Ils ne forcent pas l’entrée. Ils se connectent. Et ils le font 4 fois plus vite.

Une phrase dans le dernier rapport d’incident de Palo Alto Networks devrait changer la façon dont chaque organisation aborde la cybersécurité. Sam Rubin, Senior Vice President chez Unit 42, l’explique clairement : une fois qu’un attaquant possède des identifiants légitimes, il ne s’introduit pas dans le système. Il se connecte. Lorsqu’un adversaire se fond dans le trafic normal, même les défenseurs les plus aguerris peinent à le détecter.

Cette affirmation rebat toutes les cartes du paysage des menaces. L’attaquant n’a pas besoin d’exploiter une faille zero-day. Il n’a pas besoin de contourner un pare-feu. Il n’a pas besoin de déployer un malware sophistiqué. Il lui suffit d’un identifiant volé. Avec cet identifiant, il devient impossible à distinguer d’un utilisateur légitime : il navigue dans les systèmes, accède aux données et les exfiltre avant même que les équipes de sécurité ne s’en rendent compte.

Les chiffres qui illustrent ce changement sont éloquents. Palo Alto Networks a analysé plus de 750 incidents à travers le monde et constaté que les groupes de menaces agissent aujourd’hui quatre fois plus vite qu’il y a un an. L’IA accélère chaque étape du cycle d’attaque : reconnaissance, phishing, scripting et exécution opérationnelle. Lors des attaques les plus efficaces, l’exfiltration de données intervient seulement 72 minutes après l’accès initial. Des identités et des jetons volés apparaissent dans 90 % des cas traités.

Ce rapport ne porte pas sur des menaces émergentes. Il s’appuie sur des centaines d’incidents réels et révèle un décalage fondamental entre la vitesse d’action des attaquants et la capacité des organisations à détecter et réagir.

5 points clés à retenir

1. Les attaquants vont 4 fois plus vite qu’il y a un an — et les plus efficaces exfiltrent en 72 minutes. L’analyse de plus de 750 incidents par Palo Alto Networks montre que les groupes de menaces agissent quatre fois plus vite qu’il y a un an. L’IA accélère chaque phase : reconnaissance, phishing, scripting et exécution. Lors des attaques les plus rapides, l’exfiltration de données intervient 72 minutes après l’accès initial. Ce n’est pas une hypothèse, c’est la réalité à laquelle les équipes de sécurité doivent désormais faire face.
2. L’identité est le vecteur d’attaque principal — présente dans 90 % des incidents traités. Des identités et des jetons volés sont impliqués dans 90 % des incidents analysés par Unit 42. Les attaquants ne s’introduisent pas, ils se connectent. Une fois qu’un adversaire détient des identifiants légitimes, il se fond dans le trafic normal, rendant la détection extrêmement difficile, même pour des opérations de sécurité matures. Le périmètre n’est plus le point d’entrée. C’est l’identifiant qui l’est.
3. Les attaquants ciblent les vulnérabilités dans les 15 minutes suivant la publication d’un CVE. Le délai entre la divulgation d’une vulnérabilité et son exploitation active s’est effondré. Les attaquants ciblent désormais les failles logicielles connues dans les 15 minutes suivant la publication d’un CVE. L’IA permet une reconnaissance et des tentatives d’accès initiales simultanées sur des centaines de cibles. Les organisations qui s’appuient sur des cycles de correctifs manuels de plusieurs jours ou semaines fonctionnent sur une temporalité qui n’existe plus.
4. Les intégrations de confiance sont la nouvelle surface d’attaque supply chain. Près d’un quart des incidents de l’année écoulée impliquent des attaquants qui détournent des intégrations de confiance pour lancer des attaques contre des applications SaaS. Ces intégrations offrent un accès privilégié difficile à défendre, car la connexion est autorisée par conception. Unit 42 de Palo Alto Networks décrit cela comme un changement structurel du risque supply chain : on ne parle plus seulement de code vulnérable, mais de l’abus de liens de confiance entre systèmes.
5. La détection moyenne en 42 jours est catastrophiquement inadaptée face à l’exfiltration en 72 minutes. Le délai moyen de détection dans le secteur reste d’environ 42 jours. Les attaquants exfiltrent les données en 72 minutes. Ce décalage n’est pas progressif, il est total. Lorsque les processus traditionnels de détection et de réponse identifient une violation, les attaquants ont déjà mené leur mission plus de 800 fois. La surveillance en temps réel des accès aux données et l’application automatisée des politiques ne sont plus des objectifs à atteindre, mais le minimum vital face aux menaces accélérées par l’IA.

