Les identifiants volés sont devenus la principale porte d'entrée des attaques par ransomware, la sécurité des identités en entreprise doit être renforcée de toute urgence.

Introduction

L'entrée des attaques par ransomware subit un changement fondamental. Selon le dernier rapport annuel sur les ransomwares publié par Sophos, 79 % des incidents de ransomware analysés peuvent être attribués à l'utilisation d'identités volées et d'identifiants d'utilisateurs légitimes lors de la phase d'intrusion initiale. Cela indique que la couche d'identité est devenue la porte d'entrée privilégiée des cybercriminels, et les stratégies de défense traditionnelles centrées sur la correction des vulnérabilités sont confrontées à des défis.

Aperçu des incidents

• Temps : Le rapport est basé sur une enquête sur des incidents réels entre 2025 et 2026, couvrant 2158 responsables de la sécurité réseau.
• Contexte : Les attaques basées sur l'identité sont devenues le mode d'intrusion initial le plus courant, remplaçant l'ancienne configuration dominée par l'exploitation de vulnérabilités.
• Données clés :
• - 79 % des incidents de ransomware commencent par une identité volée ou un abus d'identifiants légitimes.
• - La proportion de courriers malveillants comme point d'entrée est passée de 19 % à 26 %.
• - Les attaques de phishing représentent 24 % (contre 18 % l'année précédente).
• - Les attaques par force brute représentent 23 % (en légère baisse).
• - L'exploitation de vulnérabilités est passée de 32 % à 18 %.
• Modes d'exploitation : 38 % via des applications/systèmes exposés, 30 % via des connexions d'appareils à distance, 21 % via des pare-feu, 8 % via des VPN exposés, 3 % via des appareils IoT.

Analyse technique et des risques

Méthodes d'attaque et chaîne d'exploitation

Pourquoi les attaquants se tournent-ils vers les attaques d'identité ? Selon Ross McKerchar, RSSI de Sophos, les criminels s'appuient sur des méthodes d'attaque « plus faciles » — utiliser des identités volées comme vecteur d'accès initial. La généralisation de l'IA amplifie encore la menace d'ingénierie sociale : l'IA peut peaufiner les e-mails de phishing et concevoir des campagnes ClickFix complexes pour inciter les utilisateurs à contourner l'authentification multifacteur (MFA).

La chaîne d'attaque typique comprend : 1. Obtention d'identifiants : Vol d'identifiants valides via phishing, courriers malveillants ou force brute. 2. Accès initial : Utilisation d'identifiants légitimes pour accéder à des applications exposées, des bureaux à distance ou des pare-feu. 3. Mouvement latéral et élévation de privilèges : Propagation dans le réseau interne à l'aide d'identités légitimes. 4. Déploiement du ransomware : Chiffrement final des données et demande de rançon.

Actifs affectés

• Les attaques d'identité ne se limitent pas aux systèmes informatiques. Les points d'entrée mentionnés dans le rapport comprennent :
• Applications ou systèmes exposés (38 %) — par exemple, applications Web, plates-formes SaaS.
• Connexions d'appareils à distance (30 %) — y compris les appareils personnels des employés, les postes de travail distants non renforcés.
• Pare-feu (21 %) — interfaces de gestion ou passerelles VPN.
• VPN (8 %) — points d'accès distants.
• Appareils IoT (3 %) — périphériques périphériques à faible sécurité.

Il est à noter que l'exploitation de vulnérabilités n'est plus dominante, mais cela ne signifie pas que la correction n'est plus importante. Les attaquants ont simplement choisi la voie « plus facile » en priorité.

Analyse de l'impact sur les entreprises### Risques opérationnels

Les attaques d'identité sont souvent difficiles à détecter car les attaquants utilisent des identifiants légitimes et adoptent un comportement apparemment normal. Cela allonge les délais de réponse aux incidents et peut étendre le périmètre de chiffrement des données. Selon les rapports, 62 % des entreprises admettent avoir des failles de sécurité connues ou inconnues, ce qui permet aux attaques de passer inaperçues.

Risques financiers

Les données montrent que le montant médian des rançons est passé de 2 millions de dollars il y a deux ans à 698 000 dollars, mais les grandes entreprises restent confrontées à des demandes de rançon de plusieurs millions de dollars. Les attaquants ont tendance à ajuster le montant de la rançon en fonction de la capacité de paiement de la victime : un montant trop élevé pourrait pousser l'entreprise à refuser de payer, tandis qu'une rançon « raisonnable » pourrait l'inciter à payer. 48 % des victimes ont payé la rançon, et 66 % ont utilisé des sauvegardes pour restaurer les données. Payer la rançon ne garantit pas la récupération des données et peut encourager les attaques.

Risques de conformité et de marque

Les fuites d'identité impliquent souvent des données personnelles, ce qui peut déclencher des obligations de notification en vertu de réglementations telles que le RGPD et le CCPA. Les incidents de rançongiciel nuisent également gravement à la confiance des clients et à la réputation de la marque, en particulier dans les secteurs traitant des données sensibles (comme la finance, la santé et les infrastructures critiques).

