Sommaire
Introduction
Début 2024, un employé du service financier du cabinet d’ingénierie Arup a participé à un appel vidéo avec le directeur financier de l’entreprise et plusieurs collègues. Les visages et les voix étaient convaincants. Après l’appel, l’employé a effectué 15 virements d’environ 25 millions de dollars américains. Toutes les autres personnes de cet appel étaient des deepfakes.
Arup a ensuite indiqué qu’aucun de ses systèmes internes n’avait été compromis. Il n’y avait aucun logiciel malveillant à détecter ni aucune vulnérabilité à corriger. Les attaquants ont contourné tout le dispositif de sécurité avec des outils de moins en moins chers.
Vous serez piraté. « C’est une question de quand, pas de si » a été répété dans tant de conférences que la phrase ne veut plus rien dire, et la plupart des organisations continuent de budgéter, de rendre compte et de faire des promesses comme si elle était fausse. Cet article explique ce qui change lorsqu’on prend cette phrase au sérieux.
Le but n’est ni de provoquer la panique ni de suggérer d’abandonner. Traitez-la comme une hypothèse de planification, comme un ingénieur qui conçoit un pont en supposant qu’un séisme finira par survenir. Certaines entreprises auront de la chance, mais on ne peut pas planifier autour de la chance.
Pourquoi la sécurité à 100 % n’existe pas
Une garantie exigerait que chaque contrôle, chaque personne, chaque fournisseur et chaque ligne de code tiennent en même temps, tous les jours. Il suffit à l’attaquant qu’un seul échoue une fois. Les chiffres récents montrent à quel point cela vous échappe.
- L’exploitation peut devancer le correctif. M-Trends 2026 de Mandiant estime le délai moyen d’exploitation à moins sept jours : l’exploitation commence couramment avant la sortie d’un correctif. Même un programme de correctifs parfait ne peut pas fermer cette fenêtre.
- Vos défenses sont aussi des cibles. Le Google Threat Intelligence Group a recensé 90 zero-days exploités en 2025. Un record de 43 a touché les technologies d’entreprise, dont 21 dans des produits de sécurité et de réseau, ceux-là mêmes achetés pour bloquer les attaquants.
- Votre périmètre inclut les erreurs des autres. Le Verizon DBIR 2026 montre que des tiers sont impliqués dans près de la moitié des compromissions, soit une hausse de 60 % en un an.
- Les personnes font partie du périmètre. Dans les données de Mandiant, le phishing vocal est désormais la deuxième voie d’entrée, avec 11 % des intrusions, devant le phishing par e-mail à 6 %. Quelqu’un a été convaincu au téléphone, et aucun correctif n’y change rien.
Rien de tout cela n’exige une négligence. Un programme bien géré comporte toujours un risque résiduel, et quiconque vous promet le contraire cherche à vous vendre quelque chose.
Ce que les fabricants de coffres ont compris depuis longtemps
Essayez d’acheter un coffre-fort incassable. Aucun fabricant sérieux ne vous en vendra, car ils vendent du temps. Selon la norme UL 687, la classe TL-30 signifie que la porte a résisté à deux attaquants compétents équipés d’outils pendant 30 minutes de travail. L’étiquette reconnaît ouvertement qu’avec assez de temps, le coffre s’ouvre.
L’acheteur pose donc une meilleure question que « peut-il être forcé ? ». Il demande si l’alarme sonnera et si les gardes arriveront avant la fin des 30 minutes. Winn Schwartau a appliqué cette idée à la sécurité de l’information dans son livre de 1999, Time Based Security : le temps de protection doit dépasser le temps de détection plus le temps de réaction. Un contrôle n’est utile que si votre équipe peut réagir tant qu’il tient encore.
Appliquez cette formule à vos propres chiffres. Mandiant situe le temps médian de présence mondial à 14 jours, et à 122 jours pour les cas d’espionnage. Parallèlement, le délai médian entre l’accès initial et le passage à un second groupe est tombé de plus de huit heures en 2022 à 22 secondes en 2025. Si vos contrôles tiennent une semaine et que personne ne regarde pendant un mois, leur solidité importe peu.
La sécurité est un prix, et vous contribuez à le fixer
Chaque intrusion est un projet avec un budget, même modeste. L’attaquant paie en temps, en effort, en ressources et en expertise, et accepte aussi le risque d’être pris avant d’être payé.
| Coût | Ce que dépense l’attaquant | Ce qui augmente le prix |
|---|---|---|
| Temps | Les jours entre le début et le paiement | Correctifs rapides, sessions et identifiants de courte durée, confinement rapide |
| Effort | Étapes, nouvelles tentatives et échecs | MFA résistante au phishing, segmentation, moindre privilège, pour que chaque action exige une nouvelle astuce |
| Ressources | Argent pour les outils, l’infrastructure, les accès achetés et les exploits | Fermer les voies d’attaque courantes, pour que seuls des outils sur mesure ou un accès payant passent |
| Expertise | Des compétences rares et les personnes qui les possèdent | Supprimer les voies faciles, pour qu’un opérateur peu qualifié n’aille pas loin |
| Exposition | Le risque d’être pris avant d’être payé | Couverture EDR, journalisation centrale, faux identifiants, détections testées |
Cela fonctionne parce qu’une grande partie de la menace est une activité commerciale. Les groupes de rançongiciels ont des affiliés, des partages de revenus et un retour sur investissement à surveiller. Lorsque vous coûtez plus que ce que vous paierez probablement, un groupe rationnel passe au nom suivant sur la liste.