La fenêtre de 72 minutes a brisé le modèle de détection

Le délai moyen de détection dans le secteur — période entre la compromission initiale et la détection — reste d’environ 42 jours. Les attaquants exfiltrent désormais les données en 72 minutes. Ce n’est pas un simple écart, c’est un gouffre. Quand les opérations de sécurité traditionnelles détectent une violation, l’attaquant est parti depuis des semaines. Les données sont déjà exfiltrées. Les dégâts sont déjà faits.

L’accélération par quatre est due à l’IA sur tout le cycle d’attaque. La reconnaissance dopée à l’IA identifie les cibles, cartographie les référentiels de données et détecte les vulnérabilités à la vitesse machine. Les campagnes de phishing générées par l’IA produisent des attaques de social engineering à grande échelle, avec des taux de clics bien supérieurs à ceux des campagnes humaines. Le scripting assisté par l’IA automatise l’exploitation et la persistance. L’exécution opérationnelle pilotée par l’IA coordonne des attaques simultanées sur plusieurs cibles.

La fenêtre d’exfiltration de 72 minutes signifie que tout mécanisme de détection fonctionnant à l’échelle humaine — revue périodique des logs, tri manuel des alertes, chasse aux menaces hebdomadaire — est structurellement incapable de stopper l’attaque avant qu’elle ne soit terminée. Quand un analyste examine l’alerte, la corrèle à d’autres signaux, enquête sur l’étendue et escalade à l’équipe d’incident response, l’exfiltration a eu lieu depuis des heures, voire des jours. Le modèle de détection conçu pour un monde où les attaquants restaient des semaines ou des mois est aujourd’hui totalement dépassé face à des adversaires qui accomplissent leur mission en un peu plus d’une heure.

La surveillance en temps réel des accès aux données n’est plus une ambition, c’est une nécessité. Les organisations doivent détecter les accès anormaux en quelques secondes, pas en heures. Elles ont besoin d’une application automatisée des politiques qui bloque les activités suspectes sans attendre l’analyse humaine. Il leur faut des profils comportementaux pour chaque utilisateur et chaque agent IA, afin d’identifier toute déviation dès qu’elle survient. La fenêtre de 72 minutes ne laisse aucune place aux processus manuels.

Le problème de l’identité est un problème d’exfiltration de données

Dans 90 % des cas traités, des identités et des jetons volés sont en cause. Ce chiffre mérite qu’on s’y attarde. Cela signifie que la principale méthode d’accès des attaquants aux données d’une organisation n’est pas l’exploitation technique, mais le vol d’identifiants. Phishing, détournement de jetons, credential stuffing, session replay : les techniques varient, mais le résultat est le même. L’attaquant obtient une identité légitime et s’en sert pour accéder aux données comme s’il était l’utilisateur autorisé.

Les défenses périmétriques traditionnelles visaient à distinguer les utilisateurs internes des externes. Pare-feux, systèmes de détection d’intrusion, segmentation réseau : tout cela part du principe que la menace vient de l’extérieur et doit être identifiée lors de la traversée du périmètre de confiance. Quand l’attaquant se connecte avec des identifiants valides, cette hypothèse s’effondre. Il est à l’intérieur dès la première seconde. Il utilise une identité autorisée. Son trafic paraît légitime, car du point de vue du système, il l’est.

C’est pourquoi les attaques fondées sur l’identité sont si efficaces et pourquoi ce chiffre de 90 % est si lourd de conséquences. Les actions de l’attaquant sont indiscernables du comportement normal d’un utilisateur, à moins que l’organisation ne mette en place des contrôles qui évaluent le contexte au-delà de l’identité. D’où provient cet accès ? À quelle heure ? Quelle classification de données est consultée ? Quel volume de données est demandé ? Ce volume, cette vitesse et ce schéma correspondent-ils au comportement historique du compte ? Ce sont des questions à poser au niveau des données, pas de l’infrastructure — et la plupart des organisations ne se les posent pas.

