Il existe un déséquilibre qui s’accentue rapidement : des attaques coûtant quelques milliers de dollars peuvent facilement infliger des millions de dollars de dommages aux entreprises ciblées, ce qui transforme fondamentalement l’économie du cyberrisque, selon un nouveau rapport de recherche d’IBM.

Intitulé Le coût d’une violation de données : le point de bascule de l’IA, le rapport présente les résultats d’un sondage mené auprès de 3 558 dirigeants responsables de la sécurité et membres de la haute direction de 602 organisations touchées par des atteintes à la sécurité des données entre mars 2025 et février 2026. Il révèle qu’une atteinte malveillante sur quatre a été facilitée par l’intelligence artificielle (IA), une hausse de 56% par rapport aux résultats de l’an dernier. Cette année, les atteintes ont coûté en moyenne 6 millions de dollars américains.

Au Canada, en dollars canadiens, le coût moyen d’une atteinte à la sécurité des données a atteint un sommet de 7,11 millions de dollars. Les entreprises du secteur de l’énergie ont subi les atteintes les plus coûteuses, à 9,21 millions de dollars en moyenne par atteinte. « Les organisations qui utilisent largement l’IA et l’automatisation de la sécurité ont enregistré des coûts liés aux atteintes considérablement moins élevés et des délais d’intervention plus rapides », écrivent les chercheurs dans une annonce portant sur les résultats canadiens. Une utilisation intensive de l’IA a réduit les coûts liés aux atteintes d’environ 3,41 millions de dollars dans les cas canadiens.

À l’échelle mondiale, les entreprises qui ont déclaré utiliser l’IA et l’automatisation dans leurs opérations de sécurité ont réduit les coûts liés aux atteintes de près de 2 millions de dollars américains en moyenne. Cela dit, les chercheurs ajoutent qu’une organisation sur quatre n’a toujours pas adopté ces outils dans ses opérations de sécurité.

IBM indique qu’à l’échelle mondiale, les attaques signalées prennent principalement la forme d’usurpations d’identité au moyen de deepfakes et de logiciels malveillants assistés par l’IA. Selon l’entreprise, ces attaques transforment l’économie des atteintes à la sécurité, puisqu’elles deviennent plus rapides et moins coûteuses à lancer, tandis que les atteintes sont de plus en plus coûteuses à détecter et à corriger.

« Ce déséquilibre croissant — où des attaques peuvent être lancées pour quelques milliers de dollars alors que les atteintes coûtent des millions — transforme fondamentalement l’économie du cyberrisque », écrivent les chercheurs d’IBM.

Bien que 85% des organisations affirment prévoir augmenter leurs dépenses en sécurité après avoir pris connaissance des capacités cybernétiques avancées de l’IA de pointe, le rapport indique ensuite que cette augmentation est importante et nécessaire « à mesure que les agents d’IA se multiplient au sein des organisations, ce qui exige de mettre l’accent sur la sécurisation des identités non humaines dans les flux de travail faisant appel à l’IA. Les recherches de cette année montrent que moins de la moitié des organisations sécurisent ces identités. Parallèlement, les attaquants ne se contentent pas d’utiliser l’IA : ils ciblent également l’IA. Parmi les quelque 20% d’organisations ayant signalé une atteinte liée à l’IA, nous avons constaté que les incidents de sécurité concernaient moins le choix du modèle que la sécurité du modèle et de son environnement. »

Les chercheurs ajoutent que les causes profondes de ces incidents étaient souvent structurelles, notamment des interfaces de programmation d’applications (API) compromises, des applications compromises et de mauvaises configurations infonuagiques. Selon eux, ces éléments témoignent de défaillances en matière de gouvernance, et non de risques liés aux modèles.

Parmi les constatations du rapport, IBM souligne également la prévalence croissante des incidents impliquant l’« IA fantôme » (shadow AI), soit l’utilisation par des employés d’outils d’IA non approuvés. Les incidents de sécurité liés à l’IA fantôme ont plus que doublé cette année, atteignant 43%, contre 20% l’an dernier. Les chercheurs indiquent que ces incidents ont également entraîné un coût moyen plus élevé cette année, soit 5,39 millions de dollars américains en moyenne, contre 4,63 millions de dollars américains en moyenne l’année précédente.