Ce modèle a deux limites qu’un RSSI doit énoncer clairement. D’abord, les acteurs étatiques sont guidés par une mission plutôt que par le profit. Si vous détenez ce qu’ils veulent, un prix plus élevé ne les fera pas partir, mais il les ralentira et les rendra plus faciles à détecter, ce qui donne à votre équipe le temps d’agir. Ensuite, un contrôle perd de la valeur avec le temps. Un nouveau contournement, une nouvelle CVE ou un outil moins cher peut annuler cette valeur du jour au lendemain : réexaminez donc le prix régulièrement, y compris en dehors des périodes d’audit.
Niveaux de menace, du presque gratuit à l’État
Les menaces sont plus claires lorsqu’on les classe selon ce qu’elles coûtent à l’attaquant. Le tableau ci-dessous est un modèle simple : lisez les coûts comme des ordres de grandeur du marché. L’ordre des niveaux intermédiaires varie selon les cas.
| Niveau | Qui l’utilise | Ce que cela lui coûte | Ce qui augmente le prix |
|---|---|---|---|
| 1. Analyse de masse des CVE connues | Botnets, groupes peu qualifiés, courtiers d’accès | Presque rien : un exploit public et un serveur loué | Une faible surface exposée, avec des failles exploitées corrigées en quelques jours |
| 2. Force brute sur les ports par défaut | Botnets et attaquants opportunistes | Presque rien : listes de mots et mots de passe divulgués | Aucun port d’administration sur Internet, identifiants uniques, MFA forte |
| 3. Phishing de masse et infostealers | Clients de kits de phishing, acheteurs de journaux volés | Faible : un abonnement à un kit ou un lot d’identifiants volés | Passkeys, filtrage des e-mails, appareils gérés, contrôle des sessions |
| 4. Accès acheté | Affiliés de rançongiciels | Souvent de centaines à milliers de dollars pour un point d’entrée | Surveillance des identifiants, segmentation, EDR, sauvegardes immuables |
| 5. Phishing vocal ciblé | Groupes organisés avec des appelants formés | Des jours de recherche et une personne convaincante | Contrôles d’identité stricts pour chaque réinitialisation et changement de MFA |
| 6. Voix et vidéo deepfake | Groupes de fraude, certains acteurs étatiques | Faible et en baisse : images publiques et outils disponibles | Règles de rappel et double approbation qu’aucun visage ne peut contourner |
| 7. Ingénierie sociale sur site et complices internes | Groupes bien financés, services de renseignement | Déplacements, pots-de-vin et réel risque d’arrestation | Contrôle des visiteurs, contrôle d’accès au réseau, culture du signalement |
| 8. Compromission de la chaîne d’approvisionnement | Groupes compétents et bien dotés | Des mois ou des années de travail continu | Accès limité des fournisseurs, contrôle des sorties, surveillance des comportements |
| 9. Zero-days et campagnes APT | Acteurs étatiques, fournisseurs commerciaux de surveillance | Jusqu’à des millions par exploit, plus des équipes dédiées | Détection des comportements, faible rayon d’impact, confinement entraîné |
Niveaux 1 à 3 : les attaques de fond permanentes
Personne ne vous a choisi à ce niveau. Votre adresse IP est apparue, le mot de passe d’un employé figurait dans un journal volé ou votre domaine était sur une liste. Ces attaques ne s’arrêtent jamais et n’ont rien de personnel, et tout ce qui est exposé sera testé.
Ces attaques sont faciles à négliger, mais les chiffres sont mauvais. Le DBIR 2026 montre que, pour la première fois dans l’histoire du rapport, l’exploitation de vulnérabilités dépasse les identifiants volés comme première voie d’entrée, avec 31 % des compromissions. Seules 26 % des vulnérabilités de la liste des failles exploitées de la CISA ont été entièrement corrigées, et le délai médian de correction est passé à 43 jours. À ce niveau, l’attaquant n’a presque rien dépensé, ce qui rend une compromission particulièrement difficile à expliquer.
Niveaux 4 à 6 : accès achetés et attaques contre les personnes
Ici, l’attaquant commence à dépenser spécifiquement pour vous, souvent peu. Rapid7 a constaté des annonces de courtiers d’accès d’environ 2 700 dollars en moyenne au second semestre 2024, dont près de 40 % entre 500 et 1 000 dollars. Son échantillon ultérieur affichait une moyenne bien plus élevée, tirée par des prix très hauts sur un forum : voyez donc ces chiffres comme des indications, car les prix changent. Dans tous les cas, le prix d’entrée est faible par rapport à une demande de rançon.
MGM Resorts montre les dégâts que peut causer une faible dépense. Selon des chercheurs, son attaque de 2023, largement attribuée à Scattered Spider, aurait commencé par un appel au service d’assistance informatique, même si MGM n’a pas confirmé comment les attaquants sont entrés. Sa déclaration à la SEC estimait un impact d’environ 100 millions de dollars sur le résultat ajusté. Arup suit le même schéma : un processus se fiait à ce que les gens voyaient et entendaient, et les attaquants ont falsifié exactement cela.
Niveau 7 : quand l’attaquant vient en personne
Si les voies à distance deviennent trop chères, certains attaquants se rapprochent. En 2020, Egor Kriuchkov s’est rendu au Nevada pour recruter un employé de la Gigafactory de Tesla près de Reno, en offrant un paiement estimé à 500 000 dollars par le juge et à 1 million de dollars dans des rapports antérieurs, afin d’introduire un logiciel malveillant sur le réseau de l’entreprise. L’employé a signalé l’approche et a travaillé avec le FBI. Kriuchkov a été arrêté et a plaidé coupable.
