Un chercheur en cybersécurité révèle comment l'IA Copilot de Microsoft peut-être utilisée pour obtenir des informations personnelles sur l'entreprise (ou une autre) avec une facilité déconcertante.

Microsoft aime l'intelligence artificielle. Il n'y a qu'à voir comment l'entreprise cherche à nous faire utiliser son assistant IA Copilot par tous les moyens. Sa stratégie principale est de l'intégrer partout où elle le peut sur votre machine, par exemple dans le menu Démarrer, pour ne citer que la dernière tentative en date. Si certaines personnes vont trouver cette méthode particulièrement agaçante, la fonctionnalité se révélera utile pour d'autres. Afin de gagner en productivité par exemple, mais aussi pour mener à bien de activités totalement illégales.

C'est ce qu'a démontré Michael Bargury, directeur technique de Zenity, une entreprise spécialisée en cybersécurité. Lors de la conférence Black Hat de Las Vegas au début du mois d'août, il a dévoilé comment Copilot peut servir à obtenir les informations personnelles d'employés puis à lancer des attaques à l'aide d'e-mails extrêmement convaincants. Et comme si ça n'était pas suffisamment inquiétant, l'IA peut aussi servir à détourner de l'argent facilement.

L'IA Copilot peut être utilisée pour voler les secrets d'une entreprise ou détourner l'argent des banques

Pour faire simple, les pirates peuvent demander à Copilot de récupérer les informations personnelles d'employés d'une entreprise, comme les mails. L'IA peut ensuite “automatiser le spear phishing [hameçonnage qui utilise l'ingénierie sociale, ndlr] pour tous les collaborateurs de votre victime” en rédigeant des mails, des messages instantanés ou des invitation à ajouter son agenda plus vrais que nature.

À cause de la façon dont Copilot scanne les messages, il n'est pas même pas nécessaire d'interagir avec le faux contenu. L'expert en cybersécurité a pu ainsi intercepter un virement bancaire entre une cible et une banque avant d'en changer le destinataire, “juste en envoyant un mail à la personne“, créé par Copilot bien sûr.

Lire aussi – ChatGPT : attention, les pirates exploitent une nouvelle faille pour voler vos données personnelles

Informé des trouvailles de Michael Bargury, Microsoft a répondu prendre ces dernières au sérieux : “Nous étudions ces rapports et améliorons continuellement nos systèmes pour identifier et atténuer de manière proactive ces types de menaces et contribuer à protéger nos clients“. L'entreprise rappelle dans le même temps que certaines des attaques décrites ici nécessitent au préalable que le système visé soit compromis d'une manière ou d'une autre.

Source : The Register