Comment un SOC et un CERT répondent-ils aux attaques menées avec l'IA ?

Un SOC et un CERT répondent à une attaque menée avec l’IA comme à toute attaque, mais plus vite. Le SOC détecte les comportements anormaux, sans chercher à savoir si un texte a été écrit par une IA, et confine rapidement. Le CERT prend le relais pour comprendre l’attaque, chasser l’attaquant, remettre en service et éviter son retour.

Cet article fait partie de notre série sur la réponse aux attaques à l’ère de l’IA. Pour le cadre général, voir Qu’est-ce que la réponse « à la vitesse machine » en cybersécurité ?.

Une attaque « avec IA » reste une attaque

Les sources publiques convergent : l’IA sert aux attaquants à accélérer des étapes connues (hameçonnage, reconnaissance, développement de code, tri des données volées), pas à inventer une nouvelle forme d’attaque. Dans sa synthèse de février 2026, l’ANSSI indique n’avoir identifié aucun système d’IA capable de mener seul toutes les étapes d’une attaque, et Microsoft, dans son Digital Defense Report 2026, observe que l’usage se concentre sur des parties précises de méthodes existantes. Le détail est dans Comment les attaquants utilisent-ils l’IA ?.

La méthode de réponse à incident reste donc valable : détecter, confiner, enquêter, éradiquer, restaurer, tirer les leçons. Voir Comment se déroule une réponse à incident ?. Ce qui change, c’est la pression sur trois points :

• la vitesse, avec moins de temps entre l’accès initial et les dégâts ;
• la crédibilité des leurres, qui rend l’utilisateur moins fiable comme détecteur ;
• la variabilité du code malveillant, qui affaiblit la détection par signature.

Le rôle du SOC : détecter des comportements et confiner vite

Le SOC ne juge pas le texte d’un message. Il surveille ce qui suit : une connexion depuis un pays inhabituel, une règle de transfert créée dans une boîte aux lettres, un consentement accordé à une application inconnue, un script lancé sur un poste. Microsoft, dans le même rapport, rappelle que la corrélation des signaux venant des postes, des identités, du cloud, de la messagerie et du réseau révèle des schémas invisibles quand chaque source est analysée seule.

Côté postes, les EDR analysent le comportement des processus, ce qui reste efficace contre un code qui change de forme. Une fois l’alerte qualifiée par un analyste, le confinement gagne à suivre rapidement : isolation des systèmes compromis, coupure des canaux de propagation, préservation des preuves forensiques. Chez Cyna, les alertes sont traitées par des analystes humains basés en France, pas par un chatbot. L’IA y sert notamment à aider à concevoir des règles d’automatisation du SOAR de Cyna ; les analystes restent présents à chaque alerte.

Sur la préservation des preuves, voir Comment isoler un système sans détruire les preuves ?.

Le rôle du CERT : enquêter, éradiquer, sécuriser le retour

Le confinement arrête la progression ; il ne dit pas comment l’attaquant est entré ni s’il a laissé des accès. Le CERT reconstitue la chronologie, identifie les comptes et machines touchés, cherche les mécanismes de persistance, supprime les accès de l’attaquant et accompagne la remise en service. Il fournit aussi les faits utiles aux éventuelles notifications, dont les délais sont fixés par les textes : NIS2 prévoit une alerte précoce sous 24 heures pour les entités concernées, le RGPD une notification à l’autorité de contrôle sous 72 heures pour une violation de données personnelles.

Chez Cyna, le CERT est membre de l’InterCERT France, travaille avec les équipes du SOC et peut être mobilisé rapidement. L’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. Pour comprendre son rôle, voir Qu’est-ce qu’un CERT en cybersécurité ?.

Qui fait quoi pendant l’incident

Phase	SOC	CERT	Infogérant et client
Détection	Corrèle les signaux, qualifie	Pas encore mobilisé	Signale tout doute
Confinement	Isole, coupe, préserve les preuves	Conseille si l’incident est complexe	Valide les gestes à impact
Investigation	Fournit journaux et alertes	Reconstitue l’attaque	Donne accès et contexte
Éradication et restauration	Surveille la reprise	Supprime les accès, sécurise	Restaure, décide de la reprise
Notifications	Fournit la chronologie	Fournit les faits techniques	Notifie les autorités

Deux situations qui demandent plus que de la technique

La fraude par deepfake. L’ENISA, dans son Threat Landscape 2025, relève l’usage de l’IA dans l’hameçonnage vocal et la fraude par usurpation avec deepfakes. Il n’y a parfois aucun code malveillant : la réponse est d’abord organisationnelle (bloquer le paiement, conserver les preuves, porter plainte), puis technique, en vérifiant si une messagerie a été compromise en amont. La prévention tient en une règle : tout changement de coordonnées bancaires se confirme par un rappel sur un numéro connu.

Les outils d’IA de l’entreprise. L’ANSSI rappelle dans sa synthèse de février 2026 que les systèmes d’IA peuvent être ciblés et que des comptes d’outils d’IA ont été compromis par des voleurs d’identifiants. En cas d’incident, il faut traiter ces comptes et les accès des assistants comme n’importe quel autre accès : révoquer les jetons, changer les secrets, vérifier les journaux.

Éviter que l’attaque recommence

Une fois l’incident clos, le retour d’expérience corrige la porte d’entrée et vérifie qu’aucun accès ne subsiste. Voir Comment éviter une seconde attaque dans la foulée ?.

Faire le point avec un expert

Vous voulez vérifier que la chaîne SOC, CERT et infogérant est prête pour vos clients ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.

Questions fréquentes

Comment détecter un e-mail d'hameçonnage rédigé par une IA ?

On ne cherche pas à savoir s'il a été écrit par une IA. On surveille ce qui se passe après : connexion inhabituelle, règle de transfert créée dans la boîte, consentement accordé à une application, exécution d'un script. Ces comportements trahissent l'attaque, quel que soit le rédacteur.

Que faire en cas de fraude au faux dirigeant par deepfake ?

Bloquer ou tenter de rappeler le paiement auprès de la banque au plus vite, conserver les preuves (enregistrements, messages, journaux), porter plainte et vérifier qu'aucun compte n'a été compromis en amont. Le CERT aide à établir les faits.

Le CERT aide-t-il pour les notifications réglementaires ?

Il fournit la chronologie et les faits techniques. La notification relève de l'entité concernée : NIS2 (article 23) prévoit une alerte précoce sous 24 heures pour les incidents importants, et le RGPD (article 33) une notification à l'autorité de contrôle sous 72 heures pour une violation de données personnelles.

Quelle différence entre un SOC et un CERT ?

Le SOC surveille en continu et détecte ; le CERT intervient sur un incident avéré pour enquêter et remédier. Voir CERT, CSIRT et SOC : quelles différences ?.