En 2018, quatre officiers du GRU ont garé une voiture de location près du siège de l’Organisation pour l’interdiction des armes chimiques à La Haye, avec du matériel d’attaque Wi-Fi à l’arrière, sous un manteau. Les services de renseignement néerlandais les ont arrêtés sur place. La version quotidienne est plus simple : un coursier qui suit le personnel par une porte, ou un « technicien d’imprimante » qui a besoin de dix minutes seul avec une prise réseau. Cela passe aussi désormais par le recrutement. Mandiant signale un temps médian de présence de 122 jours dans les cas de travailleurs informatiques nord-coréens, où l’intrus entre par votre propre processus de recrutement et touche un salaire.
À ce niveau, l’attaquant risque aussi l’arrestation et la prison. Dans l’affaire Tesla, ce qui a fait échouer le projet est un employé qui savait quoi faire et se sentait en sécurité pour le signaler.
Niveaux 8 et 9 : les attaques les plus coûteuses
En octobre 2021, une personne utilisant le nom de Jia Tan a soumis un correctif anodin à XZ Utils, une bibliothèque de compression présente dans tout Linux. En plus de deux ans, cette identité a gagné la confiance d’un mainteneur et, en février 2024, a livré une porte dérobée visant les serveurs SSH. Elle a été découverte quelques semaines plus tard, en grande partie par hasard, lorsque l’ingénieur Andres Freund a examiné des connexions SSH environ une demi-seconde plus lentes que la normale. Voilà ce qu’achète un gros budget d’attaquant, et cela a failli réussir.
Les zero-days ont eux aussi un prix clair. En 2024, le courtier d’exploits Crowdfense proposait jusqu’à 5 à 7 millions de dollars pour un exploit iPhone complet sans clic. Un attaquant ne gaspillera pas un tel exploit si un appel à votre service d’assistance suffit.
L’IA rend chaque niveau moins cher
L’IA n’a pas ajouté de nouveau niveau. Elle réduit le coût des niveaux existants, surtout en expertise et en temps, les deux coûts sur lesquels les défenseurs comptaient le plus. Des attaques qui exigeaient autrefois une grande équipe qualifiée peuvent de plus en plus être menées par une petite équipe.
- Des attaques à la vitesse des machines. En novembre 2025, Anthropic a signalé qu’un groupe qu’elle estime soutenu par l’État chinois avait utilisé son outil Claude Code contre une trentaine de cibles, avec succès dans un petit nombre de cas. L’IA aurait réalisé 80 à 90 % de la campagne, avec une intervention humaine à environ quatre à six points de décision.
- La découverte de vulnérabilités. En avril 2026, Anthropic a indiqué qu’un modèle non publié, Claude Mythos Preview, avait trouvé des milliers de vulnérabilités à haute gravité et développé de nombreux exploits associés de façon autonome. Elle a limité l’accès aux défenseurs via Project Glasswing, tout en avertissant que de telles capacités se répandront bientôt. Ces deux rapports viennent d’un éditeur ayant un intérêt commercial dans le sujet, mais la tendance est claire.
- Des logiciels malveillants qui demandent de l’aide. Le Google Threat Intelligence Group a documenté des familles comme PROMPTFLUX et PROMPTSTEAL qui interrogent de grands modèles de langage pendant leur exécution pour échapper à la détection.
- Une usurpation plus facile. L’affaire Arup remonte à deux ans, et les outils n’ont fait que s’améliorer depuis. La hausse du phishing vocal dans les données de Mandiant va dans le même sens.
- Des compromissions plus coûteuses. Dans le rapport Cost of a Data Breach 2026 d’IBM, plus d’une organisation sur quatre touchée par une attaque malveillante a déclaré que l’IA y avait contribué. Ces incidents ont coûté en moyenne plus de 6 millions de dollars, contre une moyenne mondiale de 4,99 millions de dollars pour toutes les compromissions.
Gardons le sens des proportions
Les données de réponse à incident de Mandiant apportent un équilibre utile : « nous ne considérons pas 2025 comme l’année où les compromissions ont été le résultat direct de l’IA », et « la grande majorité des intrusions réussies provient encore de défaillances humaines et systémiques fondamentales ». Le rapport d’Anthropic note aussi que le modèle a parfois halluciné des identifiants. Les attaques menées par l’IA sont rapides, mais elles commettent encore des erreurs.
Les deux sont donc vrais. La plupart des compromissions passent encore par les bases, et le coût des attaques de niveau expert baisse rapidement. C’est une excellente raison de corriger les bases maintenant, tant que vous pouvez le faire à votre rythme.
Trois idées à abandonner
- « Nous sommes trop petits pour être ciblés. » Les attaques personnalisées étaient limitées par les heures d’analystes nécessaires. Ce coût baissant, l’attention réservée autrefois aux grandes entreprises peut se porter sur tout le monde.
- « Notre cycle de correctifs est suffisant. » Un délai médian de 43 jours ne peut pas suivre un délai moyen d’exploitation de moins sept jours. Vous devez toujours corriger vite, mais il vous faut aussi des contrôles efficaces lorsqu’aucun correctif n’existe.
- « Je reconnaîtrais mon directeur financier. » Voir et entendre quelqu’un ne prouve plus son identité. Toute demande qui déplace de l’argent, change des identifiants ou accorde un accès doit être vérifiée par un canal séparé convenu à l’avance.
