L'intelligence artificielle a cessé d'être un jouet exotique pour les cybercriminels. Selon un rapport de la firme d'analyse Flashpoint, l'IA est maintenant intégrée dans les processus de routine des agresseurs, de la découverte des victimes à la demande finale de rançon. Ce ne sont plus des expériences de passionnés, mais un outil à part entière qui change l'économie des attaques. Et cela les change radicalement : ce qui, autrefois, exigeait des connaissances techniques profondes est maintenant disponible pour presque toute personne ayant un abonnement au bon service.
L'IA a disparu sous terre
Les chercheurs ont analysé un volume massif de données — 3,9 petaoctets — recueillies dans des forums souterrains, des conversations fermées et d'autres infrastructures criminelles. Au cours des six premiers mois de 2026, ils ont trouvé des mentions d'outils d'IA liés à la cybercriminalité dans plus de 22 millions de messages. Le chiffre lui-même est impressionnant, mais une autre observation est beaucoup plus intéressante : une partie importante de ces outils a déjà disparu des communautés criminelles publiques.
Il est clair que les criminels ne veulent pas exposer leur évolution. Ils déplacent l'IA vers une infrastructure privée et utilisent de plus en plus leurs propres modèles linguistiques avec toutes les garde-corps de sécurité complètement dépouillés. C'est une étape logique : les services commerciaux ChatGPT et similaires ont des barrières intégrées qui empêchent leur utilisation pour écrire des codes malveillants ou pour élaborer des campagnes d'hameçonnage convaincantes. Un modèle personnalisé n'a aucun problème.
Essentiellement, l'IA fait partie de l'arsenal standard, aussi courant qu'un panneau de contrôle d'exploitation ou de botnet. Il n'est plus relégué à une catégorie distincte de « technologies expérimentales », mais il est simplement intégré dans le pipeline d'attaque.
Comment fonctionne exactement l'IA dans les mains des attaquants
L'utilisation de l'IA couvre pratiquement toutes les étapes d'une attaque. Il ne s'agit pas d'un seul scénario, mais d'un ensemble de tâches qui nécessitaient auparavant un travail manuel et des niveaux de compétence élevés.
- Recueillir des informations sur la victime. L'IA aide à établir rapidement un profil détaillé d'une entreprise ou d'un employé spécifique. Il analyse les sources ouvertes, les médias sociaux et les fuites de données, et retire exactement les détails qui peuvent être exploités.
- Créer des messages d'hameçonnage. C'est peut-être le cas le plus évident. L'IA génère des courriels qui semblent avoir été écrits par un vrai collègue ou une banque. Et il le fait à l'échelle, adapté aux spécificités de chaque victime.
- Écrire des scripts pour contourner les défenses. Les attaquants utilisent l'IA pour créer ou modifier des scripts malveillants qui aident à échapper aux logiciels antivirus et autres mesures de sécurité.
- Générer du code d'exploitation. C'est un niveau plus avancé. L'IA aide non seulement à trouver une vulnérabilité, mais aussi à écrire rapidement un programme de travail pour l'exploiter. C'était autrefois le domaine des spécialistes étroits; maintenant, c'est presque un processus automatisé.
Le fondateur de Flashpoint Josh Lefkowitz a bien saisi l'essence du changement : l'IA réduit l'écart entre l'émergence d'une opportunité et son exploitation. Auparavant, entre la découverte d'une vulnérabilité et le lancement d'une attaque à grande échelle, il fallait du temps pour écrire du code manuellement. Maintenant cette étape est comprimée au minimum. Les tâches qui ont nécessité des mois de formation et de pratique sont terminées en minutes.
L'économie des attaques : moins cher et plus normalisé
L'étude Flashpoint a révélé une autre tendance importante : la cybercriminalité devient un véritable marché de biens et de services. Les différentes étapes des attaques sont normalisées et vendues comme produits prêts à l'emploi. L'exemple le plus frappant est infostealers — programmes malveillants qui volent les données des appareils infectés. Au cours de la première moitié de 2026, ils ont infecté 7,4 millions d'appareils dans le monde et volé environ 1,7 milliard de lettres de créances et d'autres objets d'identification.
Les familles les plus répandues sont Vidar, StealC et Lumma. Ils sont notamment distribués sur un modèle d'abonnement : n'importe qui peut louer un infostealer pour une période déterminée. Cela réduit la barrière à l'entrée — il n'y a pas besoin d'écrire vous-même le code malveillant; vous pouvez simplement «louer» un outil prêt à l'emploi.
De valeur particulière pour les criminels ne sont pas les mots de passe eux-mêmes, mais des jetons de session de navigateur actif. Avec cela, un attaquant peut accéder au compte d'une victime sans même connaître le mot de passe. Cela rend les attaques encore plus dangereuses parce que les utilisateurs ne peuvent même pas soupçonner que leurs comptes ont déjà été compromis.
Le coût de l'accès initial aux systèmes compromis a également diminué. Le prix moyen de cet accès était de 439 $, soit 69 % de moins qu'auparavant. Ceci confirme que le marché devient saturé par l'offre et la concurrence parmi les cybercriminels augmente.
Vulnérabilités croissantes et Ransomware
Le nombre de vulnérabilités continue de croître. Flashpoint a enregistré 21 667 vulnérabilités au cours des six premiers mois de 2026, soit 8 % de plus qu'au cours de la même période l'an dernier. De ce nombre, 4 015 (près d'un sur cinq) étaient accompagnés d'un code d'exploitation accessible au public. Cela signifie que même un attaquant inexpérimenté n'a pas besoin de comprendre les détails eux-mêmes — le code ready-made est déjà disponible en ouvert.
Ransomware brise aussi des records. Le nombre de victimes confirmées au premier semestre de 2026 a atteint 6 256, en hausse de 45% par rapport à la même période en 2025. La croissance s'explique non seulement par l'augmentation du nombre d'attaques elles-mêmes, mais aussi par le fait que l'IA permet l'automatisation de leur préparation et exécution.
Conclusion : Le combat devra être au sujet de la vitesse
La principale conclusion du rapport Flashpoint est que la cybersécurité change de direction. Auparavant, la défense était construite autour de la lutte contre des outils spécifiques et des signatures connues de logiciels malveillants. Cela ne suffit plus. L'IA peut accélérer plusieurs processus simultanément : recueillir des informations sur une entreprise, préparer des messages convaincants, analyser du code et adapter des outils malveillants à des défenses spécifiques.
Les attaques deviennent plus rapides, moins coûteuses et plus accessibles. L'idée même de « construire une clôture » contre un virus spécifique devient obsolète : la défense statique cède la place à la nécessité de réagir à la vitesse de toute la chaîne d'attaque. Alors que certains IA écrivent des emails au nom de votre PDG, d'autres adaptent le code malveillant à votre antivirus. Et dans cette course, l'avantage va à quiconque est plus rapide — et jusqu'à présent, ce n'est clairement pas les défenseurs.
