Par Ping Identity
Depuis de nombreuses années déjà, les cybercriminels du monde entier utilisent des identités d’utilisateurs numériques compromises comme première porte d’entrée dans les systèmes informatiques de leurs victimes. Déguisés en utilisateurs vérifiés, ils espionnent leurs systèmes, placent des logiciels malveillants et des ransomwares, passent des commandes et effectuent des virements au nom d’autres personnes. Les experts en sécurité informatique du monde entier sont convaincus que ce danger va encore augmenter dans les années à venir, notamment parce que les cybercriminels utilisent de plus en plus souvent des outils basés sur l’IA. Les grandes entreprises sont conscientes de l’aggravation des risques et ont commencé à mettre en place des contre-mesures – dans le monde entier. Une nouvelle enquête publiée récemment par Ping Identity montre à quoi ressemblent ces mesures. Elle donne également la parole à des cadres français.
Au cours des dernières années et décennies, les systèmes IAM et CIAM ont connu un développement rapide. Depuis longtemps, ils peuvent faire bien plus que simplement aider leurs utilisateurs à gérer et à sécuriser les données d’identité numérique. Ils peuvent également aider les entreprises à empêcher les tentatives de fraude de manière préventive et à les combattre de manière curative. Cependant, toutes les entreprises ne se sont pas encore décidées à investir dans les nouvelles technologies. Les principaux utilisateurs sont – pour l’instant – toujours les entreprises qui disposent du plus grand nombre de ressources : Les grandes entreprises. Elles testent, posent les jalons, montrent la voie que les moyennes et petites entreprises suivront tôt ou tard. L’enquête ‘Fighting The Next Major Digital Threat : AI and Identity Fraud Protection Takes Priority‘, publiée récemment par Ping Identity, montre comment les décideurs des grandes entreprises évaluent la situation actuelle de la sécurité de leurs identités numériques, quelles mesures ils prévoient ou ont déjà prises. Au total, 700 décideurs de haut niveau de grandes entreprises ont été interrogés dans le cadre de cette enquête, dont 100 représentants de grandes entreprises françaises.
Les identités numériques dans la ligne de mire des cybercriminels
La protection des identités numériques des employés, des partenaires, des fournisseurs et des clients est un facteur clé dans la minimisation des risques pour la sécurité des systèmes, des applications et des données informatiques. Aujourd’hui déjà, la majorité des cyberattaques réussies sont dues à la capture et à la compromission de comptes d’utilisateurs. Les cybercriminels utilisent l’ingénierie sociale, le phishing et le spear phishing pour s’approprier les informations, créer de faux comptes, prendre le contrôle de comptes originaux ou les compromettre.
Comment les grandes entreprises se protègent
Dans l’enquête récemment publiée par Ping Identity, plus de 90% des décideurs informatiques de haut niveau interrogés ont déclaré que le niveau de risque de leur entreprise était ‘préoccupant’ ou ‘très préoccupant’ en ce qui concerne les variantes d’attaques actuelles pour la fraude à l’identité – de la compromission de l’identité, du phishing et du détournement de session, en passant par les entités synthétiques, les faux comptes et les prises de contrôle de compte, jusqu’à l’ingénierie sociale. Rien d’étonnant à cela ! Les mesures de sécurité actuellement mises en place dans de nombreux endroits sont encore très perfectibles, même dans le cas des grandes entreprises. Seuls 50 % environ ont déjà mis en place une authentification sécurisée à deux ou même plusieurs facteurs. A peine la moitié d’entre elles ont recours à la biométrie ou à des facteurs liés à la propriété, et un bon tiers à des facteurs basés sur la connaissance, bien moins sûrs. Les grandes entreprises françaises sont encore moins bien placées. Près de la moitié d’entre elles continuent de faire confiance à des combinaisons nom d’utilisateur/mot de passe peu sûres. Mais ce qui est réjouissant, c’est que la majorité – environ 75 % – veut augmenter ses investissements dans les systèmes IAM et CIAM au cours des 12 prochains mois – de la prévention à la lutte contre la fraude en passant par la détection des fraudes. En moyenne, 30,5 millions d’euros devraient être investis. En France, ce chiffre est un peu moins élevé – 26,1 millions d’euros.