Les défenseurs ont aussi l’IA, et ils doivent l’utiliser
L’usage de l’IA par les attaquants fait la plupart des gros titres, mais la même technologie est disponible pour les défenseurs, et le secteur de la sécurité a vite réagi. CrowdStrike, Microsoft, Google, Palo Alto Networks et SentinelOne, entre autres, intègrent désormais l’IA à leurs plateformes de détection et de réponse, et un nombre croissant de sociétés spécialisées vendent des analystes SOC par IA. Plusieurs de ces produits sont très performants, et vous en payez peut-être déjà certains. Les attaquants utilisent l’IA pour réduire leurs coûts : une équipe de sécurité qui l’évite prendra donc du retard. La question utile pour un RSSI est de savoir où l’IA augmente le plus le prix pour l’attaquant.
Les défenseurs partent avec un avantage
Un attaquant qui utilise l’IA travaille toujours depuis l’extérieur. Il doit comprendre comment votre réseau est construit, quels comptes comptent et à quoi ressemble un comportement normal, tout en restant caché. Votre IA peut lire votre inventaire d’actifs, vos données d’identité, vos journaux, vos incidents passés et votre code source. Elle peut aussi agir avec une vraie autorité, en isolant un hôte, en révoquant une session ou en préparant un correctif.
Cet avantage dépend de vos données. Un analyste IA ne peut pas enquêter sur des journaux jamais collectés ni utiliser un inventaire que personne ne tient à jour. Les bases présentées dans cet article sont aussi ce qui permet à l’IA défensive de bien fonctionner.
Où l’IA augmente le prix aujourd’hui
| Domaine de sécurité | Ce que l’IA peut faire | Comment elle augmente le prix |
|---|---|---|
| Tri des alertes | Regroupe et classe les alertes, ajoute du contexte, ferme les faux positifs évidents | Les attaquants ont moins de bruit où se cacher |
| Investigation | Rassemble les preuves entre les outils, construit une chronologie, rédige un résumé | Moins de temps à l’intérieur avant que quelqu’un comprenne l’attaque |
| Chasse aux menaces | Recherche de nouvelles techniques dans de gros volumes de journaux, par des questions en langage courant | Les points d’ancrage cachés sont trouvés plus tôt |
| Sécurité des e-mails | Examine les e-mails signalés et repère la fraude au paiement et l’usurpation | Chaque campagne de phishing rapporte moins |
| Identité et fraude | Signale les connexions inhabituelles, les changements de MFA et les demandes de paiement | Les identifiants volés et les fausses demandes rapportent moins |
| Code et vulnérabilités | Trouve les failles dans votre code et vos dépendances, puis rédige des correctifs | Il reste moins de failles que les attaquants peuvent trouver en premier |
Ce que montrent les données
- Des compromissions moins coûteuses. Le rapport 2026 d’IBM indique que les organisations utilisant largement l’IA et l’automatisation de sécurité ont réduit le coût moyen des compromissions de 1,93 millions de dollars et raccourci leur cycle de vie de 65 jours. Ces organisations sont peut-être aussi plus matures à d’autres égards : l’IA n’explique donc probablement pas toute la différence.
- Moins de bruit dans les alertes. Lors d’un déploiement de six mois dans un SOC managé portant sur environ 3,1 millions d’alertes, le système AACT a réduit de 61 % les alertes présentées aux analystes, avec un taux de faux négatifs de 1,36 %.
- De meilleures performances des analystes. Dans un essai contrôlé randomisé auprès de 167 analystes SOC, ceux qui utilisaient le Phishing Triage Agent de Microsoft Security Copilot ont trouvé jusqu’à 6,5 fois plus de vrais positifs par minute et amélioré de 77 % l’exactitude de leurs verdicts. Ils ont aussi consacré plus de temps aux e-mails malveillants, là où leur temps est le plus utile.
- Des failles trouvées avant leur exploitation. En juillet 2025, Google a indiqué que son agent Big Sleep avait isolé une faille SQLite, CVE-2025-6965, après que le renseignement a montré que des attaquants préparaient un zero-day. Google estime que c’est la première fois qu’un agent d’IA a directement empêché une tentative d’exploitation réelle.
- La découverte de vulnérabilités à grande échelle. En testant Claude Mythos Preview, Mozilla a trouvé et corrigé 271 vulnérabilités dans Firefox 150. Anthropic indique que des partenaires de Project Glasswing ont vu leur rythme de découverte de bugs multiplié par plus de dix.
- Des correctifs automatisés. Lors de la finale de l’AI Cyber Challenge de la DARPA en août 2025, les systèmes concurrents ont trouvé 86 % des vulnérabilités placées dans le code du défi et en ont corrigé 68 %. Ces systèmes sont publiés en open source.
Acheter un outil ne garantit pas ces résultats. Dans son rapport sur la validation des agents SOC par IA, Gartner prévoit que d’ici 2028, 70 % des grands SOC testeront des agents d’IA, « mais seulement 15 % obtiendront des améliorations mesurables sans évaluation structurée ». Les chiffres des éditeurs proviennent souvent de pilotes et de conditions idéales : demandez donc des résultats issus d’un usage durable en production et testez le produit sur vos propres incidents passés.
