Les attaques ciblant l’identité dépassent les exploits et deviennent la principale cause des ransomwares

Les équipes de sécurité ont passé près de dix ans à entendre que l’accélération du déploiement des correctifs était la meilleure façon de stopper les ransomwares. De nouvelles données de 2026 montrent que ce conseil ne correspond plus à la réalité des menaces auxquelles les organisations font face. Aujourd’hui, c’est la compromission d’identités, et non l’exploitation de failles logicielles, qui constitue la principale porte d’entrée des attaquants. Or, un contrôle sur lequel la plupart des organisations comptent déjà pour s’en prémunir s’avère bien moins efficace que ne le laissent entendre les rapports de déploiement.

Dans cet article, nous allons expliquer ce qui a changé, pourquoi un contrôle présent dans 97 % des cas de ransomware liés à des identifiants compromis n’a pas suffi à les arrêter, et ce que cela implique pour la manière dont les équipes sécurité et conformité doivent prioriser leurs investissements au cours des douze prochains mois.

Résumé des points clés

1. Les attaques sur l’identité provoquent désormais plus de ransomwares que les exploits logiciels. L’enquête « State of Ransomware 2026 » de Sophos révèle que l’e-mail malveillant (26 %) et le phishing (24 %) dépassent désormais l’exploitation de vulnérabilités (18 %, contre 32 % trois ans plus tôt) comme principale cause des ransomwares.

2. L’authentification multifactorielle était présente, mais a échoué. Dans 97 % des cas de ransomware où la compromission d’identifiants était à l’origine de l’incident, l’authentification multifactorielle était déjà déployée quelque part dans l’environnement, prouvant que la présence de MFA et une couverture MFA totale ne sont pas synonymes.

3. Une campagne d’attaque en temps réel montre comment cette faille est exploitée. Entre le 12 et le 26 juin 2026, des attaquants ont utilisé le flux OAuth « Resource Owner Password Credentials » obsolète pour lancer plus de 81 millions de tentatives de connexion et compromettre 78 comptes dans 64 organisations, contournant la MFA car ce protocole ne prévoyait pas d’étape d’authentification multifactorielle.

4. L’abus d’identifiants intervient tout au long de la chaîne d’attaque, pas seulement à l’entrée. Le rapport 2026 de Verizon sur les violations de données indique que l’abus d’identifiants touche 39 % des chaînes de compromission, même lors d’une année où l’exploitation de vulnérabilités redevient la première méthode d’accès initial.

5. Les calendriers de conformité évoluent, mais le risque sous-jacent demeure. Le Département de la Guerre a suspendu le 13 juillet 2026 les exigences de certification tierce partie de la phase 2 du CMMC 2.0 pour 60 jours, tandis que l’auto-évaluation de la phase 1 et les obligations de protection DFARS 252.204-7012 restent pleinement en vigueur.

La cause principale des ransomwares passe des exploits aux attaques sur l’identité et aux failles de la MFA

Les équipes de sécurité ont passé près de dix ans à entendre que le patching rapide était la meilleure défense contre les ransomwares. Ce conseil ne correspond plus au modèle de menace actuel. Le rapport « State of Ransomware 2026 » de Sophos, basé sur une enquête auprès de 2 158 responsables IT et cybersécurité dans 17 pays dont l’organisation a été victime d’un ransomware l’an dernier, révèle que le phishing et l’e-mail malveillant représentent désormais la moitié des causes racines des ransomwares. L’exploitation de vulnérabilités, qui dominait depuis trois ans, tombe à 18 % contre 32 % auparavant.

Ce changement est déjà un fait marquant. Mais ce qui le rend encore plus significatif, c’est la deuxième information issue de la même enquête : l’authentification multifactorielle était déployée, sous une forme ou une autre, dans 97 % des incidents où la compromission d’identifiants a causé la brèche. Le contrôle sur lequel les organisations comptaient précisément pour stopper ce type d’attaque était déjà en place, et il n’a pas suffi.

Dans cet article, nous allons détailler ce que montrent réellement les données Sophos, illustrer par une campagne d’attaque en juin 2026 le mécanisme derrière ce chiffre de 97 %, croiser ces résultats avec les données du rapport 2026 de Verizon sur les violations de données, et évoquer une évolution réglementaire récente qui modifie la donne pour les organisations réglementées sans changer la menace sous-jacente. Les organisations qui s’appuient sur Kiteworks secure data exchange pour gouverner l’accès à leurs contenus sensibles sont impactées différemment de celles qui misent uniquement sur l’authentification, et cet écart devient de plus en plus critique à mesure que la tendance se confirme trimestre après trimestre.

Ce que révèlent réellement les données Sophos 2026

Trois chiffres issus du rapport Sophos méritent d’être soulignés au-delà du simple changement de cause principale.

