Ce que les responsables de la sécurité doivent savoir sur le rapport DBIR 2026 : 50 % des victimes de Rançongiciels ont vu leurs identifiants exposés dans les 95 jours.

Par Bill Bradley, Marketing produit

La moitié des organisations victimes de Rançongiciels dans le Rapport d'enquête Verizon Data Breach 2026 (DBIR) possédait une accréditation ou infostealer L'événement s'est produit dans les 95 jours précédant l'attaque, et non 95 jours après. L'exposition des identifiants a précédé la violation, ces derniers étant disponibles sur les marchés criminels comme point d'entrée payant pendant le compte à rebours. Cette seule constatation modifie la façon dont les responsables de la sécurité et de la gestion des identités peuvent interpréter le reste du rapport. Les chiffres principaux (l'utilisation abusive d'identifiants représentant 13 % des accès initiaux, tandis que l'exploitation des vulnérabilités atteint 31 %) ne donnent qu'une vision superficielle du changement de tactique des attaquants. La réalité est plus complexe, lorsqu'on analyse les identifiants tout au long du processus de violation et non seulement au point d'entrée. En effet, les identifiants volés sont toujours présents dans 39 % des violations et constituent le principal mécanisme permettant la progression latérale, l'élévation de privilèges et la persistance des attaquants une fois à l'intérieur du système.

Pour la deuxième année consécutive, Flare a contribué à l'élaboration de ce rapport. Les responsables de la gestion des identités et de la sécurité méritent une analyse approfondie de ces données. Ces chiffres permettent d'orienter votre programme afin de protéger au mieux votre organisation et les identités qui la composent, qu'il s'agisse d'employés, de partenaires, de fournisseurs ou de clients.

Voici comment interpréter les résultats les plus importants.

Bien que l'utilisation abusive d'identifiants soit en baisse, il y a un hic.

L'utilisation d'identifiants volés comme vecteur d'accès initial a chuté à 13 % des violations de données. Cela pourrait sembler une bonne nouvelle, mais la réalité est plus nuancée. 

Le vol d'identifiants n'a pas diminué parce que les organisations ont amélioré leur protection. Il a diminué parce que les attaquants ont trouvé une méthode plus rapide et, dans certains cas, plus convaincante. Le nombre d'identifiants volés disponibles continue de croître. De plus, le vol d'identifiants reste un vecteur simple et souvent indétectable, jusqu'à ce qu'il soit trop tard.

Une partie du problème réside dans le prétexte. Le DBIR indique que le prétexte a représenté 6 % des violations de données cette année et est devenu un vecteur d'accès initial plus fréquent, notamment pour les attaques par rançongiciel et les tentatives d'extorsion. Le prétexte est une forme d'ingénierie sociale basée sur la manipulation de la confiance : un attaquant construit un scénario crédible, généralement par téléphone ou par écrit, pour convaincre une victime de lui communiquer ses identifiants ou de lui accorder un accès direct. Ce type d'attaque n'apparaît pas dans la colonne « abus d'identifiants » car les identifiants n'ont pas été techniquement volés, mais le résultat est identique. L'attaquant obtient un accès légitime à votre système et ses actions ne déclenchent aucune alerte car la connexion semblait légitime.

Imaginez : si quelqu'un réussissait à crocheter votre serrure 30 % du temps et que maintenant, ce n'est plus le cas que dans 13 % des cas, cela ne signifie pas forcément que votre porte est plus sûre. Cela signifie simplement qu'il a commencé à manipuler les gens pour qu'ils lui remettent la clé, ou à la copier discrètement à votre insu.

Lorsque vous constatez que l'utilisation abusive d'identifiants comme vecteur d'accès initial chute à 13 %, il faut l'interpréter comme une redistribution, et non une réduction. Les attaquants continuent de cibler les identifiants. Ils diversifient simplement leurs méthodes d'obtention, répartissant leurs efforts entre les voleurs d'informations qui les collectent discrètement en arrière-plan et les campagnes de prétexte les demandant directement. Le rapport DBIR le confirme : si l'on considère l'utilisation abusive d'identifiants à n'importe quel stade de la progression de la violation, et pas seulement lors de l'accès initial, elle représente 39 %. Le chiffre de 13 % ne reflète qu'une partie d'un problème plus vaste, et les identifiants restent le point névralgique.

Le chiffre important n'est pas de 13 %. Il s'agit du résultat de l'étude DBIR portant spécifiquement sur les victimes de rançongiciels : 50 % des organisations victimes de rançongiciels ont subi un vol d'identifiants ou d'informations dans les 95 jours précédant l'attaque. L'exposition des identifiants constitue le compte à rebours avant la violation de données.

Les identifiants volés sont toujours à l'origine de 36 % de toutes les violations de données.