La correction est désormais le goulot d’étranglement
L’IA peut trouver des failles plus vite que les organisations ne peuvent les corriger. En mai 2026, Anthropic a indiqué que 75 des 530 bugs graves et critiques signalés aux mainteneurs open source avaient été corrigés. Les délais de divulgation expliquent une partie de cet écart, mais Anthropic a désigné comme principale limite « la capacité humaine à trier, signaler, concevoir et déployer les correctifs ».
Prévoyez une forte hausse des correctifs de sécurité, issus de vos propres analyses comme de vos fournisseurs. Chaque système a besoin d’un responsable clair, de tests automatisés et d’un moyen sûr de déployer et d’annuler un changement. L’IA peut rédiger des correctifs et des tests, relus par des ingénieurs avant la livraison. Une équipe dotée de cette chaîne tire toute la valeur de la découverte par IA, alors qu’une équipe avec un cycle de correctifs de 43 jours obtient seulement un arriéré plus long.
Comment l’utiliser en sécurité
Décidez de l’autorité accordée à l’IA avant de la connecter à quoi que ce soit. Le bon niveau dépend des dégâts que peut causer une mauvaise décision et de la facilité à la corriger.
| Type de travail | Qui décide | Exemples |
|---|---|---|
| Lire et résumer | L’IA seule | Ajouter du contexte, construire des chronologies, rédiger des rapports |
| Faible risque et réversible | L’IA, selon des règles approuvées à l’avance et avec chaque action journalisée | Isoler un poste, révoquer une session, mettre un e-mail en quarantaine |
| Fort impact | Une personne désignée approuve | Mettre la production hors ligne, réinitialiser massivement les mots de passe, contacter les régulateurs |
- Traitez l’IA comme une identité à privilèges. Donnez-lui son propre compte, l’accès minimal nécessaire, un journal d’audit complet et un moyen rapide de la désactiver.
- Supposez que des attaquants essaieront de la manipuler. Votre IA lit des journaux, des tickets et des e-mails, et les attaquants contrôlent une partie de ce texte. Dans l’étude LogJack de 2026, des instructions cachées dans des journaux cloud ont amené des agents de débogage à exécuter du code à distance sur six des huit modèles testés, et les protections cloud n’ont détecté presque aucune charge. Tenez les données non fiables à l’écart des outils capables d’exécuter des commandes et incluez cette attaque dans vos tests Red Team.
- Vérifiez ce qu’elle ferme. Faites examiner chaque semaine par des analystes un échantillon d’alertes fermées par l’IA. Même un faible taux de faux négatifs signifie que de vraies attaques sont masquées, et les attaquants essaieront de comprendre ce que votre IA ignore.
- Gardez vos équipes compétentes. Gartner cite la perte de compétences et la dépendance excessive parmi les principaux risques de l’automatisation du SOC, et les analystes juniors apprennent traditionnellement le métier par le tri. Faites-leur examiner le raisonnement de l’IA et organisez des exercices sans elle. Quelqu’un doit pouvoir faire le travail lorsque l’outil se trompe ou n’est pas disponible.
- Sachez où vont vos données. Les données de sécurité comprennent des identifiants, des données personnelles et des détails sur vos faiblesses : vérifiez quels modèles les traitent, où elles sont stockées et si elles servent à l’entraînement.
- Encadrez toute votre IA. Dans les données 2026 d’IBM, 92 % des organisations ayant subi des incidents de sécurité liés à l’IA n’avaient pas de contrôles d’accès adéquats à l’IA. Les systèmes d’IA que vous exploitez font partie de votre surface d’attaque.
Utilisée ainsi, l’IA aide à résoudre le problème décrit dans le reste de cet article. Le passage en 22 secondes signalé par Mandiant montre le peu de temps dont peut disposer une équipe travaillant uniquement à vitesse humaine. Laissez l’automatisation gérer les premières minutes d’un incident et gardez les personnes sur les décisions qui peuvent nuire à l’entreprise.
Être piraté n’est que le début du combat
Si la compromission est inévitable, ce qui décide de l’issue est ce qui se passe ensuite. Le titre « nous avons été piratés » cache des résultats très variés, d’un portable isolé à une entreprise incapable de travailler pendant trois semaines. La différence tient à trois capacités : la précocité de la détection, la qualité de la réponse et la limite que vos contrôles imposent à la propagation.
Nous avons dit plus haut qu’un défenseur doit tenir partout alors qu’il suffit d’un succès à l’attaquant. À l’intérieur de votre réseau, cet avantage commence à s’inverser. Une véritable intrusion est une chaîne d’étapes, idée à la base de la Cyber Kill Chain de Lockheed Martin et de MITRE ATT&CK. L’attaquant doit franchir chaque étape sans être vu pour atteindre la dernière, les actions sur objectifs. Il vous suffit d’en détecter une, et plus c’est tôt, moins cela vous coûte.
