Une intrusion de sécurité chez la société d'intelligence blockchain Chainalysis et un vol de plusieurs milliards de dollars à la plateforme d'échange de cryptomonnaies Binance ont souligné la manière dont l'intelligence artificielle devient une composante du paysage des cyberattaques. Alors que les attaquants retournent les outils d'IA contre les grandes entreprises crypto, le Nigeria — l'un des marchés de cryptomonnaies les plus actifs au monde — ne dispose toujours pas d'un cadre juridique pour encadrer cette technologie.

Ces deux incidents soulèvent la question de savoir si les lois existantes du pays en matière de cybersécurité et de protection des données sont suffisantes pour faire face à des attaques impliquant des systèmes d'IA de plus en plus autonomes. Les enjeux sont particulièrement élevés pour le Nigeria, classé deuxième mondial en adoption de cryptomonnaies selon le Global Crypto Adoption Index 2024 de Chainalysis.

Ce qui a été confirmé — et ce qui ne l'a pas été

Chainalysis, la société d'intelligence blockchain qui aide les plateformes d'échange de cryptomonnaies, les gouvernements et les forces de l'ordre à tracer les actifs numériques volés, a révélé la semaine dernière qu'un attaquant avait utilisé ce qu'elle a décrit comme des « techniques agentiques offensives » pour accéder à ses systèmes et à ses outils internes.

La société a confirmé que l'intrus avait accédé aux identifiants utilisateurs, aux noms complets, aux adresses e-mail et aux libellés de rôle organisationnel de certains utilisateurs de sa plateforme. Elle a indiqué n'avoir trouvé aucune preuve que l'attaquant ait accédé au contenu des enquêtes, aux résultats de transactions ou de requêtes, aux mots de passe en clair, aux secrets d'authentification multifactorielle ou aux jetons de session utilisateurs.

Chainalysis n'a pas expliqué précisément comment l'attaquant a utilisé l'IA, quelles vulnérabilités ont été exploitées, ni dans quelle mesure l'intrusion a été automatisée. Dans une mise à jour ultérieure, la société a révélé avoir temporairement mis hors ligne certains produits, tels que Reactor et Data Solutions, le temps de mener des évaluations de sécurité complémentaires.

L'incident de Binance est distinct. La plateforme a signalé qu'environ 6,34 milliards de dollars d'actifs numériques avaient été touchés par un incident de sécurité la semaine dernière. Dans ses conclusions préliminaires publiées cette semaine, Binance a indiqué avoir gelé ou intercepté environ 2,85 milliards de dollars d'actifs et promis d'assumer l'impact financier du vol. La part des actifs touchés restants qui pourra être tracée ou gelée — et ce que les conclusions à venir révéleront sur le déroulement de l'intrusion — constituent les éléments clés à suivre à mesure que l'enquête progresse.

En citant des informations du FBI, Binance a attribué l'attaque à la Corée du Nord. Les sociétés d'intelligence blockchain TRM Labs et Chainalysis l'ont reliée à un groupe connu sous le nom de TraderTraitor.

Le rapport de la plateforme décrit une attaque en plusieurs étapes impliquant de faux entretiens de recrutement, des logiciels malveillants, des appareils d'employés compromis et des identifiants volés. Il révèle également qu'un attaquant a utilisé l'ordinateur d'un ingénieur compromis et un outil d'IA interne pour prendre le contrôle des machines de deux autres ingénieurs avant d'accéder à l'infrastructure liée aux opérations de portefeuille de Binance.

Cette séquence n'établit pas que l'IA ait mené le vol de manière autonome. Elle montre plutôt comment un outil interne doté d'IA peut devenir un maillon d'une chaîne d'attaque lorsque les contrôles d'accès et les appareils des employés sont compromis.

Pourquoi l'IA change l'équation sécuritaire

Ces incidents illustrent les deux faces d'une menace émergente : l'IA peut aider les attaquants à accéder aux systèmes, tandis que les organisations s'appuient de plus en plus sur la même technologie pour détecter et prévenir les attaques. Le rapport de Binance note que la plateforme a renforcé sa détection d'anomalies basée sur l'IA.

Le rapport 2026 d'IBM sur le coût des violations de données a révélé qu'une violation malveillante sur quatre impliquait l'IA, soit une hausse de 56 % par rapport à l'année précédente. La plupart de ces incidents impliquaient des usurpations d'identité par deepfake et des logiciels malveillants assistés par IA plutôt que des agents entièrement autonomes.

Cette distinction est importante. La menace immédiate n'est pas nécessairement un système d'IA décidant seul de pirater une organisation ; il s'agit de la capacité des attaquants à utiliser l'IA pour rendre les techniques existantes plus rapides, plus convaincantes et plus faciles à déployer à grande échelle. Les messages frauduleux, l'usurpation d'identité, les logiciels malveillants et l'ingénierie sociale deviennent tous plus efficaces lorsque l'IA est utilisée pour générer des communications crédibles ou automatiser une partie des opérations.

Pour les entreprises de cryptomonnaies, où les employés peuvent avoir accès à des actifs de valeur et à des infrastructures sensibles, un seul compte ou appareil compromis peut avoir des conséquences considérables.

La menace devient également plus difficile à contenir. En juin, le directeur général d'Immunefi, Mitchell Amador, a averti que l'industrie des cryptomonnaies pourrait disposer de trois à quatre ans avant que les défenseurs ne développent des capacités comparables à celles des menaces émergentes liées à l'IA. Le directeur général de Circle, Jeremy Allaire, a également soutenu, dans une interview partagée sur X par Brian Sozzi, que les organisations devraient opérer en partant du principe qu'elles sont sous attaque.

