Une campagne à 50 dollars le piratage
Plus de 1 200 tentatives d'intrusion. Plus de 100 sites compromis. Environ 5 000 dollars dépensés en jetons d'IA. Soit à peu près 50 dollars par piratage réussi. Le rapport, transmis à Reuters et publié le 19 octobre, décrit une campagne menée par un attaquant présenté comme sinophone, à l'aide d'agents d'IA autonomes.
Les instructions étaient brèves. Les agents ont fait le reste.
Comment ça fonctionne
Les agents combinaient plusieurs modèles grand public. Ils cherchaient des failles, enchaînaient les tentatives, adaptaient leur approche, sans intervention humaine directe à chaque étape. Cibles : des sites de commerce en ligne aux États-Unis, au Canada, en Australie, au Japon. Parmi les victimes identifiées, de grands groupes industriels et de biens de consommation.
Une intrusion réussie demandait en moyenne environ 23 heures de recherche. Pour une machine, c'est peu.
L'économie de l'attaque a changé
La sophistication n'est pas nouvelle. Le coût, si. Ce qui demandait une équipe et des semaines se lance désormais avec un budget de fonctionnement modeste, et tourne en continu. Conséquence directe : beaucoup plus de cibles testées. Une organisation de taille moyenne ne peut plus compter sur son relatif anonymat.
Elle sera scannée. Probablement déjà.
Tester plus souvent que l'attaquant
Face à des attaques automatisées et permanentes, un test d'intrusion annuel ne suffit plus. Entre deux audits, le code change, des dépendances vieillissent, de nouvelles pages sont mises en ligne. Chaque modification peut rouvrir une faille.
La réponse passe par des tests de sécurité intégrés au cycle de livraison. Analyse des dépendances à chaque construction. Tests automatisés sur les parcours sensibles, authentification et paiement en tête. Scans réguliers de la surface exposée, y compris des sites secondaires qu'on oublie. Et capacité à corriger hors cycle, en quelques heures.
Ce qui se joue pour les équipes
La question n'est plus de savoir si l'on est une cible intéressante. Elle est de savoir combien de temps une faiblesse peut rester ouverte avant qu'un agent la trouve. Réduire ce délai, c'est l'objectif. Et ça passe par une organisation des tests aussi continue que celle des attaquants.
