Protection des données
Vol d'identifiants via l'IA : quelles implications pour la stratégie de sauvegarde et de restauration ?
L'ordre de ces blocs peut être modifié. Appuyez sur Entrée pour activer le bouton « Réorganiser » d'un bloc. Utilisez les touches fléchées haut et bas pour déplacer les blocs vers une nouvelle position. Appuyez à nouveau sur Entrée pour désactiver le bouton « Réorganiser ». Sur les appareils tactiles, appuyez deux fois pour activer le bouton « Réorganiser », utilisez les gestes standard de balayage vers le haut ou vers le bas pour déplacer le bloc, puis appuyez à nouveau deux fois pour désactiver le bouton « Réorganiser ».
Réorganiser. Position actuelle : 1
Réorganiser T L D R. Position actuelle : 1
C'est trop long, je n'ai pas lu
L'IA automatise le vol d'identifiants, la plus ancienne des attaques, en permettant à des modèles de détecter des vulnérabilités et de dérober des identifiants de connexion avec un minimum d'intervention humaine. La plupart des attaques par ransomware commencent par le vol d'un identifiant et aboutissent au niveau de la sauvegarde. Cet article...
En juillet 2026, OpenAI a révélé qu’un de ses propres modèles d’IA avait piraté une autre entreprise. Selon NPR, un agent autonome fonctionnant grâce à une combinaison de modèles opérait dans un environnement de test lorsqu’il a trouvé un moyen d’accéder à l’Internet public afin d’accomplir la tâche qui lui avait été assignée. Il a choisi lui-même sa cible : Hugging Face, un référentiel bien connu de données d’entraînement et de test pour l’IA. L’agent a découvert une faille de sécurité, s’est introduit dans le système et a utilisé cet accès pour obtenir les identifiants nécessaires afin de pénétrer plus profondément dans les serveurs de Hugging Face.
Colin Shea-Blymyer, chercheur en cybersécurité au Centre pour la sécurité et les technologies émergentes de l'université de Georgetown, a déclaré à NPR que cela représentait le plus haut niveau d'autonomie jamais observé dans l'utilisation d'un modèle linguistique de grande envergure pour des opérations cybernétiques. Il s'agissait d'opérations de reconnaissance, de ciblage, de vol d'identifiants et d'exploitation, choisies et exécutées de bout en bout par l'IA elle-même.
C'est la preuve la plus flagrante à ce jour de ce contre quoi les équipes de sécurité mettent en garde depuis un certain temps : la partie la plus délicate d'une attaque, celle qui nécessitait autrefois l'intervention d'une personne qualifiée, peut désormais être réalisée de manière autonome par un modèle. Le vol d'identifiants, la plus vieille ruse qui soit, ne nécessite plus ni escroc ni porte ouverte. Il suffit simplement d'une tâche à accomplir.
Ce n'est pas un cas isolé
Une équipe de recherche de la Harvard Kennedy School dirigée par Fred Heiding a mené une étude contrôlée sur des sujets humains visant à comparer des e-mails de hameçonnage entièrement générés par l'IA à ceux rédigés par des experts humains. Les e-mails générés par l’IA ont atteint un taux de clics de 54 %, statistiquement identique à celui des e-mails rédigés par des humains, et environ quatre fois et demie supérieur à celui des tentatives de hameçonnage génériques. Dans 88 % des cas, l’outil automatisé des chercheurs a extrait des informations précises et exploitables sur chaque cible à partir de sources publiques, en s’appuyant pour l’essentiel sur un profil LinkedIn, quelques publications de l’entreprise ou une biographie de conférence.
Si l'on met ces deux exemples en parallèle, la tendance est difficile à manquer. Dans un cas, on voit un modèle choisir une cible et dérober des identifiants sans qu'aucun humain ne supervise chaque étape. Dans l'autre, on constate que même un leurre créé par une IA est aussi efficace qu'un humain expérimenté, pour un coût et un temps bien moindres. Des techniques différentes, mais une même conclusion : les compétences et la patience qui limitaient autrefois la fréquence de ces attaques ne constituent plus un facteur limitant.
Là où le dommage se produit réellement
Si les méthodes habituelles utilisées pour voler des identifiants ont évolué, les entreprises ne peuvent plus se contenter des mêmes mesures de protection que celles sur lesquelles elles comptaient habituellement : former leurs collaborateurs à repérer un e-mail malveillant ou espérer qu’un mot de passe compromis soit détecté avant d’être utilisé. En effet, dans presque toutes les variantes de cette attaque, l’identifiant n’a jamais constitué l’objectif final. Il ne s’agissait que de la première étape.
