Un chiffre circule depuis quelques jours dans les milieux de la cybersécurité et il mérite qu'on s'y arrête : 54 %. C'est le taux de clic obtenu par des courriels d'hameçonnage rédigés par une intelligence artificielle générative, selon une analyse relayée par le Journal du Net. À titre de comparaison, les campagnes d'hameçonnage rédigées à la main par des humains plafonnaient, dans la même étude, autour de 12 %. Autrement dit : un employé sur deux mord à l'hameçon quand la machine écrit le message.
Pour un dirigeant de PME québécoise, ce chiffre a une conséquence brutale et pas très plaisante à entendre : votre formation annuelle obligatoire en sécurité de l'information, celle que vos employés cliquent en accéléré au mois de mars pour cocher la case de conformité, ne vous protège plus. Elle n'a jamais été une muraille, mais elle pouvait passer pour un filtre. À 54 %, ce n'est plus un filtre. C'est une passoire.
Pourquoi l'IA a fait sauter le dernier garde-fou
Pendant vingt ans, la défense la plus efficace contre l'hameçonnage tenait à un détail presque comique : les fraudeurs écrivaient mal. Fautes d'accord, syntaxe bancale, formules de politesse importées d'ailleurs, tutoiement inapproprié dans un courriel censé venir de la Banque Nationale. Au Québec, cette faiblesse était doublée : rédiger un français d'affaires convaincant, avec le bon registre et les bons repères locaux, demandait une compétence que la plupart des groupes criminels n'avaient pas.
Cette barrière linguistique a disparu. Les modèles de langage génèrent aujourd'hui un courriel en français impeccable, adapté au contexte, capable d'imiter le ton d'un fournisseur ou d'un contrôleur financier. Et surtout, ils permettent la personnalisation à l'échelle : recouper le profil LinkedIn d'un commis aux comptes payables avec le nom de son gestionnaire et un projet annoncé dans un communiqué, c'était auparavant du travail d'orfèvre réservé aux cibles de grande valeur. C'est maintenant automatisable pour des centaines d'employés à la fois.
Le Centre canadien pour la cybersécurité, dans son Évaluation des cybermenaces nationales, insiste depuis plusieurs cycles sur ce point : l'IA générative abaisse le coût d'entrée de la cybercriminalité et augmente la crédibilité des leurres, y compris par clonage vocal et hypertrucage vidéo. La Gendarmerie royale du Canada et le Centre antifraude du Canada documentent de leur côté une croissance soutenue des pertes déclarées liées à la fraude — sachant que la sous-déclaration reste massive, l'agence estimant depuis longtemps qu'une faible minorité des victimes signale l'incident.
Le déplacement du problème : de l'intrusion à l'effacement
C'est ici que l'angle habituel devient trompeur. Tant que le débat porte sur « comment empêcher l'employé de cliquer », on discute d'un objectif qui n'est plus atteignable à 100 %. Le Journal du Net publiait d'ailleurs dans la même période une analyse sur les cyberattaques destructrices dont la logique est plus utile aux gestionnaires : ces attaques ne visent pas à voler discrètement, elles visent à paralyser. Et la chaîne d'une telle attaque comporte quatre maillons — l'accès initial, la prise de contrôle des privilèges, l'effacement des données, puis la restauration.
Le premier maillon, l'accès, est désormais probable. Pas possible : probable. Le deuxième dépend de votre hygiène d'identités — authentification multifacteur réellement déployée, comptes d'administration séparés, privilèges révoqués au départ des employés. Le troisième, l'effacement, est celui qui tue les entreprises : les groupes de rançongiciel ciblent systématiquement les sauvegardes avant de chiffrer les systèmes de production, parce qu'une sauvegarde intacte annule leur levier de négociation.
Et le quatrième — la restauration — est le maillon dont presque personne ne parle en réunion de direction. C'est pourtant le seul qui détermine si votre entreprise existera encore dans trois mois.
La question qu'aucun dirigeant ne pose : où sont vos sauvegardes, vraiment?
Posez la question à votre fournisseur de services gérés : où sont physiquement hébergées mes sauvegardes? Dans quelle juridiction? Sont-elles immuables, c'est-à-dire impossibles à supprimer même avec un compte d'administration compromis? Ont-elles déjà été restaurées pour de vrai, sur du matériel de rechange, chronomètre en main?
