Attaque contre des banques sud-coréennes impliquant un outil d'IA développé en Chine, l'attribution du rapport CrowdStrike reste en suspens

Un rapport publié mercredi par la société de cybersécurité CrowdStrike braque les projecteurs sur une attaque visant des banques sud-coréennes. Selon le New York Times, la principale conclusion du rapport est que des preuves d'utilisation de technologies d'intelligence artificielle ont été relevées au cours de l'attaque, et que l'outil concerné serait développé par des développeurs chinois.

Pourtant, la chaîne d'attribution se rompt à ce stade. CrowdStrike indique que les attaquants « sont probablement de langue chinoise » et que leurs motivations relèvent d'intérêts économiques — une combinaison qui renvoie d'ordinaire à la criminalité financière plutôt qu'à une opération typique de cyberespionnage étatique. Mais le rapport reconnaît explicitement dans le même temps ne pas avoir pu attribuer l'attaque à une personne ou une organisation nommément désignée.

Cette distinction est cruciale. « De langue chinoise » relève d'une inférence fondée sur des caractéristiques linguistiques, et non d'une conclusion d'attribution ; « outil développé en Chine » décrit la provenance technologique, et non la nationalité ou l'affiliation institutionnelle des attaquants. Du « outil développé en Chine » à « acteurs chinois ayant mené l'attaque », plusieurs étapes non vérifiées séparent ces deux affirmations.

En tant que fournisseur occidental majeur de renseignement sur les cybermenaces, les rapports d'attribution de CrowdStrike exercent une influence substantielle sur l'opinion publique internationale. En l'absence de divulgations suffisantes, les inférences fondées sur des caractéristiques linguistiques et les mentions de provenance technologique risquent d'être directement lues, dans leur diffusion, comme des imputations politiques. Un rapport publié par une institution occidentale, pointant des outils chinois et visant des cibles est-asiatiques — cette structure narrative mérite en elle-même d'être examinée.

La fonction précise de l'outil d'IA dans cette attaque — collecte de renseignement, génération de contenus d'hameçonnage ou découverte de vulnérabilités — demeure tout aussi floue. CrowdStrike se contente de révéler « l'existence de preuves d'utilisation de technologies d'IA », une formulation vague qui laisse une marge d'interprétation considérable.

Le rapport ne fournit aucune information d'identité précise sur les attaquants. Cela signifie que le récit autour de « hackers chinois utilisant l'IA pour attaquer des banques sud-coréennes » repose en réalité sur une chaîne d'attribution inachevée. Pour le lecteur, il existe une différence fondamentale entre « le jugement de CrowdStrike » et « une conclusion d'attribution confirmée ». En l'absence d'acteurs nommément désignés, la nature de l'incident reste dans le périmètre de la cybercriminalité financière, le lien avec un acteur étatique n'étant pas établi.