informations à caractère personnel (PII) dans le domaine de l'IA, de réglementer le lieu géographique de stockage de ces informations et de corriger les informations erronées. Une telle prévision irait sans doute au-delà de ce qui est prévu dans la loi européenne sur l’IA récemment adoptée EU AI Act. Ce cadre général, fondé sur l'analyse des risques, régira le développement, le déploiement et l'utilisation des systèmes d'IA « » en Europe.
Selon M. Dickson, d'IDC, cette prévision aura de lourdes conséquences pour les entreprises américaines présentes en Europe si elles n'y sont pas préparées. Selon lui, se préparer signifie disposer des technologies nécessaires pour empêcher que des informations personnelles identifiables ne soient téléchargées et utilisées par les grands modèles linguistiques (LLM) qui alimentent les outils de chatbot basés sur l'IA tels que ChatGPT, Gemini ou Microsoft Copilot.
« Si un résident de l'UE dispose du droit de bloquer l'utilisation de ses données, vous devrez vous assurer que vos plateformes de données clients (CDP) sont en mesure d'automatiser le blocage de ces données », explique-t-il. « Si vous commettez une erreur, ce genre de réglementations est très stricte, et leur non-respect pourrait vous coûter très cher. »
8. Le repli du marché de la réassurance cyber entraîne une crise de la couverture
L'augmentation des rançons et des incidents liés à la fraude par e-mail professionnel (BEC) incitent les réassureurs à se montrer plus réticents. M. Bay, de Cysurance, prévoit un « recul de la réassurance cyber » qui limitera les fonds dont disposent les compagnies d'assurance, réduisant ainsi l'étendue de la couverture cyber proposée aux entreprises.
Pour les entreprises, cela se traduit par une augmentation potentielle des primes, une baisse des plafonds de couverture et des exigences de sécurité plus strictes pour pouvoir prétendre à une assurance – même si les taux globaux d' s continuent de baisser. Les réassureurs exigeront la preuve d'un niveau de sécurité élevé ; les entreprises devront donc valider rigoureusement leurs dispositifs de protection, explique M. Bay.
Cette évolution pourrait rendre l'assurance cyber plus difficile à obtenir, alors même qu'elle devient indispensable, ajoute-t-elle.
9. La cyberdéfense décentralisée se généralise
Alors que les systèmes de cybersécurité centralisés peinent à suivre le rythme des menaces en constante évolution, l'année 2025 marquera l'essor des réseaux de cyberdéfense décentralisés et pilotés par la communauté, affirme Sean O'Brien, fondateur du Yale Privacy Lab, qui estime que cette évolution changera la donne.
«Nous assisterons à une croissance rapide des réseaux de cyberdéfense décentralisés s’appuyant sur la blockchain, les logiciels libres et la technologie P2P . »Sean O'Brien, fondateur du Yale Privacy Lab
« Nous assisterons à une croissance rapide des réseaux de cyberdéfense décentralisés s'appuyant sur la blockchain « », les logiciels libres et la technologie P2P », prédit-il. Ces réseaux, ou « observatoires », permettront aux entreprises de mettre en commun leurs ressources, à l’instar de ce que font les organisations lorsqu’elles mettent en place des programmes d’ en matière de cybersécurité à l’échelle de l’État, et de partager des mécanismes de défense de manière sans recourir à une entité de confiance et de façon décentralisée, explique-t-il.
Quelles en sont les conséquences ? Cette approche pourrait atténuer les risques liés aux points de défaillance uniques inhérents aux systèmes centralisés, offrant ainsi une protection plus résiliente contre les attaques sophistiquées. Pour les entreprises, cela implique de tirer parti de ressources issues de la communauté et d’ r des informations sur les menaces en temps réel , capables de s’adapter plus rapidement que les modèles traditionnels. D'ici 2025, les défenses décentralisées pourraient bien être la solution pour s'affranchir des dispositifs de cybersécurité obsolètes et facilement piratables.
10. Les pirates tirent parti des implémentations d'IA mal conçues
Johannes Ullrich, directeur de la recherche au SANS Institute, souligne que toutes les mises en œuvre de l'IA ne se valent pas. En effet, de nombreuses organisations, dans leur empressement à adopter l'IA générative à des fins commerciales et opérationnelles, risquent de ne pas déployer cette technologie en accordant la priorité aux questions de sécurité.
« Les pirates pourraient se rendre compte que les défenses basées sur l’IA et l’apprentissage automatique de présentent des angles morts spécifiques en raison du caractère incomplet et biaisé des données d’entraînement utilisées pour créer ces modèles », explique M. Ullrich. « Dans certains cas, si des modèles d’IA sont utilisés pour répondre automatiquement, les auteurs de menaces pourraient parvenir à tromper ces modèles afin qu’ils agissent au nom du logiciel malveillant. »
Selon M. Avakian, le risque que représentent ce type d'attaques souligne la nécessité d'une gouvernance solide en matière d'IA. Les responsables de la sécurité des systèmes d'information (RSSI) doivent veiller à ce que les intégrations d'IA soient sécurisées et conformes, précise-t-il. Cela implique de mettre en place de nouvelles politiques en matière de traitement des données, de sécurité et de conformité, sans pour autant freiner l'innovation.
Les processus basés sur l'IA touchant pratiquement tous les domaines de l'entreprise, des ressources humaines au service client, les entreprises auront besoin de cadres solides pour garantir la sécurité et l'efficacité de leurs opérations, ajoute M. Avakian. Ceux qui négligent la gouvernance de l'IA pourraient en payer le prix fort sous forme de fuites de données et d'amendes réglementaires très lourdes.
