Le périmètre de défense d’une entreprise ne correspond plus à son réseau interne. Depuis plusieurs années, les attaques ciblent moins les infrastructures elles-mêmes que les identités, les prestataires tiers et les applications SaaS qui gravitent autour. Le rapport M-Trends 2026 de Mandiant, relayé par le Cigref, pose un constat brutal : des vulnérabilités sont exploitées avant même la publication du correctif, rendant le délai de réaction théoriquement négatif. Cette accélération redéfinit les priorités de la cybersécurité en 2026.
Identités, prestataires et flux SaaS : les angles morts des stratégies de cybersécurité
La plupart des organisations continuent d’investir massivement dans la protection de leurs systèmes (pare-feu, segmentation réseau, détection sur les endpoints). Ces couches restent nécessaires, mais elles ne couvrent pas les vecteurs d’intrusion qui progressent le plus vite.
A lire également : La maintenance informatique préventive limite les interruptions d'activité
CrowdStrike et l’ANSSI signalent une hausse des attaques visant la chaîne d’approvisionnement logicielle : dépendances open source, pipelines CI/CD, environnements de développement partagés avec des prestataires. Un fournisseur compromis donne un accès perçu comme légitime au système d’information du client final, sans déclencher d’alerte.
Le même mécanisme s’applique aux identités. Le vishing (hameçonnage vocal) progresse et cible des collaborateurs disposant de droits d’accès élevés. Les attaquants n’ont plus besoin de contourner un pare-feu quand ils peuvent se connecter avec des identifiants valides obtenus par ingénierie sociale.
A voir aussi : Les outils collaboratifs transforment le travail à distance dans les sociétés
- Les flux SaaS multiplient les points de connexion entre l’entreprise et des tiers, souvent sans supervision du service sécurité.
- Les accès prestataires sont rarement soumis aux mêmes contrôles que les comptes internes (rotation des mots de passe, authentification renforcée, journalisation).
- La gestion des identités reste fragmentée : annuaires multiples, comptes orphelins, droits cumulés au fil des missions.
Protéger le réseau sans protéger les identités et les tiers revient à verrouiller la porte en laissant les clés sous le paillasson.
L’IA offensive accélère les campagnes d’intrusion contre les entreprises
L’intelligence artificielle n’est plus seulement un outil défensif. Plusieurs rapports publiés en 2026, dont ceux de CrowdStrike et de Checkpoint Research, décrivent une industrialisation de l’offensive. Les attaquants utilisent l’IA pour automatiser la phase de reconnaissance, générer du phishing plus crédible et produire du code malveillant adapté à chaque cible.
Le phishing généré par IA pose un problème particulier. Les messages ne contiennent plus les fautes grossières qui servaient de signal d’alerte. Ils reproduisent le ton, le vocabulaire et les références internes d’une organisation, ce qui rend la détection humaine beaucoup plus difficile.
La shadow IA dans les organisations
Le risque ne vient pas uniquement de l’extérieur. Des collaborateurs utilisent des outils d’IA générative non approuvés par leur entreprise pour traiter des données sensibles. Ces usages créent des fuites de données involontaires vers des plateformes tierces, sans que le service informatique en ait connaissance.
L’IA élargit la surface d’attaque autant du côté des menaces que des usages internes non maîtrisés.
Risques cyber et géopolitique : une menace qui se spécialise par secteur
Les données du Baromètre CESIN 2026 indiquent que plus d’une entreprise sur deux estime que la menace d’origine étatique est en augmentation. Le cyberespionnage représente un risque élevé pour 40 % des organisations interrogées. L’objectif de ces campagnes dépasse le gain financier pour viser le vol de propriété intellectuelle et la déstabilisation stratégique.
La menace se spécialise aussi par secteur. Les rapports 2026 pointent une pression particulière sur la tech, la finance et l’enseignement supérieur. Chaque secteur présente des vulnérabilités propres : données de recherche dans l’éducation, transactions à haute valeur dans la finance, code source et propriété intellectuelle dans la tech.
Attaques par déni de service et visibilité médiatique
Les attaques DDoS à motivation géopolitique se multiplient contre des cibles symboliques. Ces opérations causent moins de dommages techniques que les ransomwares, mais elles génèrent une couverture médiatique qui amplifie leur impact perçu. Pour les organisations visées, la gestion de crise devient autant un enjeu de communication qu’un problème technique.
Zero trust et gestion des risques tiers : adapter la posture de cybersécurité
Face à ces évolutions, le modèle zero trust gagne du terrain, mais son déploiement réel reste inégal. Le principe (ne jamais faire confiance par défaut, vérifier chaque accès) s’applique bien aux comptes internes. Il s’applique beaucoup moins aux prestataires et aux interconnexions SaaS, où les contraintes opérationnelles poussent à accorder des accès larges pour maintenir la productivité.
Trois axes permettent de réduire l’exposition sans paralyser l’activité :
- Cartographier les accès tiers actifs et supprimer ceux qui ne correspondent plus à un contrat en cours. Les comptes dormants de prestataires sont un vecteur d’entrée fréquent.
- Appliquer une authentification renforcée sur tous les comptes à privilèges, y compris ceux des fournisseurs, avec une journalisation centralisée des connexions.
- Segmenter les environnements SaaS pour limiter le rayon d’action d’un compte compromis. Un prestataire accédant à un outil de gestion de projet n’a pas besoin de voir les données financières.
Le zero trust ne fonctionne que s’il couvre aussi les identités externes et les flux entre applications.
Le facteur temps dans la réponse aux cybermenaces
Le raccourcissement du « time to exploit » change la donne pour les équipes de sécurité. Quand une faille est exploitée avant la publication de son correctif, la détection rapide et la capacité de réponse comptent davantage que la prévention seule. Les entreprises qui ne disposent pas d’une surveillance continue de leurs systèmes et de leurs accès se retrouvent en position de découvrir l’intrusion des semaines après qu’elle a eu lieu.
Les retours terrain divergent sur la maturité réelle des organisations face à ce défi. Les grandes entreprises disposent souvent de centres opérationnels de sécurité (SOC) actifs en permanence. Les PME et ETI, qui représentent la majorité du tissu économique, fonctionnent encore avec des ressources limitées et des outils de détection moins sophistiqués.
La tendance de fond reste la même pour toutes les tailles de structures : la cybersécurité ne peut plus se limiter à la protection du périmètre réseau. Les identités, les prestataires et les flux SaaS sont devenus les premiers points d’entrée des attaquants, et les stratégies qui ne les intègrent pas accumulent un retard qui se mesure désormais en heures, pas en mois.