Détecter tôt, tant que vous avez encore le choix
| Étape | Ce que fait l’attaquant | Ce qui peut le trahir | Si vous le détectez ici |
|---|---|---|---|
| Accès initial | Exploite une faille ou se connecte avec des identifiants volés | Tentatives d’exploit, connexions inhabituelles, nouveaux appareils MFA | Un ticket mineur : un compte ou un hôte à nettoyer |
| Point d’ancrage et persistance | Lance des outils, installe un moyen de revenir | Alertes EDR, nouveaux services et tâches planifiées, trafic sortant anormal | Un incident contenu sur quelques machines |
| Élévation de privilèges | Récolte des identifiants, cherche des droits d’administration | Extraction d’identifiants, Kerberoasting, utilisation d’un faux identifiant | Un incident grave avec réinitialisation des identifiants, mais sans préjudice pour l’activité |
| Déplacement latéral | Se propage entre les systèmes, cherche ceux de valeur | Connexions d’administration inhabituelles, fichiers canari touchés, analyse interne | Un incident majeur : reconstruction plus large et quelques perturbations |
| Actions sur objectifs | Vole des données, chiffre des systèmes, détourne de l’argent | Gros transferts sortants, sauvegardes supprimées, modifications massives de fichiers | Une crise : arrêt d’activité, extorsion, régulateurs et gros titres |
Beaucoup d’organisations voient encore l’attaque tard, voire jamais. Mandiant indique que 52 % des organisations ont détecté en interne la première activité malveillante en 2025, contre 43 % auparavant, ce qui signifie que les autres l’ont d’abord apprise de l’extérieur. IBM situe à 247 jours le délai moyen d’identification et de confinement d’une compromission. Les rançongiciels se révèlent souvent à la dernière étape : une demande de rançon signifie donc généralement que l’attaquant est là depuis un certain temps.
La détection exige le même investissement réfléchi que la prévention, et acheter un outil en est la plus petite partie.
- Voyez tout le chemin. Couvrez les postes, l’identité, le cloud, les e-mails et le trafic réseau, et conservez les journaux assez longtemps pour reconstituer une intrusion de 14 jours. Les attaquants resteront là où vous avez des angles morts.
- Détectez les comportements autant que les signatures connues. Les outils changent d’une campagne à l’autre et un zero-day n’a pas de signature, mais extraire des identifiants et se déplacer vers un contrôleur de domaine se ressemble presque toujours.
- Déployez des leurres. Les faux comptes d’administration, les fichiers canari et les fausses clés cloud n’ont aucun usage légitime : tout contact est donc une alerte très fiable. Ce sont parmi les détections les moins chères.
- Couvrez les heures préférées des attaquants. Beaucoup d’intrusions progressent la nuit, le week-end et les jours fériés : une alerte qui attend lundi arrive trop tard.
- Testez. Organisez des exercices Purple Team sur les techniques de vos attaquants probables et comptez celles que vous avez détectées, à quelle vitesse et celles que vous avez manquées.
Répondre avec un plan mature et une équipe entraînée
La détection ne fait que gagner du temps, et quelqu’un doit agir. Une fonction mature de réponse à incident transforme une alerte en confinement, éradication et reprise, dans le bon ordre et sans détruire les preuves nécessaires. NIST SP 800-61 et le NIST Cybersecurity Framework offrent une structure solide.
On reconnaît une capacité de réponse mature à quelques éléments faciles à vérifier.
- Des rôles nommés avec suppléants, dont un responsable d’incident, et des liens clairs avec le juridique, la communication, les RH et la direction.
- Des playbooks pour les scénarios réellement attendus, comme les rançongiciels, la compromission de messagerie professionnelle, la prise de contrôle de compte cloud, l’activité interne et la fraude par deepfake.
- Une autorité accordée à l’avance, pour que les intervenants puissent isoler un système sans attendre une réunion.
- Un contrat avec une société externe de réponse, avec les exigences de votre assureur déjà comprises. Le premier jour d’une crise est un mauvais moment pour négocier un contrat.
- Des exercices réguliers avec les dirigeants, et une revue sans recherche de coupable après chaque incident, qui alimente le programme en nouvelles détections et corrections.
La vitesse influe aussi sur le coût. Dans les chiffres 2026 d’IBM, les compromissions de plus de 200 jours ont coûté en moyenne 5,65 millions de dollars, contre 4,32 millions de dollars pour celles résolues plus vite. Et tranchez les questions les plus difficiles à froid, car il est bien plus dur d’y répondre pour la première fois pendant une attaque.
- Qui a le pouvoir de mettre hors ligne un système générateur de revenus à 3 h du matin ?
- Comment l’équipe de réponse communiquera-t-elle si la messagerie et le chat sont aux mains de l’attaquant ?
- Quelle est votre position sur le paiement d’une rançon, et qui décide avec le conseil juridique et l’assureur ?
- Quels régulateurs, clients et partenaires devez-vous notifier, et dans quel délai ?
- Dans quel ordre les systèmes reviennent-ils, et quelqu’un l’a-t-il vraiment essayé ?
Notre guide de réponse aux rançongiciels détaille ces décisions.
Réduire le rayon d’impact et la gravité
Des contrôles solides comptent encore lorsque la prévention a échoué, car ils décident de la gravité de l’échec. Ils ont deux fonctions : donner plus de temps à vos équipes de détection et de réponse, et plafonner les dégâts si l’attaquant parvient quand même à agir. Prenons le même mot de passe volé dans deux entreprises différentes.
| Contrôle | Sans lui | Avec lui |
|---|---|---|
| Administration par niveaux | Un administrateur de domaine s’est connecté au portable infecté : l’attaquant possède désormais le domaine | Les identifiants d’administration ne touchent jamais les postes : il n’y a rien à voler |
| Segmentation | Un réseau plat permet à un hôte d’atteindre tous les serveurs, y compris les sauvegardes | L’attaquant est confiné à un segment et doit se faire remarquer pour en sortir |
| Moindre privilège et accès juste à temps | Le compte a des accès permanents bien au-delà des besoins de son titulaire | Les droits sont limités et expirent : le compte volé apporte très peu |
| Chiffrement et minimisation des données | Des années de données clients inutiles restent lisibles | Il y a moins à voler, et ce qui est pris est plus difficile à utiliser |
| Contrôle des sorties | Des téraoctets partent vers un hébergeur cloud inconnu sans que personne ne le voie | Le transfert est bloqué ou déclenche une alarme, ce qui affaiblit toute menace d’extorsion |
| Sauvegardes immuables et testées | Les sauvegardes sont chiffrées aussi : il reste à choisir entre reconstruire et payer | La reprise est une procédure connue, d’une durée connue |
Ce que cela change dans le dialogue avec le conseil
« Nous sommes en sécurité » est peut-être la phrase la plus dangereuse d’une réunion du conseil. Elle est fausse, elle apprend au conseil à voir la sécurité comme un achat terminé et, le jour d’un incident, elle transforme un risque d’entreprise en promesse non tenue. Remplacez-la en changeant les questions posées par la direction.
