ArticleCybersécurité & Conformité
L'IA commence à peser dans les violations de données
Dans la vingtième édition de son rapport sur les coûts des violations de données, IBM souligne le rôle croissant de l'intelligence artificielle dans les campagnes malveillantes. En France, son coût a baissé de 7 % et atteint 3,59 M€ en moyenne avec comme principaux secteurs ciblés les laboratoires pharmaceutiques, les services financiers et l'énergie.
Les pirates font de plus en plus appel à l’intelligence artificielle. Selon IBM, qui a mis en ligne la dernière itération de son étude sur les violations de données, ils s’en servent pour perfectionner et étendre leurs campagnes malveillantes. Avec à la clé une réduction sensible du temps nécessaire pour concevoir par exemple un mail de phishing convaincant en 5 mn contre 16 heures auparavant. En moyenne, 16 % des violations de données ont impliqué des attaques recourant à l’IA pour du phishing (37 %) et de l’usurpation d’identité par deepfake (35 %). Le shadow IA pèse aussi sur l’activité des entreprises, sa responsabilité étant impliquée dans 20 % des violations de données et pesé dans son coût moyen à hauteur de plus de 200 000 $. En outre, ces incidents ont compromis davantage d’informations personnelles identifiables (65 %) que de propriété intellectuelle (40 %).
“Pour l’instant, les incidents de sécurité impliquant l’IA d’une entreprise demeurent limités. En moyenne, 13 % des entreprises ont indiqué avoir été victimes de violations impliquant leurs applications ou modèles d’IA. Toutefois, parmi les entreprises victimes, la quasi-totalité (97 %) n’a pas mis en place de contrôles d’accès par l’IA suffisants”, indique le fournisseur. “De même, la plupart de ces incidents de sécurité sont survenus sur la chaîne d’approvisionnement d’IA par le biais d’applications, d’API ou de plug-ins compromis. Et ces incidents ont eu des répercussions : ils ont conduit à une compromission de données à grande échelle (60 %) et une perturbation opérationnelle (31 %). D’après les résultats, l’IA devient une cible de très grande valeur.”
Le coût moyen d’une violation de données en baisse
En 2025, le coût moyen global d'une violation de données en France a atteint 3,59 M€, en baisse de 7 % sur un an. Les secteurs ayant le plus subi sont l’industrie pharmaceutique (coût moyen de 5,11 M€), les services financiers (4,65 M€), et l’énergie (4,45 M€). Au niveau mondial, le coût moyen global d’une violation de données est passé de 4,88 M$ en 2024 à 4,44M$ (- 9 %) et a retrouvé son niveau de 2023. “L’identification et la maîtrise plus rapides des violations, principalement à l’initiative des équipes de sécurité et des services de protection des entreprises, qui s’appuient sur l’IA et l’automatisation”, sont des facteurs qui expliquent ce recul.
Le coût moyen par vecteur d’attaque initial sont les suivants : vol physique ou problème de sécurité (4,81 M€), erreur interne accidentelle (3,52 M€), compromission des fournisseurs tiers et de la chaine d’approvisionnement (3,48 M€), et attaques par déni de service (3,11 M€). Par ailleurs, 27 % des violations de données étudiées concernaient des données stockées dans plusieurs environnements, pour un coût moyen de 4 millions d’€ et il faut en moyenne 213 jours pour identifier une violation et 71 jours pour la contenir, soit une baisse de 5 jours dans les deux cas par rapport à 2024. Par ailleurs 35 % des entreprises ont mis en place et outillé des politiques et processus de gouvernance pour gérer l'utilisation de l'IA et prévenir le shadow AI.
Lorsqu'une entreprise subit une violation de données, plusieurs facteurs impactent son coût, à la baisse ou à la hausse. Pour ceux contribuant à l'aggraver : la compromission de la chaine d'approvisionnement (+331 100 €), le shadow IA (+321 900 €), et l'adoption de solutions d'IA (+311 200 €). Ceux qui au contraire font diminuer le coût moyen d'une violation de données pour l'entreprise : la présence d'une solution en gestion des identités (-337 076 €), les renseignements sur les menaces (-293 339 €), et le machine learning secops (-290 245 €).
Le visage des violations de données a bien changé
En 2005 45 % étaient dues à la perte ou au vol de terminaux et de matériels informatiques (ordinateur, clé USB...) et 10 % à des systèmes piratés. Aujourd’hui les chiffres se sont inversés et une majorité de ces compromissions sont causées par des attaques informatiques. “Il y a 10 ans, les violations découlaient d’une mauvaise configuration du cloud et n’étaient pas considérées comme une menace catégorisée. Aujourd’hui, le cloud et les données sont des cibles de choix, et ce n’est que lors des confinements en période de Covid-19, en 2020, que les attaques par ransomware ont commencé à prendre de l’ampleur”, souligne le rapport réalisé par Ponemon Institute pour le compte de big blue.