Le secteur financier nigérian subit peut-être déjà les effets de cette évolution. Le directeur général de Prembly, Lanre Ogungbe, aurait déclaré à Bloomberg que les attaques pilotées par l'IA contre le secteur financier du pays avaient augmenté de 150 %.

Pour les utilisateurs nigérians, les risques s'étendent au-delà des plateformes d'échange de cryptomonnaies aux comptes bancaires, aux plateformes de paiement numérique et aux informations personnelles. L'usurpation d'identité et le hameçonnage assistés par l'IA pourraient rendre plus difficile pour les clients la distinction entre communications légitimes et frauduleuses.

Le Nigeria a des projets, mais pas de loi spécifique sur l'IA

Le Nigeria a commencé à élaborer un cadre juridique pour l'IA, mais le processus n'a pas encore donné naissance à une loi autonome sur l'IA.

Le National Digital Economy and E-Governance Bill est l'un des principaux véhicules législatifs pour traiter cette question. Le président de la commission TIC du Sénat, Shuaib Salisu, a indiqué que la législation couvrira les agents d'IA. Le projet de loi est promis à plusieurs reprises depuis fin 2025, et le Sénat vise désormais son adoption avant la fin de l'année. Tant qu'il ne sera pas adopté et promulgué, il ne pourra toutefois pas servir de cadre réglementaire en vigueur. Pour les entreprises nigériannes de cryptomonnaies et de finance numérique, ce calendrier compte : le texte final du projet de loi déterminera les obligations de sécurité et de responsabilité applicables lorsque des outils d'IA peuvent atteindre des systèmes internes sensibles.

D'autres initiatives progressent séparément. La Commission nigériane de protection des données (NDPC) révise la Nigeria Data Protection Act pour répondre aux préoccupations émergentes liées à l'IA.

L'Agence nationale de développement des technologies de l'information (NITDA) travaille également avec les institutions gouvernementales sur d'éventuelles modifications du cadre de cybersécurité du Nigeria, et sa directrice générale, Kashifu Inuwa, a décrit une révision conjointe de la législation sur la cybercriminalité avec le Bureau du Conseiller national de sécurité et l'Assemblée nationale.

Les efforts du gouvernement suggèrent que la régulation de l'IA n'est plus ignorée. Le défi réside dans la transformation de ces initiatives distinctes en une législation contraignante.

Lorsque les attaques assistées par l'IA touchent les utilisateurs nigérians

Le Nigeria dispose déjà de lois pouvant s'appliquer à certaines attaques assistées par l'IA, notamment la Cybercrimes Act et la Nigeria Data Protection Act. L'absence de loi autonome sur l'IA ne signifie pas que les attaquants ou les organisations opèrent entièrement en dehors des protections juridiques existantes.

Cependant, l'utilisation croissante de l'IA soulève des questions pressantes sur la question de savoir si la législation existante répond adéquatement aux responsabilités des entreprises déployant des systèmes d'IA : qui est responsable lorsqu'un agent d'IA accède à des informations sensibles sans autorisation ? Quelles obligations de sécurité les organisations devraient-elles remplir avant de déployer des outils d'IA capables d'accéder aux systèmes internes ? Comment les régulateurs devraient-ils enquêter sur les incidents impliquant des agents d'IA, et quels recours les utilisateurs concernés devraient-ils obtenir ?

Ces questions deviennent plus urgentes à mesure que les entreprises intègrent l'IA dans leurs services clients, le développement logiciel, les opérations financières et leurs processus internes.

Des voix extérieures au gouvernement réclament des règles plus fermes. L'utilisateur X @Wealth_ese1 a noté que la NITDA avait publié une feuille de route sur l'IA, mais a fait valoir qu'« une feuille de route n'est pas une loi ». L'expert en cybersécurité Peter Obadare a déclaré au Vanguard que « la régulation n'est pas excessive, elle est nécessaire ».

Les préoccupations dépassent le cadre de la finance. La Commission électorale nationale indépendante (INEC) a également publié une clarification concernant des allégations portant sur des photographies générées par IA dans son registre électoral préliminaire, soulignant les implications potentielles de l'IA pour la confiance publique et l'administration électorale.

La question est celle de la responsabilité

L'intrusion chez Chainalysis, le vol chez Binance et la législation nigériane sur l'IA encore inachevée pointent vers un défi croissant : l'IA devient à la fois une composante des outils utilisés par les organisations et des méthodes exploitées par les attaquants.

Ces incidents n'établissent pas que l'IA ait causé le vol chez Binance, ni ne prouvent que les lois nigérianes existantes sont incapables de traiter chaque attaque assistée par l'IA. Mais ils démontrent pourquoi les responsabilités des organisations déployant l'IA doivent être clairement définies.

La législation proposée par le Nigeria pourrait fournir un cadre pour répondre à ces responsabilités, mais son efficacité dépendra de ce qu'elle exige, de la manière dont elle est appliquée et de la capacité des régulateurs à répondre à des menaces en évolution rapide.

Pour un pays affichant une adoption significative des cryptomonnaies et un secteur financier numérique en croissance, la question n'est plus de savoir si l'IA affectera la cybersécurité. Elle est de savoir si le cadre juridique du Nigeria sera prêt lorsque la prochaine attaque surviendra.

Source : TechNext24