| Cessez de demander | Commencez à demander | Pourquoi c’est important |
|---|---|---|
| Sommes-nous en sécurité ? | Combien coûterait à un attaquant d’atteindre ce qui compte le plus ? | Un oui ou non devient quelque chose que l’on peut mesurer et améliorer |
| Pouvez-vous garantir que cela n’arrivera pas ? | Si cela arrive, jusqu’où cela se propage-t-il et qu’est-ce qui l’arrête ? | Le rayon d’impact dépend largement de vous |
| Avons-nous réussi l’audit ? | Quelles attaques notre dernier test n’a-t-il pas détectées ? | La conformité montre un socle, et un attaquant ne se soucie pas de votre certificat |
| Combien dépensons-nous pour la sécurité ? | Quels coûts pour l’attaquant ces dépenses ont-elles augmentés ? | Chaque ligne du budget est reliée à un changement de risque |
| Qui est responsable ? | À quelle vitesse l’avons-nous su, et qu’avons-nous appris ? | Le blâme apprend à cacher les erreurs, ce qui allonge le temps de présence |
“Nous ne pouvons pas promettre que nous ne serons jamais compromis, et personne d’honnête ne le peut. Nous pouvons promettre que nous attaquer coûtera cher, qu’un intrus sera repéré rapidement, qu’aucune défaillance isolée ne peut faire tomber l’entreprise et que nous nous sommes entraînés pour notre pire journée. Voici le coût de chacun de ces engagements, et voici le risque que vous acceptez si nous ne les finançons pas.”
Une déclaration au conseil à adapter
« Inévitable » n’est pas une excuse
Cet état d’esprit comporte un risque évident. « Tout le monde se fait pirater » ne doit jamais couvrir la négligence. Être touché par un zero-day dans un boîtier de sécurité, puis le contenir en quelques heures, est un résultat défendable. Être touché via un panneau d’administration exposé à Internet avec un mot de passe par défaut, ou une faille connue laissée ouverte pendant neuf mois, ne l’est pas. Les régulateurs, assureurs et tribunaux feront la différence.
La responsabilité devient plus claire. La question passe de « s’est-il passé quelque chose ? » à trois questions plus difficiles : était-ce évitable, à quelle vitesse l’avons-nous vu, et jusqu’où cela est-il allé ? Un RSSI peut répondre de cela.
Où dépenser en premier
Commencez par les niveaux de menace les plus bas et remontez. Les premiers éléments sont peu coûteux et écartent la plus grande part des attaquants, tandis que les suivants supposent que quelqu’un passera quand même.
- Fermez les points d’entrée faciles. Tenez un inventaire à jour de tout ce qui est exposé à Internet, retirez les ports d’administration d’Internet et corrigez les failles exploitées en quelques jours, pas en semaines.
- Rendez les mots de passe volés inutiles. Déployez une MFA résistante au phishing, comme les passkeys ou les clés FIDO2, en commençant par les administrateurs et l’accès à distance, et supprimez l’authentification ancienne.
- Renforcez les processus qui déplacent l’argent et l’identité. Exigez des contrôles d’identité stricts au service d’assistance, des rappels via un numéro connu et une double approbation des paiements. Cela coûte peu et aurait changé la donne dans les scénarios Arup et MGM.
- Réduisez le rayon d’impact. Séparez les niveaux d’administration, segmentez les réseaux, appliquez le moindre privilège et protégez le fournisseur d’identité comme votre système le plus précieux. Un compte volé ne doit jamais donner accès à tout.
- Rendez les intrus plus faciles à détecter. Visez une couverture EDR complète et des journaux centralisés, placez de faux identifiants et des jetons canari, et testez les détections sur de vraies techniques. Chaque étape supplémentaire de l’attaquant doit être une nouvelle occasion de déclencher une alarme.
- Mettez l’IA au service de la défense. Commencez par votre principal goulot d’étranglement, souvent le tri des alertes et l’investigation, avec les fonctions d’IA des plateformes que vous possédez déjà. Mesurez les résultats et fixez des limites claires à ce qu’elle peut faire sans intervention humaine.
- Limitez l’accès des fournisseurs. Donnez aux tiers un accès délimité, limité dans le temps et surveillé, et prévoyez ce que vous feriez si un fournisseur clé était compromis demain.
- Couvrez les voies physiques et internes. Accompagnez les visiteurs, contrôlez l’accès aux prises réseau, vérifiez l’identité des recrues à distance et offrez au personnel un moyen simple et sans blâme de signaler une approche étrange.
- Préparez la reprise. Gardez des sauvegardes immuables, entraînez-vous à restaurer les systèmes d’identité autant que les données, prévoyez un canal de communication hors bande et mettez en place un contrat de réponse à incident.