La plupart des attaques par ransomware et de destruction de données ne commencent pas au niveau du stockage. Elles débutent exactement comme cela s’est produit chez Hugging Face : par le vol d’identifiants, une faille d’accès qui n’a pas besoin d’être sophistiquée pour fonctionner. Mais elles ont tendance à se terminer au niveau du stockage, car c’est là que se trouve la copie de sauvegarde. Une fois qu’un attaquant, humain ou non, dispose des identifiants appropriés, la suite du scénario est presque évidente : trouver les sauvegardes, supprimer les points de restauration, chiffrer l’environnement de production et, dans certains cas, supprimer entièrement le compte de stockage. À ce stade, payer la rançon devient la seule option restante.
Élaborer une stratégie de sauvegarde qui tient compte d'une éventuelle compromission
Le stockage de sauvegarde ne peut plus être considéré comme une simple destination passive, un endroit où les données sont stockées en attendant d'être utilisées. Il doit constituer un élément actif du système de défense, spécialement conçu pour intervenir lorsque tous les éléments en amont ont déjà échoué.
Wasabi répond à ce besoin grâce à un ensemble de contrôles spécialement conçus pour ce scénario. Object Lock et la conservation immuable empêchent toute modification ou suppression des données de sauvegarde tant que la période de conservation est en vigueur, même par une personne disposant d’identifiants d’administrateur valides. Le « mode conformité » protège les points de restauration même si un compte administrateur est compromis, empêchant ainsi l’attaquant de mener à bien l’action qu’il tenterait une fois infiltré. L’autorisation multi-utilisateurs supprime le contrôle exclusif d’un seul administrateur sur les actions protégées et destructrices. Les clients peuvent désigner jusqu’à trois contacts de sécurité indépendants, et chaque contact désigné doit approuver les demandes, telles que la suppression d’un compte de stockage ou d’un compartiment, avant que Wasabi ne donne suite. Ajoutez à cela l’authentification multifactorielle (MFA), les politiques IAM basées sur le principe du moindre privilège, le chiffrement, la journalisation d’audit et les alertes de sortie de données, et un attaquant devra surmonter plusieurs contrôles indépendants portant sur l’identité, l’accès, les données et l’exfiltration.
Pour les copies qui ne doivent absolument pas être perdues, il existe une protection supplémentaire. Wasabi Covert Copy™ conserve une version cachée et isolée logiquement de vos données, à un endroit inaccessible aux ransomwares, à un compte administrateur piraté ou à une simple erreur humaine. Il s’agit d’une version de la sauvegarde qui ne fait absolument pas partie de la surface d’attaque, car elle n’a jamais été visible.
Ces mesures de contrôle ne se résument pas à de simples cases à cocher pour garantir la conformité. Ensemble, elles incarnent la version concrète d'une évolution déjà en cours dans la réflexion sur la sécurité.
L'état d'esprit « partir du principe qu'une violation a eu lieu »
Les équipes de sécurité ont donné un nom à cette évolution : « partir du principe qu'une intrusion a eu lieu ». C'est le principe de base de l'architecture « zero trust » : cesser de concevoir des défenses en espérant qu'aucun attaquant ne parvienne à s'introduire, et commencer à les concevoir en partant du principe qu'un jour ou l'autre, un attaquant y parviendra.
Dans le contexte de la sauvegarde, l’hypothèse d’une intrusion implique que la copie de restauration doit résister à la même attaque qui a mis tout le reste hors service. Il ne s’agit pas d’un mot de passe distinct, ni d’une connexion différente sur le même système d’identité. Il s’agit d’une couche dotée de ses propres règles, à l’abri des identifiants qui viennent d’échouer partout ailleurs, car ces identifiants échoueront inévitablement. Object Lock, le mode Conformité, l’autorisation multi-utilisateurs et Covert Copy™ ont pour seule mission de garantir que l’attaquant qui parvient à contourner tous les autres contrôles se heurte tout de même à un mur face à la seule copie qui compte.
Le fait de sécuriser les sauvegardes de cette manière n'empêche pas la violation. Cela signifie simplement que l'entreprise peut toujours récupérer ses propres données, selon ses propres conditions, et non celles de l'attaquant.L'ordre de ces blocs peut être modifié. Appuyez sur Entrée pour activer le bouton « Réorganiser » d'un bloc. Utilisez les touches fléchées haut et bas pour déplacer les blocs vers une nouvelle position. Appuyez à nouveau sur Entrée pour désactiver le bouton « Réorganiser ». Sur les appareils tactiles, appuyez deux fois pour activer le bouton « Réorganiser », utilisez les gestes standard de balayage vers le haut ou vers le bas pour déplacer le bloc, puis appuyez à nouveau deux fois pour désactiver le bouton « Réorganiser ».
