Comment l’IA pourrait favoriser la fraude financière

L’avènement de l’intelligence artificielle générative est un véritable défi dans le domaine de la cybersécurité. D’autant plus pour les sociétés financières, dont les données sont particulièrement sensibles, et qui sont la cible des pirates en quête de fonds.

Dans un rapport publié mercredi, le département américain du Trésor, qui a interrogé une quarantaine de membres d’établissements financiers outre-Atlantique, révèle que l’accélération de l’IA pourrait favoriser la fraude financière et faciliter la vie des pirates informatiques en rendant les technologies malicieuses beaucoup plus accessibles qu’autrefois.

« Les préoccupations identifiées par les institutions financières sont principalement liées à la réduction de la barrière à l’entrée pour les attaquants, à la plus grande sophistication et l’automatisation des attaques, ainsi qu’à la réduction du temps d’exploitation » lors des opérations malveillantes, alerte le Trésor.

Deepfakes de plus en plus crédibles

Des procédés déjà bien connus par les pirates pourraient devenir monnaie courante et engendrer de gros dégâts en devenant de plus en plus efficaces. C’est le cas par exemple du phishing – ces mails et messages frauduleux adressés notamment aux employés d’une entreprise – qui pourrait être beaucoup plus difficile à détecter, car mieux rédigé et avec un contexte plus cohérent grâce à l’IA générative.

Même défi pour les deepfakes, ces fausses vidéos ou enregistrements imitant le visage, la voix et les paroles d’une personne. « L’IA qui imite les caractéristiques humaines a progressé ces dernières années pour devenir beaucoup plus crédible. Les fraudeurs peuvent utiliser l’IA pour imiter la voix, la vidéo et d’autres facteurs d’identité comportementale que les institutions financières utilisent pour vérifier l’identité d’un client », souligne le Trésor.

« Nous avons observé des exemples de services d’ouverture des comptes bancaires fictifs utilisant l’IA générative, les deepfakes, pour contourner les systèmes automatiques de vérification d’identité. Le prix pour un compte est entre 70 et 90 dollars », relève Vincenzo Ciancaglini, chercheur senior spécialiste des menaces chez Trend Micro. Dans ce cas-là, le pirate se montre en visio avec un visage qui n’est pas le sien, accordé à une pièce d’identité volée pour ouvrir un compte bancaire.

Le spécialiste de la cybersécurité cite aussi des exemples de faux messages audio de managers ayant conduit des employés à accorder des prêts ou effectuer d’importants virements. Ces techniques peuvent même amener à des manipulations de marché , avec de faux messages postés sur les réseaux sociaux ou les forums, faisant flamber, ou au contraire dégringoler, un titre.

D’autres procédés, plus récents, menacent aussi les banques. Les pirates pourraient désormais craquer les logiciels d’IA génératives internes des établissements financiers, mais aussi empoisonner la data pour fausser les réponses de ces programmes et y intégrer des virus. Ou encore pirater des parties de codes pour comprendre les conditions d’obtention d’un prêt, par exemple.

Opportunités internes

Si les menaces sont bel et bien présentes, il n’en reste pas moins que les établissements financiers commencent à s’approprier l’IA générative pour développer en interne de nouvelles compétences. « Les outils d’IA peuvent aider à détecter les activités malveillantes qui se manifestent sans signature spécifique connue. Cette capacité est devenue essentielle face à des cybermenaces plus sophistiquées et dynamiques », soulève le rapport du Trésor.

L’adoption de l’IA et son appropriation profonde par les spécialistes de la cybersécurité pourraient ainsi permettre de bien mieux détecter les fraudes passées et les incidents à venir, avec une capacité d’analyse de données décuplée.

« Les banques commencent à utiliser l’IA en interne pour améliorer les contrôles d’identité et les approbations de prêts, mais aussi pour se défendre face au risque cyber », comment Vincenzo Ciancaglini. « Mais ces technologies posent une question d’adaptation aux réglementations et de responsabilité liée au domaine financier. Il faut toujours pouvoir justifier la prise de décision, il faut avoir un bon niveau de traçabilité de tous les pas adoptés pour le développement et l’utilisation du modèle », alerte-t-il. Cela demande bien sûr le développement de savoir-faire en interne, notamment autour du métier de prompt engineer – les développeurs qui programment une IA et corrigent ses défauts – notamment formés sur les enjeux de cybercriminalité.