Selon le NCSC, les infrastructures britanniques seront visées par des attaques par rançongiciel dopées à l’IA d’ici 2028

Ce que dit le rapport du NCSC

Le 3 novembre 2026, le National Cyber Security Centre, qui fait partie du GCHQ, a publié son rapport State of the Cyber Nation (NCSC). Il juge très probable qu’au cours des deux prochaines années, des groupes hostiles recourant à l’IA mènent des attaques par rançongiciel, des opérations d’ingénierie sociale et des attaques visant des failles logicielles à plus grande échelle et avec plus d’efficacité. Il s’attend aussi à ce qu’un logiciel malveillant dopé à l’IA soit utilisé dans une attaque par rançongiciel contre les infrastructures nationales critiques du Royaume-Uni d’ici 2028.

Le directeur général du NCSC, le Dr Richard Horne, a présenté le rapport lors d’un discours. Son argument, tel que le NCSC l’expose : l’IA n’invente pas de nouveaux types d’attaques. Elle permet aux attaquants de trouver et d’exploiter, bien plus vite qu’avant, des failles que les organisations tolèrent depuis des années. « Pendant des décennies, nous nous en sommes tous tirés en faisant de la tech au rabais », devait-il déclarer.

Le NCSC rappelle également les mesures du gouvernement : le projet de loi Cyber Security and Resilience Bill, un futur National Cyber Action Plan et les financements annoncés par le chancelier de l’Échiquier la semaine précédente, dont 60 millions de livres pour la première phase d’un Cyber Shield national et 70 millions de livres pour un nouveau centre chargé d’identifier les vulnérabilités dans les infrastructures critiques et l’ensemble de l’économie.

Quelles entreprises sont concernées

L’avertissement principal porte sur les infrastructures critiques, mais le NCSC adresse son rapport aux petites et moyennes organisations comme aux grandes et au secteur public. Si votre entreprise utilise des logiciels anciens, des systèmes en retard sur leurs mises à jour ou des outils exposés sur Internet sans nécessité, ce sont précisément les failles que l’IA rendra plus rapides à trouver, selon le rapport.

Le rapport lui-même ne crée ni nouvelle obligation légale ni échéance. La source ne précise pas quelles entreprises le Cyber Security and Resilience Bill couvrira : ne tirez donc aucune conclusion, dans un sens ou dans l’autre, de cette annonce.

Ce qu’il faut vérifier avec vos développeurs

Aucune action n’est imposée à une date précise, mais les conseils du NCSC sont suffisamment concrets pour agir dès maintenant :

• Recensez les systèmes, interfaces d’administration et serveurs de votre entreprise connectés à Internet, et demandez-vous si chacun doit vraiment l’être.
• Demandez qui applique les mises à jour de sécurité de votre site web, de votre boutique en ligne et de vos logiciels, et dans quels délais.
• Identifiez les logiciels qui ne reçoivent plus de mises à jour, et prévoyez de les remplacer ou de les isoler.
• Si vous détenez la certification Cyber Essentials, considérez-la comme un point de départ ; le NCSC indique que les organisations doivent aller plus loin en fonction de leur taille, de leur complexité et de leur niveau de risque. Si vous ne la détenez pas, commencez par là.
• Budgétez la sécurité et la maintenance comme un coût fixe plutôt que comme une option.

Le guide publié par le NCSC en mai 2026 sur la préparation à une vague de correctifs de sécurité mérite d’être lu en complément du rapport.

Si vous avez besoin de quelqu’un pour maintenir vos logiciels à jour et sous supervision après leur mise en production, Cognivise propose un service de support et maintenance continus.