La sécurité des télécommunications change de cible. Depuis des années, nous en parlons comme d'une question de « réseau » : protection des cœurs, transport, accès. Aujourd’hui, le point de rupture est plus prosaïque et plus dangereux : la relation. Applications, portails, service client, procédures de récupération, changements de carte SIM, intégration, comportement du personnel de l'entreprise. C'est là que l'attaque trouve le minimum de friction et le maximum d'impact, car elle n'a pas besoin de « percer » l'infrastructure : elle doit convaincre quelqu'un, ou se glisser dans une pratique. GSMA Intelligence le met en chiffres avec une fracture difficile à ignorer : pour les opérateurs européens, la menace est forte tant sur le réseau que sur l'informatique orientée client (92% dans les deux cas), mais quand on se demande quelle est la solidité des défenses, le réseau « tient » (76% se déclarent fort/très fort) et le front vers le client s'effondre (28%).
Les principales craintes : fuite de données et DDoS
Et quand on s'interroge sur le bien-fondé des craintes, l'Europe répond sans hésiter : fuite de données (96% élevé/très élevé) et DDoS (92%).
DDoS signifie Distributed Denial of Service : ce n'est pas l'intrusion élégante qui vole des données en silence, c'est l'asphyxie. Un service est saturé de trafic distribué jusqu'à ce que la disponibilité devienne un incident public : site qui ne répond pas, applications qui plantent, API qui expirent. Et, détail important, c'est souvent aussi une distraction : pendant que tout le monde regarde le barrage céder, quelqu'un tente d'aller ailleurs.
C’est la géographie de la confiance, celle dont le client fait l’expérience directe.
La sécurité comme continuité : quand la panne devient un accident de confiance
L’autre moitié de l’histoire, celle qui finit souvent dans le tiroir « opérations », est la sécurité au sens le plus large des télécommunications : assurer le fonctionnement du service. En effet, au sein du périmètre européen, les incidents de « sécurité » dans les télécommunications incluent explicitement ceux qui impactent la continuité (disponibilité), et pas seulement les incidents « malveillants » : car pour un opérateur une panne est déjà un incident de confiance, avec des effets immédiats sur les clients, les canaux et la réputation. C’est aussi pourquoi l’ENISA, dans le rapport Telecom Security Incidents 2024 (publié en juillet 2025), regroupe 188 incidents notifiés en 2024 (156 en 2023). À l'intérieur de ce numéro se trouve un message qui semble écrit pour ceux qui gouvernent ensemble la technologie et le risque : parmi les causes techniques récurrentes figurent les coupures de câbles (41 accidents) et les modifications/mises à jour logicielles défectueuses ; et si l'on regarde l'impact en heures d'utilisation perdues, l'ENISA indique que les modifications logicielles défectueuses pèsent davantage, avec 524 millions d'heures d'utilisation perdues contre 331 millions de coupures de câbles. Dans le monde des infrastructures critiques, la sécurité ne coïncide pas seulement avec une attaque déjouée : elle coïncide avec une continuité garantie. Lorsque la continuité est rompue, le client ne se soucie pas de savoir si la cause est un délit, un déclenchement maladroit ou un câble endommagé : il ne voit qu'une chose, la confiance brisée.
Supply chain et tiers : la disruption qui s’étend
Il y a ensuite la supply chain, qui représente désormais la perspective nécessaire pour aborder ces enjeux. L'ENISA classe 65 incidents comme défaillances de tiers et souligne l'augmentation par rapport à 2023 (52). C'est le signe le plus clair d'une réalité que les conseils d'administration connaissent, mais qui tend à rester abstraite jusqu'à ce qu'elle « tombe » dans la production : un opérateur, désormais, est architecture et supply chain. Une mosaïque de systèmes interdépendants ; et lorsqu'une dépendance se rompt – cloud, fournisseurs, plateformes, services partagés – la perturbation ne reste pas confinée, elle se propage. Dans cette logique de chaîne, la supply chain affecte aujourd’hui directement la disponibilité du service.
