Au début de sa prise de poste, un analyste de HorizonPay accède à une file d’attente d’alertes déjà évaluées par un outil de tri basé sur l’IA. Ce score aide à prioriser les tâches, sans pour autant confirmer si l’alerte constitue un incident avéré. Au sein de cette fintech de 1 200 employés, nous cartographions le parcours de l’attaquant avant de sélectionner les mesures de défense appropriées.
Une chaîne d’attaque désigne la séquence d’événements liés allant du premier contact jusqu’à l’impact sur l’activité. L’IA permet de personnaliser et de reproduire plus rapidement des attaques connues. La chaîne d’attaque visant HorizonPay peut débuter par une tentative d’hameçonnage (technique T1566), se poursuivre par la réutilisation d’identifiants et la création d’une règle de messagerie, évoluer vers une demande de paiement relevant de l’usurpation d’identité (technique T1656), pour finalement aboutir au transfert d’outils d’intrusion (technique T1105). Les demandes impliquant le clonage vocal correspondent à la technique T1566.004 (Spearphishing Voice). La phase de reconnaissance assistée par IA correspond à la technique T1595 (Active Scanning), tandis que les variantes de logiciels malveillants relèvent de la technique T1027 (Obfuscated Files or Information). Il est ainsi possible de repérer les points d’intersection entre cette chaîne d’attaque et les dispositifs de défense protégeant les identités, la messagerie et les terminaux.
Ces processus s’inscrivent dans les étapes de détection et de tri du cycle de vie de l’incident. Une recommandation issue de l’IA constitue un élément d’aide à la décision pour l’analyste, et non une décision définitive en soi. Avant de bloquer un expéditeur, de désactiver un compte ou de transmettre une demande de paiement pour traitement ultérieur, l’analyste doit vérifier les indicateurs d’identité, la provenance de la demande ainsi que la télémétrie sous-jacente du poste de travail ou du réseau. Ces éléments permettent de déterminer si des observations distinctes corroborent un même scénario.
Pouvoir de décisionLes suggestions de l’IA peuvent entraîner une lassitude face aux alertes lorsque des faux positifs récurrents semblent crédibles. L’analyste conserve le pouvoir d’ignorer la suggestion et d’en consigner le motif.
Les cas rencontrés par HorizonPay illustrent les éléments de preuve requis avant de valider une décision suggérée par l’IA.