Chiffrez le prix
Si le coût est l’objectif, mesurez-le. Utilisez votre Red Team pour trouver le prix. En plus de demander si elle est entrée, demandez combien d’efforts cela a pris, quelle étape était la moins chère et quel contrôle l’a obligée à changer d’approche.
| Indicateur | Ce qu’il vous dit |
|---|---|
| Effort de la Red Team pour atteindre les actifs critiques | Ce qui se rapproche le plus d’une étiquette de prix |
| Part des alertes fermées par l’IA, échantillonnées, qui étaient de vraies attaques | Si votre IA cache quelque chose |
| Délai de correction des failles exploitées exposées à Internet | Combien de temps les points d’entrée faciles restent ouverts |
| Couverture des comptes à privilèges par une MFA résistante au phishing | Ce qu’un mot de passe volé peut rapporter |
| Systèmes accessibles depuis un compte compromis | Votre véritable rayon d’impact |
| Délai de détection et de confinement lors des exercices | Si la protection dure plus que la détection et la réaction |
| Délai testé de restauration de l’identité et des services essentiels | La durée réelle d’une mauvaise journée |
Cinq actions pour les 30 prochains jours
- Demandez un prix. Faites cartographier par votre Red Team ou un partenaire de confiance la voie la moins chère vers votre actif le plus important, puis financez d’abord sa fermeture.
- Vérifiez les points d’entrée faciles. Comparez cette semaine votre inventaire exposé à Internet au catalogue Known Exploited Vulnerabilities de la CISA.
- Testez le service d’assistance. Avec l’autorisation nécessaire, vérifiez si un appelant convaincant peut réinitialiser un compte à privilèges.
- Fixez une règle de rappel. Toute demande de déplacer de l’argent, de modifier des coordonnées de paiement ou de réinitialiser des identifiants est vérifiée par un canal connu, et personne n’y échappe, pas même le PDG.
- Organisez un exercice avec les dirigeants. Consacrez 90 minutes à un scénario avec un faux PDG en deepfake suivi d’un rançongiciel un vendredi soir, puis présentez les enseignements au conseil à l’aide de la déclaration ci-dessus.
Conclusion
Si gagner signifie n’être jamais compromis, tout RSSI finit par perdre, souvent en public. Une meilleure image de la victoire est un rapport d’incident si banal qu’il atteint à peine le conseil. Un attaquant dépense des semaines et de l’argent pour arriver sur un poste. Il essaie un faux identifiant et déclenche une alerte. L’équipe isole l’hôte avant midi, change ce qui a été exposé et note ce qu’il faut corriger. Les clients n’en entendent jamais parler, et l’investissement de l’attaquant ne rapporte rien.
Vous ne pouvez pas construire un coffre qui ne s’ouvre jamais. Vous pouvez décider combien coûte son ouverture, et vous assurer que quelqu’un est là lorsqu’on essaie.
Sources
- Mandiant, M-Trends 2026 : temps de présence, vecteurs d’infection initiale, délai d’exploitation, délai de passage, IA dans les intrusions.
- Verizon, 2026 Data Breach Investigations Report : exploitation, implication de tiers, correctifs.
- Google Threat Intelligence Group, bilan des zero-days de 2025 et recherches sur les logiciels malveillants utilisant l’IA.
- IBM, Cost of a Data Breach Report 2026, selon eSecurity Planet.
- Anthropic, « Disrupting the first reported AI-orchestrated cyber espionage campaign » (2025) et Project Glasswing (2026).
- Rapid7, 2025 Access Brokers Report et ses recherches ultérieures sur les courtiers d’accès initial.
- Reportages de CNN et de RTHK sur Arup (2024) ; MGM Resorts Form 8-K (octobre 2023).
- Comptes rendus judiciaires sur United States v. Kriuchkov (2020 à 2021) ; présentation du service néerlandais de renseignement de défense et de sécurité sur l’opération OPCW (octobre 2018).
- Andres Freund, divulgation sur oss-security de la porte dérobée XZ (mars 2024) ; Russ Cox, chronologie de l’attaque XZ ; CVE-2024-3094.
- Liste de prix du programme d’acquisition d’exploits de Crowdfense (avril 2024), selon SecurityWeek et Security Affairs.
- Gartner, Validate the Promises of AI SOC Agents With These Key Questions, selon Help Net Security (septembre 2026), et ses recherches sur l’automatisation du SOC.
- Turcotte et al., Automated Alert Classification and Triage (AACT), arXiv:2505.09843 (2025).
- Bono, Randomized Controlled Trials for Phishing Triage Agent, arXiv:2511.13860 (2025).
- Big Sleep de Google et CVE-2025-6965, selon The Record (juillet 2025).
- DARPA, résultats de la finale de l’AI Cyber Challenge (août 2025).
- Anthropic, Project Glasswing: An initial update (mai 2026).
- Shah, LogJack: Indirect Prompt Injection Through Cloud Logs Against LLM Debugging Agents, arXiv:2604.15368 (2026).
- Lockheed Martin, Cyber Kill Chain ; MITRE ATT&CK ; NIST SP 800-61 et NIST Cybersecurity Framework.
- Classes de coffres résistants à l’effraction UL 687 ; Winn Schwartau, Time Based Security (1999).
- RSSI
- Stratégie de sécurité
- Supposer la compromission
- Cyber-risque
- Menaces liées à l’IA
- IA dans les opérations de sécurité
- Deepfakes
- Ingénierie sociale
- Zero-day
- APT
- Rapports au conseil
