La nouvelle génération de cyberrisques : vos conseils sont-ils à la hauteur?

Les rançongiciels dominent toujours, à juste titre, la plupart des discussions sur les cyberrisques. 

Mais l’intelligence artificielle, les hypertrucages et les entreprises de plus en plus interconnectées viennent redéfinir le paysage des menaces au Canada, et les conseils des courtiers doivent suivre le rythme. 

« Ce que nous commençons à observer, et ce que nous nous attendons à continuer de voir, ce sont des attaques perpétrées au moyen de l’IA, des techniques d’ingénierie sociale de plus en plus convaincantes et une exposition croissante de la chaîne d’approvisionnement », explique Leanne Taylor, directrice principale, Technologie et Cyber chez Souveraine Assurance. 

Plus rapides et plus ciblées, les attaquent visent de plus en plus les personnes et les partenaires sur lesquels comptent les entreprises, plutôt que leur technologie seule. 

L’IA vient changer les règles du jeu

Les activités de cybercriminalité qui nécessitaient auparavant du temps et des compétences techniques peuvent désormais se réaliser en quelques secondes, à une échelle sans précédent, selon ce qu’indique M^me Taylor.
Les acteurs malveillants personnalisent les messages d’hameçonnage et automatisent la reconnaissance, réduisant ainsi l’écart entre la découverte d’une vulnérabilité et son exploitation. 

Les mêmes outils d’IA qui créent de nouvelles capacités défensives génèrent également de nouvelles vulnérabilités au sein des entreprises qui les adoptent.  

M^me Taylor cite trois vulnérabilités spécifiques que devraient surveiller les entreprises clientes : l’injection immédiate, où un acteur malveillant passe outre les instructions d’un agent d’IA; l’empoisonnement des données, où des données manipulées viennent corrompre l’apprentissage d’un système d’IA; et l’IA fantôme, où des employés utilisent des outils non approuvés et y introduisent des renseignements sensibles. 

« Le fait que des employés utilisent des outils d’IA en dehors de ce qui est approuvé par leur entreprise et y introduisent des renseignements sensibles constitue un risque énorme », ajoute-t-elle.

Les personnes et les partenaires deviennent des cibles

Les cyberattaquants misent de plus en plus sur la confiance plutôt que sur les mécanismes de défense, selon M^me Taylor.

Le clonage vocal et l'hypertrucage vidéo permettent d’usurper de manière convaincante l’identité d’un dirigeant, et une demande frauduleuse peut désormais arriver par courriel ou par vidéo, en utilisant des canaux auxquels les employés ont appris à faire confiance depuis des années. 

« Les personnes sont ciblées parce qu’elles ont accès à l’information et bénéficient de la confiance de leur entourage, explique M^me Taylor. Il est souvent plus facile de persuader quelqu’un d’autoriser un paiement que de contourner un mécanisme de contrôle technique bien configuré. »

La formation en cybersécurité est utile, mais de simples habitudes de vérification permettent souvent d’éviter de telles attaques. « Si une demande est inhabituelle, urgente ou sensible, prenez le temps de réfléchir avant d’agir, conseille-t-elle. Vérifiez-la à l’aide d’une méthode indépendante et fiable, et ne passez à l’action qu’ensuite. »

Les fournisseurs externes représentent souvent un facteur de vulnérabilité négligé qui peut compromettre la chaîne d’approvisionnement d’un client, toujours selon M^me Taylor.  

« Un client peut disposer de mécanismes de contrôle internes rigoureux et subir malgré tout une interruption majeure parce qu’un fournisseur essentiel est indisponible ou compromis », explique-t-elle. 

Lorsque plusieurs secteurs d’une entreprise dépendent de la même plateforme infonuagique ou du même fournisseur de logiciels, un seul incident peut tous les perturber simultanément, avec des répercussions qui s’étendent bien au-delà de l’entreprise visée, notamment des pertes de revenus et une atteinte à la réputation. 

« Les organisations doivent passer d’une mentalité axée uniquement sur la prévention à une approche centrée sur la résilience », affirme Mme Taylor. L’authentification multifactorielle et l’application régulière des correctifs demeurent des protections de base, associées à une gouvernance et à un plan d’intervention en cas d’incident.

« Un plan ne doit pas se limiter à un simple document, affirme-t-elle. L’organisation doit le tester et s’assurer que les décideurs comprennent bien leurs rôles. »

Les courtiers peuvent également demander à leurs clients si leurs sauvegardes sont isolées et testées, et s’il existe une solution de rechange en cas de défaillance d’un fournisseur essentiel, ajoute-t-elle.

Une occasion pour les courtiers

Si on se tourne vers l’avenir, les cybermenaces de nouvelle génération offrent aux courtiers l’occasion de faire évoluer la conversation de la souscription d’une police vers la résilience de l’entreprise, selon M^me Taylor. 

Plutôt que d’amorcer la discussion en traitant de limites de garantie et de franchises, les courtiers peuvent demander quels systèmes sont essentiels aux activités d’un client et comment celui-ci vérifie les modifications de paiement. Ces questions traduisent l’exposition technique en conséquences organisationnelles que les clients comprennent déjà, comme un retard de production ou une interruption de service.

« Les courtiers n’ont pas besoin de devenir des ingénieurs en cybersécurité », précise M^me Taylor. « Leur rôle consiste à établir un lien entre l’exposition opérationnelle d’un client et sa stratégie de gestion des risques et d’assurance. »

La dépendance à l’égard de la chaîne d’approvisionnement mérite un examen direct de la couverture. Souveraine conseille aux courtiers de vérifier si une police couvre l’interruption des activités découlant de la carence des fournisseurs et si les fournisseurs clés sont visés par ses définitions. 

Cela signifie qu’il faut considérer la discussion sur la couverture comme un processus continu, et non comme un simple exercice de renouvellement.  

« Le cyberrisque évolue dès qu’un client adopte une nouvelle plateforme ou acquiert une nouvelle entreprise, explique-t-elle. Des discussions régulières permettent de faire évoluer la police au rythme de l’entreprise. »

Bien que la technologie soit appelée à évoluer sans cesse, M^me Taylor soutient que les organisations qui comprennent leurs dépendances et se préparent à la reprise de leurs activités avant même qu’un incident ne survienne seront les mieux placées pour réagir le moment venu. C’est précisément là que commence le rôle de conseiller de confiance qui revient aux courtiers.