Dans une proportion inquiétante de PME, les réponses sont vagues. Et c'est là que le débat sur la souveraineté numérique, qui semblait relever de la géopolitique abstraite, redescend sur le plancher des usines. Le Journal du Net signait récemment un texte dont le titre résume l'enjeu mieux que bien des conférences : la vraie question n'est pas le nuage, mais les données. Séparer l'application de sa protection, garder la maîtrise des clés de chiffrement, savoir qui peut techniquement et juridiquement accéder à vos copies de sécurité : voilà la substance du débat.
Au Québec, cette discussion a un ancrage concret. Le gouvernement provincial a mené depuis 2019 une stratégie de consolidation de ses centres de données et de migration vers l'infonuagique, avec un cadre d'hébergement qui distingue les données selon leur sensibilité. Le Vérificateur général du Québec et le Commissaire à la cybersécurité ont, à plusieurs reprises, souligné des écarts entre les intentions et l'exécution. Si l'État lui-même peine à cartographier ses actifs numériques, il serait naïf de croire qu'une entreprise manufacturière de 60 employés en Beauce y arrive spontanément.
Le Journal du Net notait aussi, à propos de la sécurité numérique de l'État, que la résilience passe par la fin des silos. La transposition en PME est directe : quand les TI relèvent d'un fournisseur externe, la conformité d'une adjointe à la direction et la continuité des affaires du directeur général, personne ne détient la vue d'ensemble. L'attaque, elle, la détient.
Loi 25 : le chronomètre juridique
Depuis septembre 2022, la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels — la Loi 25 — impose aux entreprises québécoises une obligation qui change la nature du risque. Tout incident de confidentialité présentant un risque de préjudice sérieux doit être déclaré avec diligence à la Commission d'accès à l'information et aux personnes concernées. Les entreprises doivent tenir un registre de tous les incidents, y compris ceux jugés sans risque sérieux. Depuis septembre 2023, les sanctions administratives pécuniaires et les amendes pénales prévues au régime peuvent atteindre des montants qui, pour une PME, ne sont pas symboliques.
Combinez les trois éléments et le portrait se précise. Un employé sur deux clique. Les sauvegardes sont peut-être compromises ou impossibles à restaurer rapidement. Et vous avez une obligation de déclaration qui court, avec des clients et des partenaires à aviser, pendant que vos systèmes sont à l'arrêt.
C'est précisément dans ce créneau que la crise cesse d'être technique pour devenir une crise de gestion. Qui parle aux médias? Qui appelle les clients? Comment payer la paie si le système de ressources humaines est chiffré? Combien de jours de trésorerie avant que les fournisseurs ne coupent le crédit? Votre police d'assurance cyber couvre-t-elle l'interruption d'affaires, et avec quelle franchise en heures?
Ce qu'un dirigeant peut faire cette semaine
Quatre gestes, aucun ne nécessitant un budget de grande entreprise.
Exigez un test de restauration documenté. Pas une confirmation que « les sauvegardes roulent ». Une restauration réelle, sur un environnement isolé, avec un temps mesuré. Si votre fournisseur ne peut pas produire ce document, vous avez votre réponse.
Appliquez la règle 3-2-1-1-0 recommandée par la plupart des autorités en la matière : trois copies, sur deux supports, dont une hors site, une immuable ou hors ligne, et zéro erreur au test de vérification.
Traitez les identités comme le périmètre. L'authentification multifacteur résistante à l'hameçonnage sur tous les accès administratifs et à distance, sans exception « temporaire » pour le patron. C'est la mesure qui coupe la chaîne entre le clic et la prise de contrôle.
Remplacez la formation annuelle par des simulations continues et, surtout, par une procédure de vérification hors bande pour tout changement de coordonnées bancaires ou toute demande de paiement urgente. Un appel téléphonique à un numéro connu coûte trente secondes et neutralise l'essentiel de la fraude du président.
Le maillon faible québécois n'est pas la technologie : elle est disponible et abordable. Ce n'est pas non plus l'employé, qu'on a trop longtemps désigné comme coupable pour éviter de regarder ailleurs. C'est la capacité de restauration — et elle se décide dans le bureau du directeur général, pas dans la salle des serveurs.