La conséquence est directe : même avec une gestion des identités solide, même avec l’authentification multifactorielle, même avec une rotation régulière des identifiants, un attaquant qui obtient un jeton de session valide peut exfiltrer des données. La vérification de l’identité au moment de l’authentification est nécessaire, mais insuffisante. Les organisations doivent vérifier en continu au moment de l’accès aux données : chaque requête, chaque interrogation, chaque téléchargement doit être évalué par rapport au comportement de l’utilisateur, à la sensibilité des données et au contexte de risque actuel.

15 minutes entre la divulgation et l’exploitation

Le rapport montre que les attaquants ciblent désormais les vulnérabilités connues dans les 15 minutes suivant la publication d’un CVE. Ce n’est pas une erreur. Quinze minutes après la divulgation publique d’une faille, les groupes de menaces scannent déjà et tentent de l’exploiter.

L’IA rend cela possible. Des systèmes automatisés analysent les CVE, identifient les logiciels concernés, génèrent des scripts d’exploitation et lancent des campagnes de scan sur des centaines de cibles en même temps. Le cycle humain de gestion des correctifs — évaluer la vulnérabilité, tester le correctif, planifier une fenêtre de maintenance, déployer la mise à jour — s’étale sur plusieurs jours ou semaines. Le cycle d’exploitation accéléré par l’IA se joue en quelques minutes.

Cette accélération a deux conséquences. D’abord, les organisations ne peuvent plus compter uniquement sur la gestion des correctifs pour se protéger des vulnérabilités connues. Le délai entre la divulgation et l’exploitation est désormais plus court que le temps nécessaire pour évaluer et déployer la plupart des correctifs. Des mesures compensatoires — segmentation réseau, patch virtuel, restrictions d’accès centrées sur les données — doivent être déployables immédiatement pendant que le cycle de correctifs suit son cours. Ensuite, la fenêtre de 15 minutes renforce l’importance de limiter l’impact de toute exploitation réussie. Si un attaquant exploite une faille et accède à un système, le contrôle d’accès aux données en mode moindre privilège détermine s’il peut atteindre des données sensibles. La compartimentation limite ses déplacements. La détection d’anomalies identifie toute déviation par rapport aux schémas habituels. L’exploitation peut réussir, mais l’exfiltration n’est pas une fatalité.

Intégrations de confiance : l’attaque supply chain que vous avez déjà autorisée

Près d’un quart des incidents sur l’année écoulée impliquent des attaquants qui détournent des intégrations de confiance pour attaquer des applications SaaS. Il ne s’agit pas d’exploits zero-day sur des vulnérabilités inconnues. Ce sont des attaques qui exploitent des connexions établies par l’organisation elle-même — jetons OAuth, intégrations API, comptes de service et flux de données inter-plateformes bénéficiant d’un accès privilégié par conception.

Sam Rubin de Unit 42 décrit cela comme un changement structurel du risque supply chain, qui dépasse la question du code vulnérable pour s’attaquer à l’abus des liens de confiance. La nuance est essentielle. La sécurité supply chain traditionnelle se concentre sur la présence de vulnérabilités dans le code ou les composants utilisés. Le nouveau risque supply chain, c’est que les connexions de confiance entre vos systèmes — toutes autorisées et privilégiées — offrent des chemins de déplacement latéral exploitables par les attaquants sans déclencher les alertes prévues pour détecter les accès non autorisés.

Le mode opératoire est trompeusement simple. Un attaquant compromet un fournisseur ou un partenaire disposant d’un accès de confiance à votre environnement SaaS. Il utilise cette connexion pour accéder à vos données. Du point de vue de vos outils de sécurité, l’accès paraît légitime, car l’intégration l’est. Le jeton OAuth est valide. L’appel API est autorisé. Le transfert de données suit les schémas établis — jusqu’à ce que ce ne soit plus le cas.

Pour se défendre, il faut surveiller les schémas d’accès aux données de chaque intégration, pas seulement les identités humaines. Lorsqu’une intégration de confiance commence à accéder à des données à des volumes, des vitesses ou selon des schémas qui diffèrent de son profil habituel, cette déviation doit déclencher les mêmes alertes et réponses automatisées qu’un comportement humain anormal. Les organisations ont besoin de journaux d’audit détaillés, documentant quelles données chaque intégration consulte, quand, à quel volume et dans quel but. Elles doivent aussi pouvoir révoquer immédiatement l’accès d’une intégration dès qu’une anomalie est détectée — sans attendre la confirmation du fournisseur.