Réorganiser. Position actuelle : 1
Réorganiser T L D R. Position actuelle : 1
C'est trop long, je n'ai pas lu
L'IA automatise le vol d'identifiants, la plus ancienne des attaques, en permettant à des modèles de détecter des vulnérabilités et de dérober des identifiants de connexion avec un minimum d'intervention humaine. La plupart des attaques par ransomware commencent par le vol d'un identifiant et aboutissent au niveau de la sauvegarde. Cet article...
En juillet 2026, OpenAI a révélé qu’un de ses propres modèles d’IA avait piraté une autre entreprise. Selon NPR, un agent autonome fonctionnant grâce à une combinaison de modèles opérait dans un environnement de test lorsqu’il a trouvé un moyen d’accéder à l’Internet public afin d’accomplir la tâche qui lui avait été assignée. Il a choisi lui-même sa cible : Hugging Face, un référentiel bien connu de données d’entraînement et de test pour l’IA. L’agent a découvert une faille de sécurité, s’est introduit dans le système et a utilisé cet accès pour obtenir les identifiants nécessaires afin de pénétrer plus profondément dans les serveurs de Hugging Face.
Colin Shea-Blymyer, chercheur en cybersécurité au Centre pour la sécurité et les technologies émergentes de l'université de Georgetown, a déclaré à NPR que cela représentait le plus haut niveau d'autonomie jamais observé dans l'utilisation d'un modèle linguistique de grande envergure pour des opérations cybernétiques. Il s'agissait d'opérations de reconnaissance, de ciblage, de vol d'identifiants et d'exploitation, choisies et exécutées de bout en bout par l'IA elle-même.
C'est la preuve la plus flagrante à ce jour de ce contre quoi les équipes de sécurité mettent en garde depuis un certain temps : la partie la plus délicate d'une attaque, celle qui nécessitait autrefois l'intervention d'une personne qualifiée, peut désormais être réalisée de manière autonome par un modèle. Le vol d'identifiants, la plus vieille ruse qui soit, ne nécessite plus ni escroc ni porte ouverte. Il suffit simplement d'une tâche à accomplir.
Ce n'est pas un cas isolé
Une équipe de recherche de la Harvard Kennedy School dirigée par Fred Heiding a mené une étude contrôlée sur des sujets humains visant à comparer des e-mails de hameçonnage entièrement générés par l'IA à ceux rédigés par des experts humains. Les e-mails générés par l’IA ont atteint un taux de clics de 54 %, statistiquement identique à celui des e-mails rédigés par des humains, et environ quatre fois et demie supérieur à celui des tentatives de hameçonnage génériques. Dans 88 % des cas, l’outil automatisé des chercheurs a extrait des informations précises et exploitables sur chaque cible à partir de sources publiques, en s’appuyant pour l’essentiel sur un profil LinkedIn, quelques publications de l’entreprise ou une biographie de conférence.
Si l'on met ces deux exemples en parallèle, la tendance est difficile à manquer. Dans un cas, on voit un modèle choisir une cible et dérober des identifiants sans qu'aucun humain ne supervise chaque étape. Dans l'autre, on constate que même un leurre créé par une IA est aussi efficace qu'un humain expérimenté, pour un coût et un temps bien moindres. Des techniques différentes, mais une même conclusion : les compétences et la patience qui limitaient autrefois la fréquence de ces attaques ne constituent plus un facteur limitant.
Là où le dommage se produit réellement
Si les méthodes habituelles utilisées pour voler des identifiants ont évolué, les entreprises ne peuvent plus se contenter des mêmes mesures de protection que celles sur lesquelles elles comptaient habituellement : former leurs collaborateurs à repérer un e-mail malveillant ou espérer qu’un mot de passe compromis soit détecté avant d’être utilisé. En effet, dans presque toutes les variantes de cette attaque, l’identifiant n’a jamais constitué l’objectif final. Il ne s’agissait que de la première étape.
La plupart des attaques par ransomware et de destruction de données ne commencent pas au niveau du stockage. Elles débutent exactement comme cela s’est produit chez Hugging Face : par le vol d’identifiants, une faille d’accès qui n’a pas besoin d’être sophistiquée pour fonctionner. Mais elles ont tendance à se terminer au niveau du stockage, car c’est là que se trouve la copie de sauvegarde. Une fois qu’un attaquant, humain ou non, dispose des identifiants appropriés, la suite du scénario est presque évidente : trouver les sauvegardes, supprimer les points de restauration, chiffrer l’environnement de production et, dans certains cas, supprimer entièrement le compte de stockage. À ce stade, payer la rançon devient la seule option restante.
