Le NCSC britannique : une attaque par rançongiciel dopée à l'IA contre les infrastructures critiques « highly likely » d'ici 2028

Le National Cyber Security Centre, l'autorité technique britannique de cybersécurité rattachée à l'agence de renseignement GCHQ, a publié le 3 novembre son rapport annuel State of the Cyber Nation. Le document couvre la période du 1er septembre 2025 au 31 août 2026 et paraît en même temps que la NCSC Annual Review 2026, dans laquelle l'organisme dresse le bilan de sa dixième année. Le passage le plus tranché concerne 2028. Selon le communiqué du NCSC, il est « highly likely », c'est-à-dire très probable, que d'ici là un logiciel malveillant fondé sur l'IA soit utilisé dans une attaque par rançongiciel contre les infrastructures nationales critiques du Royaume-Uni. Il faut le lire pour ce que c'est : une évaluation probabiliste du renseignement, ni une prédiction certaine ni un fait déjà survenu. L'organisme estime en outre que d'ici deux ans, l'usage de l'IA par des acteurs hostiles rendra très probablement trois activités plus étendues et plus efficaces : le rançongiciel, l'ingénierie sociale et l'exploitation de vulnérabilités.

Selon l'Associated Press, la thèse du rapport n'est pas que l'IA invente de nouvelles attaques. Elle rendra surtout plus efficaces les techniques existantes, parce qu'elle permet de trouver et d'exploiter à grande échelle des faiblesses ignorées depuis longtemps. Le document a été présenté par le directeur général du NCSC, Richard Horne. Dans son discours, il a déclaré : « In the coming months, we face a real prospect of an unprecedented rise in the number of cyber incidents ». En substance : dans les mois à venir, une hausse sans précédent des incidents informatiques est une perspective bien réelle. Il a ensuite ajouté une phrase qui étend la responsabilité bien au-delà des attaquants : « For decades, we have collectively got away with doing tech on the cheap ». Autrement dit, pendant des décennies, nous nous en sommes tous tirés en faisant de la technologie au rabais.

Toujours selon AP, le rapport désigne la Chine comme le défi informatique le plus important et le plus persistant pour le Royaume-Uni. Il décrit la Russie comme menant des campagnes sous le seuil du conflit armé, et l'Iran comme attaquant le pays et prenant pour cible des personnes qu'il considère comme des menaces. AP rapporte que, selon le NCSC, les activités informatiques malveillantes coûtent près de 20 milliards de dollars par an aux organisations britanniques. L'agence rappelle aussi que le Royaume-Uni et plusieurs États de l'UE ont attribué au FSB russe une attaque menée en décembre 2025 contre le réseau électrique polonais : si elle avait réussi, jusqu'à 500 000 personnes auraient pu se retrouver sans électricité en plein hiver. Ces données proviennent du texte d'AP, qui les attribue au NCSC et aux gouvernements. Plus largement, cet article s'appuie sur le communiqué officiel du NCSC et sur le texte d'AP : le rapport intégral n'a pas été consulté.

Côté réponses, le NCSC rappelle trois mesures annoncées par la ministre des Finances la semaine précédente. La première est une enveloppe de 60 millions de livres pour la première phase d'un Cyber Shield national. La deuxième, 70 millions pour un National Exposure and Real-Time Vulnerability (NERV) Centre, chargé de repérer les vulnérabilités dans les infrastructures critiques et dans l'économie. La troisième est un nouveau AI Cyber Security Centre of Excellence géré par le NCSC à Manchester. Parmi les mesures liées, l'organisme cite aussi le Cyber Security and Resilience Bill et un futur National Cyber Action Plan. Le ministre britannique de la Sécurité, Dan Jarvis, a commenté : « The NCSC's latest annual report shows cyber threats are growing more sophisticated ».

En attendant, les recommandations de base rapportées par AP restent étonnamment simples : maintenir les appareils à jour, limiter les accès administrateur et sauvegarder les données importantes.

Il est frappant qu'un rapport aussi attentif à l'IA finisse par parler surtout de maintenance. La prévision pour 2028 reste une estimation. Les trois recommandations, elles, n'ont rien d'hypothétique : mises à jour, accès administrateur restreints, sauvegardes. La facture de la technologie au rabais, pour reprendre l'image de Horne, ce n'est pas l'IA qui la présente. L'IA risque seulement d'avancer la date d'échéance. — Olya