Tendance 2012-2024 : davantage d’événements, impact sur la résilience
Plus que les données précises, la trajectoire compte. Au cours de la période 2012-2024, l’ENISA décrit une croissance constante du nombre d’incidents dans les télécommunications, l’année 2024 étant le point le plus élevé de la série ; et dans le même passage, il note que le nombre d’heures d’utilisation perdues est « à peu près le même » qu’il y a dix ans – une façon discrète de dire que la résilience et la reprise, lorsqu’elles fonctionnent, modifient l’impact même si les événements s’intensifient. Mais deux trajectoires restent inconfortables. La première : l'ENISA rapporte une augmentation des incidents liés aux phénomènes naturels au cours des trois dernières années, c'est-à-dire que la résilience climatique n'est pas un chapitre ESG, c'est une ligne du runbook. Deuxièmement : le nombre d'incidents de très grande ampleur a augmenté depuis 2021, pour atteindre 92 en 2024. Et, à lire attentivement les séries historiques, l'ENISA rappelle également que les pics de 2021-2022 sont liés à l'élargissement du périmètre (l'inclusion de nouveaux « territoires » comme les fournisseurs OTT).
De la complexité à la discipline : release, récupération, observabilité
Ici, il n’y a pas besoin de choisir entre catastrophisme et réassurance, mais il faut lire la tendance. C'est plus utile : nous devenons plus complexes. Et dans la complexité, la sécurité passe du périmètre à la discipline : ingénierie des versions, gouvernance des fournisseurs, capacités de récupération, observabilité de bout en bout. À partir de maintenant, il ne suffit plus de restaurer, mais vous devez savoir comment signaler pendant que vous restaurez. NIS2 – Directive (UE) 2022/2555 – met un métronome à la crise : alerte précoce dans les 24 heures et notification de l'incident dans les 72 heures à partir du moment où l'organisation a connaissance de l'événement significatif. C’est pourquoi, en 2026, plutôt que de se demander si un accident « est cyber » ou « est opérationnel », la vraie question sera une autre : à quelle vitesse vous vous remettrez sur pied, et dans quelle mesure vous pourrez expliquer – à vous-même, au régulateur, au marché – pourquoi vous êtes tombé.
IA : plus de vitesse, d’échelle et de « crédibilité » que de tromperie
Vient ensuite l’IA, et modifie encore les paramètres : vitesse, ampleur, crédibilité de la tromperie. La GSMA la définit, sans romantisme, comme une arme à double tranchant : elle permet une nouvelle qualité d’attaque (phishing et ingénierie sociale plus évolutives, malwares et botnets plus adaptatifs, deepfakes crédibles) et change en même temps la physique de la défense, notamment là où le goulot d’étranglement est humain. Sur les deepfakes, par exemple, la GSMA est très concrète : elle rapporte que les opérateurs expérimentent déjà de véritables tentatives de tromperie et d'usurpation d'identité, citant des cas de faux documents et des tentatives de tromperie des systèmes.
Automatisation et XDR : corréler les signaux avant qu'ils ne se transforment en fraude et en désabonnement
La réponse opérationnelle évolue vers l’automatisation, car la vitesse dépasse désormais la capacité de réaction traditionnelle. Dans les enquêtes de la GSMA, l'automatisation des réponses et des mesures correctives figure parmi les cas d'utilisation les plus fréquemment cités comme priorité pour la sécurité des opérateurs de télécommunications. Ici, l'attention se porte de plus en plus sur les approches XDR (Extended Detection and Response) : des plates-formes qui collectent des signaux provenant de différents domaines – e-mail, point final, identité, cloud, réseau et applications – et les corrèlent pour reconstruire une seule histoire, au lieu de laisser une séquence d'alarmes déconnectées. La GSMA note également un point « spécifique aux opérateurs de télécommunications » : XDR fonctionne réellement lorsqu'il est formé et intégré aux données et aux actifs de l'opérateur, et non lorsqu'il s'agit d'une solution d'entreprise générique placée au sommet du réseau. Le cas typique est celui qui commence par un email de phishing et se poursuit par une connexion anormale à l'espace client et une demande d'échange de carte SIM : si les points se connectent à temps, vous pouvez augmenter l'authentification ou bloquer l'opération à haut risque avant qu'elle ne devienne une fraude, un remboursement et une désabonnement.
Prévision des menaces et modèles de risques
En parallèle, la prévision des menaces – la capacité d'anticiper une campagne en traversant des signaux faibles et en activant des contre-mesures avant que l'incident n'explose – est indiquée par 40 % des opérateurs comme le deuxième cas d'utilisation principal, et BT est cité comme l'entreprise qui l'a déjà mis en « production réelle ». La condition pour ne pas transformer tout cela en risque supplémentaire est également claire dans les craintes : pour 52 % des opérateurs européens, la préoccupation numéro un, lorsqu'on parle de l'IA en sécurité, est la fiabilité et l'explicabilité des modèles ; suit le thème de la confidentialité et de la protection des données (40%). Ce n’est pas un débat philosophique : si l’on ne peut pas expliquer pourquoi un modèle a décidé, on ne peut gouverner ni l’erreur ni le régulateur. Et la GSMA insère également le cadre : elle rappelle l'AI Act et écrit qu'en raison de leur rôle d'infrastructure critique, les opérateurs télécoms sont particulièrement touchés, les plaçant dans le champ des « systèmes d'IA à haut risque ».