L’IA – un gamechanger dans l’utilisation abusive des données d’identité numériques
Ils ont d’ailleurs grand besoin de ces augmentations d’investissement. En effet, dans les années à venir, la qualité et la quantité des attaques liées à l’identité vont selon toute vraisemblance augmenter de manière significative. La raison : la diffusion croissante d’outils d’attaque basés sur l’IA. Grâce à eux, les campagnes d’attaque peuvent être adaptées de manière automatisée à des victimes individuelles ou à des groupes de victimes spécifiques. Les “deep fakes”, dont tout le monde parle déjà aujourd’hui, pourront alors, selon toute vraisemblance, déployer une efficacité nettement plus grande qu’aujourd’hui. Les décideurs informatiques des grandes entreprises ont heureusement conscience de cette évolution des menaces. Ainsi, plus de 80 % des participants à l’enquête estiment que l’utilisation de l’IA par les cybercriminels va encore considérablement aggraver la situation des menaces basées sur l’identité au cours des 12 prochains mois. Plus de 90 % considèrent les ‘nouvelles menaces basées sur l’IA’ comme un risque préoccupant ou même très préoccupant pour leur entreprise. En conséquence, les préparatifs pour faire face à l’aggravation des menaces sont déjà bien avancés. Environ 40 % ont déjà mis en œuvre une stratégie prête à l’emploi contre les menaces d’identité basées sur l’IA. 40% d’entre eux ont déjà élaboré une stratégie, mais doivent encore la mettre en œuvre. Et 15 % sont encore en train de planifier.
Prévention préventive – Identités décentralisées
L’utilisation d’identités décentralisées est une possibilité d’aborder de manière préventive l’aggravation des menaces liées aux identités. Environ 50% des participants à l’enquête ont déclaré avoir déjà mis en place des identités décentralisées dans leurs propres systèmes IAM et CIAM. Un autre tiers a indiqué qu’il envisageait de les utiliser dans les 12 mois à venir. Toutefois, la plupart des personnes interrogées considèrent les identités décentralisées avant tout comme un moyen de résoudre des problèmes commerciaux. Seule une minorité, environ 20 %, pense que l’utilisation d’identités décentralisées les aidera à limiter les risques tels que la fraude sur les nouveaux comptes et le détournement de comptes. Il y a donc encore beaucoup de travail d’information à faire dans ce domaine. Les solutions de gestion des identités décentralisées sont justement supérieures à leurs prédécesseurs centralisés dans les domaines de la sécurité des données et de la protection des données, et ce sans nuire à la convivialité.
Lutte curative – Intelligence artificielle
Une autre façon de maîtriser la fraude à l’identité numérique basée sur l’IA : la détection active et l’élimination des activités frauduleuses à l’aide de l’intelligence artificielle. Plus de 40 % des participants à l’enquête ont déclaré qu’ils espéraient que l’utilisation de l’intelligence artificielle simplifierait l’authentification multifactorielle, la reconnaissance vocale et la reconnaissance faciale. Plus de 60 % pensent que l’utilisation accrue de l’IA leur permettra de rendre leurs exigences d’authentification plus dynamiques, en se basant sur le comportement réel et en temps réel de leurs utilisateurs. Et plus de 50 % pensent que l’IA leur permettra d’automatiser davantage leurs processus CIAM et de mieux s’entraîner à la détection automatique des fraudes.
L’enquête de Ping Identity montre que les grandes entreprises du monde entier ont compris que les risques liés à l’identité vont s’aggraver considérablement avec la montée en puissance de l’IA. Nombre d’entre elles ont donc commencé à investir massivement dans les technologies IAM et CIAM les plus récentes, telles que les solutions de détection de la fraude à l’identité basées sur l’IA et les solutions de gestion décentralisée des identités numériques. Dans les années à venir, les petites et moyennes entreprises suivront le mouvement, y compris en France. Seule une minorité d’entre elles pourra se permettre de recourir à l’approche gourmande en ressources de nombreuses grandes entreprises en misant entièrement ou partiellement sur des solutions internes. Mais cela ne sera pas nécessaire. Car il existe déjà aujourd’hui des solutions de fournisseurs efficaces. Et dans les années à venir, on peut s’attendre à ce qu’elles deviennent de plus en plus abordables pour les petites et très petites entreprises.