[DÉCRYPTAGE ] INDE : Décryptage et analyse du rapport  » « Digital Threat Report 2025-26 » du gouvernement indien.

Deepfakes, cyberattaques automatisées, modèles d’intelligence artificielle capables de découvrir des milliers de vulnérabilités en quelques heures… Pour les auteurs du Digital Threat Report 2025-26, publié par les autorités indiennes de cybersécurité, le secteur financier est confronté à une mutation profonde de la menace. Plus qu’une évolution technologique, le rapport décrit un changement de paradigme : l’intelligence artificielle ne transforme plus seulement les systèmes de défense, elle redéfinit désormais les capacités offensives des cybercriminels.

Le document, publié conjointement par le CERT-In, le CSIRT-Fin et l’entreprise spécialisée SISA, s’adresse en priorité aux banques, aux compagnies d’assurance et aux institutions financières. Mais son diagnostic dépasse largement ce secteur. Il esquisse les contours d’un monde où la confiance numérique devient un actif stratégique et où les modèles d’intelligence artificielle bouleversent l’équilibre entre défenseurs et attaquants.

Une menace qui change de nature

L’une des conclusions les plus marquantes du rapport est la vitesse avec laquelle évoluent les cybermenaces. Les auteurs rappellent que six des sept scénarios prospectifs formulés dans l’édition précédente se sont déjà réalisés en moins d’un an.

Cette accélération s’explique par la convergence de plusieurs technologies : généralisation du cloud, multiplication des interfaces de programmation (API), essor des paiements instantanés, développement des identités numériques et intégration croissante de l’intelligence artificielle dans les systèmes financiers.

Dans cet environnement interconnecté, les frontières traditionnelles des systèmes d’information disparaissent progressivement. Les cyberattaques ne ciblent plus uniquement des infrastructures isolées ; elles exploitent les multiples interactions entre applications, partenaires, fournisseurs et plateformes numériques.

L’intelligence artificielle change l’échelle des attaques

Le rapport insiste particulièrement sur un phénomène désormais bien identifié : l’industrialisation de la cybercriminalité grâce à l’intelligence artificielle.

Les modèles les plus avancés permettent aujourd’hui d’automatiser des tâches qui exigeaient auparavant une expertise humaine importante : identification de vulnérabilités, rédaction de codes malveillants, adaptation des campagnes de phishing ou encore analyse de systèmes complexes.

Cette automatisation réduit considérablement le coût des attaques tout en augmentant leur rapidité et leur capacité d’adaptation.

Les auteurs estiment que l’IA crée une véritable asymétrie : les capacités offensives progressent plus rapidement que les mécanismes de défense et que les cadres réglementaires chargés de les encadrer.

Quand la confiance devient la principale cible

Le rapport souligne également une évolution importante dans les méthodes employées par les cybercriminels.

L’objectif n’est plus seulement de contourner des dispositifs techniques, mais de manipuler les mécanismes de confiance sur lesquels repose l’économie numérique.

Les deepfakes, les usurpations d’identité biométrique, les systèmes de décision automatisés ou encore les chaînes d’approvisionnement logicielles deviennent autant de portes d’entrée potentielles.

Selon les auteurs, « la tromperie n’est plus une tactique, mais une infrastructure ». Les campagnes de phishing générées par l’IA sont désormais capables de reproduire avec précision le contexte, le ton et les habitudes de communication d’une organisation, rendant leur détection beaucoup plus difficile.

La conformité ne suffit plus

L’un des apports les plus originaux du rapport concerne la distinction entre conformité réglementaire et sécurité réelle.

Les institutions financières investissent massivement dans les audits et les dispositifs de conformité. Pourtant, ces contrôles sont souvent conçus pour répondre à des exigences réglementaires plutôt que pour résister à des attaques sophistiquées.

Les auteurs mettent en évidence un « écart de traduction » entre les règles écrites et leur mise en œuvre opérationnelle. Une authentification multifactorielle, par exemple, peut satisfaire aux exigences réglementaires tout en restant vulnérable à certaines techniques modernes de détournement de session.

Le rapport plaide ainsi pour une validation continue des dispositifs de sécurité, fondée sur des simulations d’attaques réalistes plutôt que sur de simples audits périodiques.

Une gouvernance appelée à évoluer

Au-delà des aspects techniques, le rapport défend une vision plus stratégique de la cybersécurité. Les auteurs recommandent d’intégrer pleinement le risque cyber dans la gouvernance des organisations, au même niveau que les risques financiers, opérationnels ou réglementaires.

Ils proposent une feuille de route de dix-huit mois articulée autour de trois priorités : renforcer les contrôles fondamentaux, développer des capacités permanentes de détection et de réponse, puis transformer progressivement l’architecture des systèmes selon les principes du « Zero Trust », qui consiste à ne jamais accorder une confiance implicite à un utilisateur, un appareil ou une application sans vérification continue.

Un changement de paradigme dans la gouvernance de l’IA

Au-delà du secteur bancaire, le Digital Threat Report 2025-26 met en lumière une évolution majeure : la cybersécurité ne peut plus être pensée indépendamment de la gouvernance de l’intelligence artificielle. Alors que les modèles d’IA deviennent capables d’automatiser une part croissante des opérations offensives, les dispositifs de contrôle, les normes techniques et les réglementations peinent à suivre le rythme de l’innovation.

Le rapport rejoint ainsi les préoccupations exprimées ces derniers mois par plusieurs organisations internationales, qui appellent à renforcer la gouvernance des systèmes d’intelligence artificielle afin d’éviter une perte de contrôle des technologies les plus avancées.

La confiance, nouvelle frontière de la sécurité numérique

L’intérêt de ce rapport dépasse largement les questions de cybersécurité. Il rappelle que la véritable vulnérabilité des sociétés numériques réside moins dans leurs infrastructures que dans les mécanismes de confiance qui permettent aux individus, aux entreprises et aux institutions d’interagir.

À mesure que l’intelligence artificielle devient capable d’imiter des comportements humains, de produire des contenus crédibles ou d’automatiser des décisions complexes, la protection des systèmes techniques ne suffit plus. Il devient nécessaire de protéger également la confiance accordée aux identités, aux informations et aux processus de décision.

Cette évolution rejoint une réflexion plus large sur la gouvernance responsable de l’intelligence artificielle. Si la performance technologique constitue un moteur d’innovation, elle ne peut se substituer aux exigences de responsabilité, de transparence et de contrôle humain. À cet égard, le rapport indien rappelle que la cybersécurité est désormais une question de gouvernance autant que de technologie : préserver la confiance est devenu une condition essentielle du développement d’une intelligence artificielle au service des personnes et des institutions.