Signaux réseau natifs et API
Côté réponse, il y a une tendance qui mérite attention car elle renverse les perspectives : réutiliser les signaux « natifs » du réseau – ceux qu'un telco voit par définition – pour rendre plus robustes certains contrôles d'identité au fil des parcours numériques. Les API GSMA Open Gateway sur l'échange de carte SIM et la vérification du numéro vont dans cette direction, conçues spécifiquement pour les cas d'utilisation de prévention de la fraude et d'authentification (essentiellement : vérifier les événements d'échange de carte SIM ou vérifier que le numéro utilisé sur l'appareil correspond à celui déclaré par l'utilisateur). Rien de magique en soi, mais une pièce cohérente : déplacer la protection « en amont », là où l'attaque prend souvent naissance, avant qu'elle ne se transforme en ticket et en crise de réputation.
DLP et GenAI : la « productivité » devient exfiltration
Et puis il y a le problème que beaucoup vivent en silence : la fuite de données non pas à cause d’une attaque, mais à cause de la « productivité ». Le rapport de la GSMA le traite de manière pragmatique lorsqu'il parle de DLP (Data Loss Prevention) : des outils qui tentent de reconnaître les informations sensibles et de les empêcher de quitter les mauvais canaux – e-mails, applications de chat et même outils genAI non autorisés – car aujourd'hui l'exfiltration peut aussi être un « copier-coller » bien fait et sans méchanceté.
Le but ici n’est pas de diaboliser les plateformes de type chatgpt : il s’agit de les gouverner. OpenAI, par exemple, indique que pour ChatGPT Business/Enterprise/Edu et l'API, les entrées et sorties « par défaut » ne sont pas utilisées pour entraîner les modèles. Et sur Temporary Chats il précise qu'ils ne servent pas à améliorer les modèles, même si une copie peut être conservée « jusqu'à 30 jours » pour des raisons de sécurité. Traduction opérationnelle, valable pour n'importe quel fournisseur et n'importe quelle carte : l'invite est donnée. Et comme toute donnée, elle s’inscrit dans un périmètre autorisé, avec des règles et contrôles de rédaction/masquage cohérents – car la commodité est souvent le couloir le plus court entre un raccourci interne et un titre de journal.
Le fil conducteur : exposition extérieure et ouvertures intérieures
En fin de compte, le fil conducteur qui unit l’identité, la continuité, la chaîne d’approvisionnement et l’IA est qu’aujourd’hui, la sécurité se joue sur deux fronts : qui vous attaque et comment vous vous exposez. D'un côté, il y a un adversaire qui n'« invente » pas quelque chose de nouveau : il apprend à mieux utiliser ce que nous construisons nous-mêmes. Europol le dit dans une phrase qui semble écrite pour les opérateurs télécoms : « l'ADN du crime organisé est en train de changer ». De l'autre, il y a la complexité quotidienne – processus, changements, outils de productivité – qui crée des lacunes sans intention : une donnée copiée au mauvais endroit, une procédure contournée « pour le faire en premier », un contrôle affaibli dans la course pour rétablir un service. Le résultat, dans le langage des télécommunications, est toujours le même : la menace (externe) s'adapte à notre transformation – cloud, API, automatisation, IA – et l'erreur (interne) abaisse le seuil d'entrée. C'est pourquoi les statistiques de Verizon ne ressemblent pas à du moralisme mais à de la photographie industrielle : dans le DBIR 2025, « l'élément humain » est impliqué dans environ 60 % des cas analysés. La conclusion, à ce stade, est presque inévitable : si la sécurité reste un sujet d’outils, elle perdra face à un risque qui est désormais aussi un comportement ; si elle devient une discipline – du changement, de la chaîne d’approvisionnement, du parcours client et de l’utilisation gouvernée de l’IA – elle redevient ce qu’elle devrait être : une infrastructure invisible qui soutient le service et, surtout, la confiance.
Voir l’article original en italien