Indépendamment des vecteurs d'accès initiaux, le DBIR recense les actions effectuées lors de toutes les violations confirmées. Les identifiants volés représentent un pourcentage stable de 36 %, ce qui signifie que même lorsque les attaquants exploitent une vulnérabilité, ce sont ces identifiants qu'ils utilisent une fois à l'intérieur du système. Ils permettent les déplacements latéraux, l'élévation de privilèges et la persistance. Ils constituent le mécanisme, et non seulement le point d'entrée. Qu'est-ce qui a le plus de chances de passer inaperçu : l'exécution d'un exploit ou une connexion parmi des milliers ?

Pour les responsables de la sécurité et de l'identité, la conséquence est directe : surveiller les méthodes d'intrusion des attaquants est nécessaire, mais insuffisant. Il est indispensable de connaître l'exposition des identifiants, qui détermine les actions possibles des attaquants une fois infiltrés.

L'économie des courtiers en accès initial dispose d'une liste de prix publiée.

L'une des sections les plus préoccupantes du rapport de cette année examine courtiers en accès initialLes intermédiaires criminels qui compromettent les organisations et revendent ensuite cet accès à des opérateurs de rançongiciels. Le DBIR a constaté que les comptes utilisateurs standard se vendent environ 700 dollars, tandis que les comptes administrateurs atteignent près de 1 300 dollars. Dans le secteur de la santé, ces chiffres ont une tout autre signification. Flare a constaté que dans le secteur de la santé74 % des près de 61 000 journaux d’activité du secteur de la santé ayant exposé les données contenaient des accès aux dossiers médicaux électroniques (DME), systèmes qui renferment les données démographiques des patients, leurs numéros de sécurité sociale, leurs diagnostics, leurs traitements médicamenteux et leurs données d’assurance. Lorsque des identifiants permettent d’accéder à des systèmes cliniques, le risque cybernétique se transforme en risque pour la sécurité des patients.

Ces prix correspondent aux identifiants de votre organisation proposés sur les marchés criminels, à la recherche d'un acheteur. Le groupe de Rançongiciels n'a pas besoin de découvrir vos failles de sécurité ni vos vulnérabilités ; il lui suffit d'acquérir des identifiants. Le rapport DBIR indique clairement que les opérateurs de Rançongiciels externalisent de plus en plus la phase d'accès initiale, en achetant les données que les groupes de Rançongiciels ont déjà collectées lors de campagnes de vol d'informations.

Le délai entre l'apparition d'un identifiant dans un journal de vol et son utilisation frauduleuse se réduit. La rapidité de détection et de correction est essentielle. L'automatisation, grâce aux intégrations avec Entra et Okta, permet d'atteindre cet objectif à la vitesse de la machine.

L'exposition aux tiers a augmenté de 60 % d'une année sur l'autre.

L'implication de tiers dans les violations de données a augmenté de 60 % par rapport à l'année dernière, atteignant 48 % du total des violations. Le DBIR décrit trois vecteurs distincts : 

• données volées dans l'environnement d'un fournisseur et utilisées contre les systèmes de ce fournisseur
• Les identifiants de l'environnement d'un fournisseur utilisés pour accéder directement à vos données
• déplacement latéral d'une connexion fournisseur vers votre réseau

Le point commun entre ces trois situations est l'identité. Dans chaque cas, un identifiant compromis est l'instrument de cette compromission. La sécurité de votre périmètre dépend de la fiabilité des identités de chaque tiers ayant accès à vos systèmes.

Ce que cela signifie pour votre programme de sécurité

En analysant le DBIR sous un angle stratégique et non purement statistique, la tendance est claire : les acteurs malveillants se sont industrialisés et spécialisés. Ils disposent de places de marché, de courtiers, d’une assistance par IA pour le phishing et la recherche de vulnérabilités, ainsi que de procédures documentées dont l’exécution dépasse la capacité de réaction manuelle de la plupart des équipes de sécurité. Chaque maillon de la chaîne de valeur est dominé par des acteurs malveillants concentrés sur un aspect précis, ce qui leur confère expertise et envergure.

Le rapport DBIR n'indique pas qu'il faille multiplier les alertes. L'élément humain était présent dans 62 % des violations de données, et l'ingénierie sociale continue d'évoluer vers des vecteurs axés sur le mobile, où les taux de clics sont 40 % supérieurs à ceux des e-mails. Vos analystes ne peuvent pas suivre manuellement les informations que les réseaux criminels possèdent sur l'identité de votre organisation.

Il est nécessaire d'avoir une visibilité continue et automatisée sur l'exposition des identifiants avant qu'elle ne devienne un accès, associée à une remédiation automatisée. Surveillance forums Web sombre, les places de marché des voleurs d'informations, et Telegram Des canaux pour mettre en évidence les expositions liées à vos domaines spécifiques et agir en conséquence avant la fin du délai de 95 jours.

Le rapport DBIR 2026 s'appuie sur 31 000 incidents, dont 22 000 violations confirmées. Son message principal est clair : les fondamentaux restent primordiaux et l'exposition des identifiants non gérée représente un compte à rebours, et non un simple risque. Les organisations qui éviteront de devenir des données de l'année prochaine seront celles qui détecteront les identifiants exposés au moment de la vente (et non au moment de l'utilisation) et qui corrigeront la situation à la vitesse de l'ordinateur.