Dans environ un incident sur cinq, les organisations ont déclaré avoir dû payer une amende en raison d’une atteinte découlant de l’utilisation de l’IA fantôme. Les chercheurs ajoutent que la plupart des organisations ayant subi une atteinte cette année ne disposaient pas d’une gouvernance de l’IA permettant de gérer l’IA ou de détecter l’utilisation de l’IA fantôme.

« Un écart subsiste là où les attaquants progressent le plus rapidement. Alors que plus de 50% des répondants ont déclaré utiliser des agents pour détecter et contenir les menaces, seulement 18% utilisent des agents à la gestion des vulnérabilités, ce qui laisse persister des failles connues alors même que l’IA raccourcit les délais d’exploitation. »

Les chercheurs ajoutent que les organisations où un délai prolongé sépare la détection d’une vulnérabilité de sa correction subissent directement des coûts plus élevés en cas d’atteinte. « La priorité consiste maintenant à éliminer ce délai en intégrant la remédiation aux flux de travail de développement, en sécurisant les identités à l’exécution et en corrigeant les risques au rythme auquel les attaquants évoluent déjà », affirme Suja Viswesan, vice-présidente d’IBM Security.

Les organisations des secteurs des services financiers et de l’énergie ont connu les plus fortes concentrations d’attaques. Au Canada, les entreprises du secteur de l’énergie arrivent au premier rang, suivies des organisations technologiques, qui ont perdu en moyenne 9,02 millions de dollars canadiens par attaque, et des entreprises et organisations industrielles, où chaque attaque a coûté en moyenne 8,89 millions de dollars canadiens. En dollars américains, le coût moyen des atteintes dans le secteur des services financiers s’est établi à 6,3 millions de dollars américains, en hausse par rapport à la moyenne de 5,2 millions de dollars américains.

« La concentration des attaques dans ces secteurs a accru le risque d’effets en cascade sur les économies, les chaînes d’approvisionnement et les services essentiels », écrivent les chercheurs.

Le rapport est exhaustif et traite notamment des lacunes en matière de chiffrement, des rançongiciels, des domaines d’utilisation de l’IA agentique, des types de contrôles utilisés dans différents domaines, des vecteurs d’attaque, des causes profondes, du cycle de vie des atteintes à la sécurité des données ainsi que des facteurs qui augmentent ou réduisent les coûts liés aux atteintes.

Fait à noter dans les résultats canadiens, les chercheurs indiquent que la compromission de la chaîne d’approvisionnement constitue désormais le principal facteur d’augmentation des coûts liés aux atteintes au Canada, ajoutant environ 367 899 $ à ceux-ci. La pénurie de compétences en sécurité et les difficultés à établir l’ordre de priorité des menaces ont également été désignées comme des facteurs faisant augmenter les coûts liés aux atteintes. Les chercheurs quantifient ces coûts, indiquant que ces deux facteurs ajoutent respectivement 314 500 $ et 311 300 $ au coût moyen d’une atteinte.

Au Canada, les organisations qui déploient largement l’IA dans leurs opérations de sécurité ont déclaré un coût moyen de 5,5 millions de dollars par atteinte, comparativement à 8,91 millions de dollars pour les organisations qui n’ont effectué aucun déploiement de ce type. « Elles ont également détecté et contenu les atteintes beaucoup plus rapidement, contribuant ainsi à réduire l’incidence financière et opérationnelle globale des cyberincidents », écrivent les chercheurs. « Les atteintes ont été détectées en 124 jours et contenues en 57 jours, comparativement à 154 jours et 71 jours respectivement pour les organisations n’ayant pas déployé l’IA dans leurs opérations de sécurité. Les organisations qui tirent le plus grand avantage de l’IA en matière de sécurité sont celles qui utilisent largement l’IA et l’automatisation dans l’ensemble de leurs opérations. »