Risques liés aux données

Les attaques par rançongiciel n'entraînent pas seulement un chiffrement des données, mais peuvent également s'accompagner d'un vol de données et d'une extorsion en plusieurs étapes. Les attaquants volent des données sensibles avant le chiffrement et menacent de les divulguer publiquement pour exercer une pression supplémentaire.

Observations sur les tendances sectorielles

De la correction des vulnérabilités à la protection des identités

Au cours des cinq dernières années, l'exploitation des vulnérabilités a été la principale porte d'entrée des rançongiciels. Mais le rapport 2026 montre que les attaquants se sont largement tournés vers les attaques d'identité. Ce changement signifie que les entreprises doivent recentrer leur sécurité sur la détection et la réponse aux menaces d'identité (ITDR), l'authentification multifacteur (MFA) et la gouvernance des identifiants.

Ingénierie sociale pilotée par l'IA

L'IA rend les courriels de phishing plus réalistes et capables de contourner les systèmes de sécurité de messagerie traditionnels. Les campagnes ClickFix montrent comment les attaquants exploitent la lassitude des utilisateurs face à la MFA pour les inciter à approuver des demandes malveillantes. S'agit-il d'un incident isolé ou d'une tendance ? Tous les signes indiquent que les attaques d'identité renforcées par l'IA vont connaître une croissance rapide.

Affinement des stratégies de rançon

La baisse de la rançon médiane ne signifie pas que la menace s'affaiblit. Les attaquants adoptent un modèle d'extorsion plus précis : ils fixent des montants différents en fonction de la taille de l'entreprise pour augmenter la probabilité de paiement. Cela exige que les entreprises soient mieux préparées en matière de négociation et de stratégies de sauvegarde.

Recommandations en matière de défense et de réponse

Au niveau de l'entreprise - Renforcer la sécurité des identités : mettre en œuvre une architecture de confiance zéro, vérifier en continu toutes les demandes d'accès et ne pas faire confiance aux identifiants valides par défaut. - Déployer la MFA de manière exhaustive : imposer une MFA résistante au phishing pour tous les accès à distance, les comptes administrateurs et les systèmes critiques. - Auditer régulièrement les identifiants : identifier et supprimer les comptes zombies, les mots de passe faibles et les comptes à privilèges inutilisés.### Niveau technique - Déploiement de la détection et réponse aux menaces identitaires (ITDR) : Surveillance en temps réel des comportements de connexion anormaux, de l'abus d'identifiants et des mouvements latéraux. - Intégration SIEM/SOAR : Corrélation des journaux d'identité avec le trafic réseau et les données des terminaux pour accélérer la réponse aux incidents. - Protection des endpoints (EDR/XDR) : Détection des processus malveillants et des activités suspectes, même lorsque les identifiants initiaux sont légitimes.

Niveau gestion - Élaboration d'un plan de réponse aux incidents de ransomware : Inclut les procédures de restauration des sauvegardes, les mécanismes de décision de rançon et les stratégies de communication. - Organisation d'exercices de l'équipe rouge : Simulation de scénarios d'attaque basés sur l'identité pour tester les défenses des employés et des systèmes. - Gestion des risques tiers : Garantir que les fournisseurs critiques appliquent également une MFA et des contrôles d'accès stricts.

SecurityPost Insight

Constats clés

La porte d'entrée des attaques de ransomware se déplace des vulnérabilités techniques vers les comportements humains. 79 % des attaques commencent par des identifiants volés, ce qui signifie qu'une entreprise, même si elle a parfaitement corrigé toutes les vulnérabilités connues, peut encore tomber à cause d'un mot de passe faible ou d'un phishing réussi. La sécurité identitaire n'est plus seulement une exigence de conformité, mais un pilier de l'architecture de sécurité moderne.

Implications pour la sécurité des entreprises

• Redéfinir la "frontière" : L'identité est la frontière. Les entreprises doivent élever la gouvernance des identités et le contrôle d'accès (IGA) au même niveau que la défense réseau.
• Les humains restent le maillon faible : Mais nous pouvons réduire les risques grâce à la technologie (comme la MFA anti-phishing) et à la formation (sensibilisation à la sécurité).
• Les sauvegardes ne sont pas une panacée : Bien que 66 % des entreprises récupèrent leurs données via des sauvegardes, 48 % paient encore une rançon. Les sauvegardes doivent être combinées avec un stockage hors ligne et des tests de restauration.

Tendances à surveiller à l'avenir

• Le vol d'identifiants et l'ingénierie sociale pilotés par l'IA deviendront plus courants, les entreprises doivent déployer des outils de défense IA.
• La détection et réponse aux menaces identitaires (ITDR) deviendra un standard dans les centres d'opérations de sécurité.
• Attaques identitaires via la chaîne d'approvisionnement : Les attaquants peuvent pénétrer les grandes entreprises via les identifiants de prestataires de services tiers.

Les responsables de la sécurité des entreprises doivent tirer les leçons du rapport de Sophos : les attaquants prennent des raccourcis, et les défenseurs doivent bloquer le plus large raccourci qu'est l'identité.