L'IA alimente une explosion des fraudes financières en entreprise, alertent les assureurs cyber

Les professionnels de l'assurance cyber sont unanimes : l'intelligence artificielle générative est en train de transformer la fraude financière en entreprise, à une vitesse qui dépasse les capacités de défense de nombreuses organisations. Réunis au NetDiligence Cyber Risk Summit, qui se tenait récemment à Philadelphie, assureurs, avocats et experts en gestion de crise ont dressé un constat similaire : la compromission de messagerie professionnelle (BEC, pour « business email compromise ») et les fraudes par usurpation d'identité connaissent une accélération nette depuis la fin de l'année 2025.

Des chiffres qui grimpent depuis fin 2025

Selon l'assureur Coalition, qui s'appuie sur les données de plus de 110 000 assurés, les sinistres liés au BEC ont augmenté d'environ 30 % en 2025 par rapport au second semestre 2024, et l'entreprise anticipe une hausse supérieure à 30 % en fréquence pour la période à venir, sans toutefois s'attendre à un doublement. Les pertes moyennes par sinistre restent pour l'instant inférieures à 30 000 dollars, même si l'assureur spécialisé NetDiligence a documenté un cas isolé ayant atteint 30 millions de dollars.

Chez Travelers, l'un des grands assureurs américains, Christine Mapes indique que la fraude financière et le BEC représentent désormais environ la moitié des sinistres cyber de la compagnie. La fréquence de ces sinistres a grimpé de 57 % entre le premier semestre 2025 et le premier semestre 2026, tandis que leur sévérité moyenne a progressé d'environ 30 % depuis 2023. Pour établir un point de comparaison, les intervenants rappellent qu'en 2020, la fréquence des sinistres avait déjà bondi de 67 %, mais cette hausse avait alors été attribuée au passage généralisé au télétravail, et non à l'intelligence artificielle.

Des outils d'IA de bout en bout pour l'usurpation

Ce qui change aujourd'hui, selon les intervenants, c'est l'apparition d'outils d'intelligence artificielle capables de mener une attaque de bout en bout. Un kit de phishing packagé baptisé EvilTokens, vendu sous forme de service pour 1 500 dollars à l'achat puis 500 dollars par mois d'abonnement, aurait ainsi permis de compromettre plus de 12 000 boîtes de messagerie dans plus de 10 000 organisations différentes.

Blake Feldman, d'Integreon, décrit la situation comme une véritable « course aux armements » : l'intelligence artificielle permet aux attaquants d'accéder plus facilement aux systèmes, de mieux cibler leurs victimes et d'évaluer plus précisément la valeur des données qu'ils dérobent. Elle fait aussi disparaître certains signaux d'alerte traditionnels, comme les fautes de syntaxe ou les tournures maladroites trahissant autrefois un message frauduleux rédigé par un attaquant non francophone ou non anglophone.

Sara Trokan, de Westfield Specialty, souligne de son côté la sophistication croissante des usurpations d'identité : les fraudeurs combinent désormais réseaux sociaux, e-mails, SMS, messages audio et vidéo pour se faire passer de façon crédible pour un dirigeant d'entreprise. Plusieurs employés, convaincus d'échanger avec leur hiérarchie, ont ainsi exécuté des virements frauduleux de montants importants.

Les PME, nouvelles cibles privilégiées

Autre évolution notable : les petites et moyennes entreprises, longtemps considérées comme des cibles secondaires, ne sont plus épargnées. Les kits d'attaque automatisés par IA permettent en effet de démultiplier le nombre de cibles visées à moindre coût, y compris lorsque les montants détournés restent modestes à l'échelle individuelle. Les intervenants notent également que certains de ces outils parviennent à contourner l'authentification à plusieurs facteurs, longtemps présentée comme une protection de référence contre le piratage de comptes.

Fait notable, la fréquence des attaques par rançongiciel resterait pour l'instant stable, les experts estimant que les étapes les plus manuelles de ce type d'attaque — déplacement latéral dans les systèmes, négociation avec la victime — devraient rester difficiles à automatiser entièrement pendant encore douze à trente-six mois. Coalition anticipe en revanche une hausse de 20 à 50 % des fraudes aux virements bancaires l'an prochain, et une progression comparable des fraudes par deepfake d'ici 2027.

Ce qui reste incertain

Si la coïncidence temporelle entre l'arrivée d'outils d'IA capables de mener des attaques de bout en bout et la hausse des sinistres est jugée « suggestive » par Coalition, l'assureur reconnaît ne pas pouvoir confirmer avec certitude, pour chaque cas pris individuellement, le recours effectif à l'intelligence artificielle par les attaquants. Les recommandations concrètes pour les entreprises n'ont pas non plus été détaillées publiquement dans leur intégralité ; les experts renvoient sur ce point vers les rapports complets publiés par les assureurs cités.