Pourquoi les architectures de défense traditionnelles échouent face aux attaques accélérées par l’IA

Le rapport de Palo Alto Networks met en lumière des caractéristiques d’attaque qui, combinées, rendent les architectures de défense traditionnelles inefficaces. Accélération par quatre de la vitesse. Fenêtres d’exfiltration de 72 minutes. Accès fondés sur l’identité dans 90 % des cas. Exploitation des vulnérabilités en 15 minutes. Abus d’intégrations de confiance. Chacune de ces caractéristiques remet en cause la sécurité conventionnelle. Ensemble, elles dessinent un paysage d’attaque qui dépasse ce que peuvent gérer des opérations de sécurité périodiques, centrées sur le périmètre et à rythme humain.

La détection traditionnelle repose sur la corrélation de signaux issus de multiples sources — logs SIEM, télémétrie endpoint, flux réseau — et sur l’analyse humaine des alertes générées. Quand les attaquants restaient des semaines, ce modèle fonctionnait, car le temps jouait en faveur du défenseur. Avec une fenêtre de 72 minutes, le temps est exclusivement du côté de l’attaquant. Le moteur de corrélation peut générer l’alerte, mais l’analyste ne la verra jamais avant que l’exfiltration ne soit terminée.

La prévention traditionnelle vise à maintenir les attaquants hors du périmètre. Quand 90 % des attaques reposent sur des identifiants volés, l’attaquant a déjà franchi le périmètre dès l’accès initial. Pare-feux, IPS et contrôles d’accès réseau résolvent un problème que l’attaquant a déjà contourné.

La réponse traditionnelle consiste à identifier l’étendue de la compromission, à contenir les systèmes affectés et à remédier. Quand les attaquants exfiltrent en 72 minutes, il n’y a plus rien à contenir. Les données sont parties. La réponse devient une enquête forensique et une notification de violation — plus une défense active.

Le modèle de défense adapté à ces caractéristiques d’attaque repose sur trois fonctions à activer simultanément. Surveillance en temps réel des accès aux données pour détecter les schémas anormaux en quelques secondes. Application automatisée des politiques pour bloquer les accès suspects sans intervention humaine. Et vérification continue, évaluant chaque demande d’accès aux données selon le profil utilisateur, la classification des données et le contexte de menace. Ce n’est plus un modèle périmétrique, mais centré sur la donnée : il part du principe que l’attaquant est déjà à l’intérieur et vise à empêcher l’exfiltration, pas l’accès initial.

Ce que les organisations doivent faire pour suivre la vitesse des attaques IA

Le rapport de Palo Alto Networks s’appuie sur plus de 750 incidents réels. Les conclusions exigent des réponses opérationnelles, pas des exercices de planification stratégique. Voici ce que les organisations doivent mettre en place dès maintenant.

Déployer une surveillance en temps réel des accès aux données avec détection automatique des anomalies. La fenêtre d’exfiltration de 72 minutes rend obsolètes la revue périodique des logs et le tri manuel des alertes. Les organisations doivent surveiller en continu pour détecter les accès anormaux en quelques secondes : volumes de téléchargement inhabituels, accès à des données sensibles imprévues, connexions depuis des lieux ou appareils inconnus, requêtes en rafale. La détection d’anomalies doit fonctionner à la vitesse machine, car les attaques opèrent désormais à cette vitesse.

Mettre en place une application automatisée des politiques qui bloque l’exfiltration sans intervention humaine. Lorsque la détection d’anomalies identifie un accès suspect, la réponse doit être automatisée. Restreindre l’accès, exiger une authentification renforcée, bloquer les téléchargements, révoquer les sessions. La fenêtre de 72 minutes ne laisse pas le temps à un analyste de recevoir l’alerte, d’enquêter, d’évaluer la gravité et de décider du blocage. L’application automatisée doit agir en millisecondes tout en alertant l’équipe sécurité pour investigation.

Aller au-delà de la vérification d’identité pour instaurer des contrôles d’accès aux données continus et contextuels. L’authentification à l’entrée ne suffit plus quand 90 % des attaques utilisent des identifiants volés. Chaque demande d’accès aux données doit être évaluée selon le contexte : classification des données demandées, comportement historique de l’utilisateur, lieu et appareil d’accès, volume et fréquence des requêtes. Des identifiants valides ne doivent pas suffire pour accéder à des données hautement sensibles sans vérification supplémentaire sur ces critères contextuels. C’est là que le contrôle d’accès basé sur les attributs — identité, classification des données, contexte et risque — remplace le binaire statique « authentifié / non authentifié ».

