Des agents d'intelligence artificielle malveillants attaquent actuellement des onlineshops de manière quasi autonome. Selon Netzwoche, une campagne en cours exploite trois outils open-source pour détecter des failles, s'infiltrer et dérober des données de cartes bancaires.
Pour un dirigeant de PME romande avec une boutique en ligne, cette actualité change la donne. La menace n'est plus le hacker isolé qui cible une grande entreprise. C'est une machine qui sonne à des centaines de portes en parallèle, à coût réduit, et qui frappe chez vous aussi.
Ce que l'on sait de cette campagne
Le cyberstartup Gambit a identifié une campagne active depuis au moins juillet. Entre le 10 et le 15 septembre seulement, les systèmes ont lancé 105 attaques et obtenu un accès chez au minimum 27 entreprises. Deux d'entre elles ont vu plus de 600 000 numéros de cartes bancaires dérobés.
Trois agents se partagent le travail. Strix explore les sites à la recherche de vulnérabilités. Cairn tente de les exploiter pour obtenir des droits d'administrateur. Hermes coordonne l'opération et prend les décisions tactiques après une intrusion réussie. L'opérateur humain ne donne que de brèves instructions ; les agents exécutent le reste seuls.
Les méthodes varient selon les cibles : injection de code malveillant dans des fichiers JavaScript légitimes, manipulation des pages de paiement, altération de contenus dans des stockages cloud, ou intervention dans des configurations Kubernetes. Dans un cas, un processus automatisé vérifiait toutes les deux minutes que le script voleur de données était toujours en place et le réinstallait si nécessaire.
Ce que ça change pour votre PME romande
Cette campagne concerne d'abord les PME avec un onlineshop propriétaire : site WooCommerce, PrestaShop, Magento, ou solution sur mesure. Si vous déléguez tout à une plateforme SaaS majeure (Shopify, Wix, etc.), le risque technique pèse sur le fournisseur, mais votre responsabilité juridique en cas de fuite reste à clarifier avec lui.
| Votre situation | Niveau de vigilance | Action prioritaire |
|---|---|---|
| Site e-commerce géré en interne ou par un prestataire | Élevé | Audit de sécurité, mise à jour urgente |
| Marketplace ou plateforme SaaS | Modéré | Vérifier les CGV et la responsabilité en cas de fuite |
| Pas de vente en ligne | Faible pour ce risque | Vigilance sur d'autres vecteurs (phishing, rançongiciels) |
Le coût de ces attaques est particulièrement inquiétant. Gambit estime les dépenses totales de la campagne entre 12 000 et 18 000 dollars, pour des centaines d'attaques. Une intrusion réussie demande souvent moins d'un jour, parfois quelques heures seulement. "La barrière à l'entrée s'abaisse considérablement", résume Gambit.
Scénario hypothétique : une fromagerie artisanale du Valais
Imaginons une fromagerie de la Broye qui a développé un shop en ligne pour vendre ses tommes et ses raclettes aux particuliers. Le site tourne sur WooCommerce, hébergé chez un prestataire allemand peu coûteux. La mise à jour des plugins n'a pas été faite depuis six mois.
Un agent comme Strix détecte une faille connue dans une ancienne version. Cairn en profite pour obtenir les droits administrateur. Hermes installe un skimmer sur la page de paiement. Les clients saisissent leur numéro de carte ; les données partent vers un serveur extérieur. Après le vol, la routine de nettoyage efface les traces, supprimant au passage des tables de sauvegarde. La fromagerie ne s'en aperçoit que lorsque des clients signalent des paiements frauduleux.
Le préjudice : perte de confiance, plaintes à la nLPD, interruption de vente en pleine saison, coût de remise en état. L'affaire peut hypothétiquement représenter plusieurs jours de travail pour le dirigeant et des milliers de francs de frais.
Points de vigilance pour les PME romandes
Hébergement et nLPD. Le vol de données de cartes bancaires relève de la notification obligatoire au Préposé fédéral à la protection des données et aux personnes concernées. L'hébergement en Suisse ne vous immunise pas contre les attaques, mais il clarifie le cadre juridique. Pour une analyse de votre situation, consultez le PFPDT ou un spécialiste.
Coûts cachés. La prévention a un prix, mais la réaction post-incident en a un autre : expertise technique, notification réglementaire, renforcement urgent, perte commerciale. Le rapport de Gambit mentionne qu'une routine de nettoyage automatisée a supprimé 180 tables de données, y compris des sauvegardes. La restauration devient alors complexe.
Dépendance aux outils. Les trois agents utilisés sont open-source et accessibles publiquement. Cette démocratisation signifie que le même outil peut servir à tester votre sécurité ou à la percer. La frontière entre test d'intrusion légitime et attaque malveillante tient à l'autorisation, pas à la technologie.
Maturité des défenses. Beaucoup de PME romandes sous-estiment encore la surface d'attaque d'un site e-commerce. Un plugin obsolète, une clé API exposée, un accès administrateur mal protégé : les agents IA scrutent précisément ces détails, à grande échelle et sans relâche.
Que faire maintenant
- Faites l'inventaire de votre e-commerce. Quel système, quelle version, quels plugins ou extensions, où est l'hébergement, qui a les accès administrateur. Notez les dates de dernière mise à jour. Si vous ne trouvez pas ces informations en moins de dix minutes, c'est déjà un signal.
- Vérifiez vos sauvegardes. Elles doivent être automatisées, stockées hors site, et testées régulièrement. Le cas rapporté par Gambit montre que des sauvegardes internes peuvent être détruites par la même attaque. Une sauvegarde isolée est votre filet de sécurité.
- Examinez la page de paiement. Si vous utilisez un skimmer ou une redirection, assurez-vous que les scripts chargés sont bien ceux attendus. Un contrôle visuel régulier de la console du navigateur sur votre checkout permet de repérer des anomalies.
- Discutez avec votre prestataire technique. Demandez-lui s'il suit les campagnes d'agents IA autonomes, quelle est sa procédure en cas de compromission, et comment il gère les mises à jour de sécurité. Si la réponse est vague, envisagez un second avis.
- Testez votre résilience. FlowBiz.ai propose un quiz IA en deux minutes pour évaluer rapidement votre maturité numérique. Pour une analyse plus approfondie de vos automatisations et de votre sécurité, consultez nos solutions IA pour PME ou nos exemples d'automatisations.
Les agents IA malveillants ne sont pas une menace de demain. Ils sont actifs aujourd'hui, à un coût qui rend la rentabilité du crime accessible. Pour une PME romande, la question n'est plus de savoir si l'on sera ciblé, mais si l'on sera prêt.