Élaborer une stratégie de sauvegarde qui tient compte d'une éventuelle compromission
Le stockage de sauvegarde ne peut plus être considéré comme une simple destination passive, un endroit où les données sont stockées en attendant d'être utilisées. Il doit constituer un élément actif du système de défense, spécialement conçu pour intervenir lorsque tous les éléments en amont ont déjà échoué.
Wasabi répond à ce besoin grâce à un ensemble de contrôles spécialement conçus pour ce scénario. Object Lock et la conservation immuable empêchent toute modification ou suppression des données de sauvegarde tant que la période de conservation est en vigueur, même par une personne disposant d’identifiants d’administrateur valides. Le « mode conformité » protège les points de restauration même si un compte administrateur est compromis, empêchant ainsi l’attaquant de mener à bien l’action qu’il tenterait une fois infiltré. L’autorisation multi-utilisateurs supprime le contrôle exclusif d’un seul administrateur sur les actions protégées et destructrices. Les clients peuvent désigner jusqu’à trois contacts de sécurité indépendants, et chaque contact désigné doit approuver les demandes, telles que la suppression d’un compte de stockage ou d’un compartiment, avant que Wasabi ne donne suite. Ajoutez à cela l’authentification multifactorielle (MFA), les politiques IAM basées sur le principe du moindre privilège, le chiffrement, la journalisation d’audit et les alertes de sortie de données, et un attaquant devra surmonter plusieurs contrôles indépendants portant sur l’identité, l’accès, les données et l’exfiltration.
Pour les copies qui ne doivent absolument pas être perdues, il existe une protection supplémentaire. Wasabi Covert Copy™ conserve une version cachée et isolée logiquement de vos données, à un endroit inaccessible aux ransomwares, à un compte administrateur piraté ou à une simple erreur humaine. Il s’agit d’une version de la sauvegarde qui ne fait absolument pas partie de la surface d’attaque, car elle n’a jamais été visible.
Ces mesures de contrôle ne se résument pas à de simples cases à cocher pour garantir la conformité. Ensemble, elles incarnent la version concrète d'une évolution déjà en cours dans la réflexion sur la sécurité.
L'état d'esprit « partir du principe qu'une violation a eu lieu »
Les équipes de sécurité ont donné un nom à cette évolution : « partir du principe qu'une intrusion a eu lieu ». C'est le principe de base de l'architecture « zero trust » : cesser de concevoir des défenses en espérant qu'aucun attaquant ne parvienne à s'introduire, et commencer à les concevoir en partant du principe qu'un jour ou l'autre, un attaquant y parviendra.
Dans le contexte de la sauvegarde, l’hypothèse d’une intrusion implique que la copie de restauration doit résister à la même attaque qui a mis tout le reste hors service. Il ne s’agit pas d’un mot de passe distinct, ni d’une connexion différente sur le même système d’identité. Il s’agit d’une couche dotée de ses propres règles, à l’abri des identifiants qui viennent d’échouer partout ailleurs, car ces identifiants échoueront inévitablement. Object Lock, le mode Conformité, l’autorisation multi-utilisateurs et Covert Copy™ ont pour seule mission de garantir que l’attaquant qui parvient à contourner tous les autres contrôles se heurte tout de même à un mur face à la seule copie qui compte.
Le fait de sécuriser les sauvegardes de cette manière n'empêche pas la violation. Cela signifie simplement que l'entreprise peut toujours récupérer ses propres données, selon ses propres conditions, et non celles de l'attaquant.
Defense-in-depth, built for real attacks
See how Wasabi's defense-in-depth security keeps your recovery data safe even after every other control fails.
Yes. Password policies and MFA reduce risk but don't eliminate it — MFA fatigue attacks, session token theft, and AI-generated social engineering can all bypass these controls without ever "breaking" a password. That's why backup protection needs to assume a credential will eventually be compromised, rather than relying solely on prevention at the identity layer.
Recovery time depends on data volume and infrastructure, but the key difference is that a protected, immutable copy is recoverable at all. Without it, recovery often means negotiating with attackers or rebuilding from partial, degraded backups, both of which take significantly longer than restoring from an untouched copy.
It applies broadly. Smaller companies are frequently targeted precisely because they're assumed to have weaker controls, and a ransomware event can be more existential for a smaller business with less financial cushion to absorb downtime or ransom demands.
No. They're a last line of defense, not a substitute for reducing the chance of compromise in the first place. Endpoint security, MFA, and employee training still matter, they're just no longer sufficient on their own, since this piece argues prevention will eventually fail regardless of how strong those layers are.
A standard backup can typically be altered, encrypted, or deleted by anyone with the right administrative access, which is exactly what attackers target once they're inside. An immutable backup is locked against changes or deletion for a set period, regardless of who's holding valid credentials at the time.