Imposer le moindre privilège pour chaque utilisateur, agent IA et intégration. L’impact d’un vol d’identifiants ou d’une compromission d’intégration dépend de la quantité de données accessibles par l’identité compromise. Le moindre privilège — limiter chaque identité aux seules données nécessaires à sa fonction — est le contrôle le plus efficace pour réduire l’impact des attaques fondées sur l’identité. Auditez les accès actuels de chaque utilisateur, agent et intégration par rapport à leurs besoins réels. Le Réseau de données privé Kiteworks impose ces limites via une passerelle gouvernée, garantissant qu’aucune identité — humaine ou IA — ne peut accéder à des données au-delà de sa mission autorisée.

Surveiller les intégrations de confiance avec autant de rigueur que les utilisateurs humains. Près d’un quart des incidents impliquent l’abus d’intégrations de confiance. Les schémas d’accès de chaque intégration doivent être surveillés en continu. Un profil comportemental doit être établi pour chacune. Toute déviation — volumes inhabituels, nouvelles catégories de données, accès hors planning — doit déclencher les mêmes réponses automatisées qu’un comportement humain anormal. Les organisations doivent pouvoir révoquer immédiatement l’accès d’une intégration en cas de suspicion de compromission.

Construire des journaux d’audit permettant une réponse en 72 minutes, pas une détection en 42 jours. Les journaux d’audit doivent documenter chaque événement d’accès aux données sur tous les canaux — messagerie électronique, partage de fichiers, SFTP, transfert sécurisé de fichiers, API. Ces journaux doivent être consultables en temps réel, pas en lots différés. Lorsqu’un incident est détecté, le journal d’audit doit immédiatement montrer quelles données ont été consultées, par qui, quand, depuis où, et ce qui en a été fait. La chronologie forensique doit être disponible en quelques minutes, car l’attaque s’est déroulée en quelques minutes, pas en semaines.

La chronologie des attaques a changé. Votre défense doit évoluer aussi.

Le rapport de Palo Alto Networks documente un changement fondamental dans la chronologie des attaques. Les attaquants vont quatre fois plus vite. L’exfiltration de données intervient en 72 minutes. Les identifiants volés apparaissent dans 90 % des cas. Les vulnérabilités sont exploitées dans les 15 minutes suivant leur divulgation. Les intégrations de confiance servent de passerelles de déplacement latéral.

Chacune de ces conclusions pointe dans la même direction : la défense doit s’opérer au niveau de la donnée, à la vitesse machine, en temps réel. Le modèle périmétrique, qui suppose que les attaquants sont à l’extérieur, a échoué face aux accès par identifiants. Le modèle de détection, basé sur l’analyse humaine, a échoué face à l’exfiltration en 72 minutes. Le modèle de réponse, centré sur la containment, a échoué face à des attaques qui se terminent avant même le début de la containment.

Ce qui reste, c’est un modèle de défense centré sur la donnée. Surveillance continue de chaque accès. Application automatisée qui bloque les accès suspects en millisecondes. Contrôles contextuels qui évaluent chaque requête selon le comportement et la sensibilité des données. Accès en moindre privilège pour limiter l’impact de toute compromission. Et des journaux d’audit qui rendent les incidents visibles dès leur début, pas des semaines après leur fin.

Les attaquants ont changé de rythme. Les organisations qui ne s’adaptent pas découvriront à quoi ressemblent 72 minutes d’accès non détecté lors de leur prochaine notification de violation.

Pour découvrir comment Kiteworks peut vous aider, réservez votre démo sans attendre !

Ressources complémentaires

• Article de blog Zero Trust Architecture : Ne jamais faire confiance, toujours vérifier
• Vidéo Microsoft GCC High : Les inconvénients qui poussent les sous-traitants de la défense vers des solutions plus intelligentes
• Article de blog Comment sécuriser les données classifiées une fois signalées par le DSPM
• Article de blog Instaurer la confiance dans l’IA générative grâce à une approche Zero Trust
• Vidéo Guide ultime pour le stockage sécurisé des données sensibles à destination des responsables IT