Premièrement, deux tiers des victimes, soit 67 %, ont déclaré à Sophos que l’attaque par ransomware subie était leur incident d’identité le plus significatif de l’année écoulée. C’est une déclaration forte de la part d’organisations qui, par définition, ont toutes subi un ransomware. Cela signifie que la compromission d’identité n’était pas accessoire à la brèche. Elle en était la cause, le chiffrement n’étant que l’étape finale, non le point d’entrée.

Deuxièmement, la compromission d’identifiants était la cause racine dans 23 % des cas, distincte de la catégorie phishing et e-mail malveillant. En ajoutant les 50 % liés au phishing et à l’e-mail, cela signifie qu’environ trois quarts des attaques par ransomware de cette enquête remontent à une forme de compromission d’identité plutôt qu’à une vulnérabilité technique. Une intrusion par ransomware réussie via le vol d’identifiants constitue une violation de données à déclarer au titre de la HIPAA, du RGPD et de cadres similaires, que le chiffrement soit ou non la charge finale — la compromission d’identité et tout accès aux données lors des mouvements latéraux déclenchent à eux seuls des obligations de notification, indépendamment de l’événement ransomware.

Troisièmement, et c’est crucial pour les budgets sécurité axés sur l’authentification, le chiffre sur la MFA : Sophos constate que, lorsque la compromission d’identifiants était la cause racine, 97 % des organisations victimes avaient déjà déployé l’authentification multifactorielle. Le rapport attribue cela à deux facteurs qui se recoupent : un déploiement incomplet sur tous les systèmes réellement concernés, et des techniques de contournement qui évoluent plus vite que la couverture défensive. Aucune de ces explications n’est rassurante, car elles décrivent toutes deux une faille qu’une simple case « MFA : activée » sur une checklist de conformité ne permet pas de détecter.

Présence de la MFA ≠ Couverture MFA : la campagne OAuth de juin 2026

L’exemple le plus parlant de la façon dont un contrôle déployé à 97 % échoue tout de même à 97 % a été mis en lumière le même mois que la publication du rapport Sophos. Entre le 12 et le 26 juin 2026, selon The Hacker News, des attaquants ont lancé plus de 81 millions de tentatives de connexion contre des comptes Microsoft 365 et Azure, compromettant au final 78 comptes dans 64 organisations.

La technique n’impliquait pas de piéger un utilisateur pour qu’il valide une notification push ou saisisse un code à usage unique sur une fausse page de connexion. Elle exploitait le flux OAuth « Resource Owner Password Credentials » (ROPC), une méthode d’authentification obsolète que Microsoft a dépréciée depuis des années, mais qui reste active dans la plupart des environnements Azure pour des raisons de compatibilité avec d’anciennes applications. Le compte rendu de Secure Bulletin explique que le ROPC envoie directement le nom d’utilisateur et le mot de passe au point de terminaison du fournisseur d’identité, sans aucune interaction utilisateur. Il n’y avait donc aucun défi MFA à relever, car le protocole n’en générait tout simplement pas.

Les organisations touchées par cette campagne n’avaient pas fait l’impasse sur la MFA par choix. Leurs comptes SaaS étaient, dans la plupart des cas, correctement configurés avec MFA et accès conditionnel. Mais leurs concentrateurs VPN, consoles d’administration des firewalls et applications métier anciennes n’avaient pas bénéficié du même traitement, car personne n’avait recensé tous les systèmes où un identifiant restait utilisable sans second facteur. C’est exactement la faille décrite par Sophos : la MFA « n’a peut-être pas été déployée sur tous les systèmes concernés, créant ainsi des brèches exploitables par les attaquants ».

Deux sources de données indépendantes, à six semaines d’intervalle, décrivant le même mode d’échec : ce n’est pas un hasard, c’est un schéma récurrent. Et ce schéma porte un nom : considérer le déploiement de la MFA comme un projet terminé, au lieu d’un inventaire à vérifier en continu. Un véritable exercice de gestion des risques consiste à cartographier chaque point d’authentification et à vérifier, pour chacun, le statut actuel de la MFA — pas seulement les applications SaaS où la vérification est la plus simple. C’est la base pour transformer une politique MFA en un véritable programme MFA.

Le schéma derrière les chiffres : ce que confirme le DBIR 2026 de Verizon

Un sceptique pourrait penser que les conclusions de Sophos ne concernent que les ransomwares, ou que la campagne OAuth ROPC n’est qu’une opération particulièrement aboutie. Le rapport 2026 de Verizon sur les violations de données, qui analyse plus de 22 000 brèches confirmées, invite à ne pas restreindre la lecture à ce seul cas.

Les données Verizon montrent que l’exploitation de vulnérabilités redevient cette année la première méthode d’accès initial, ce qui diffère du constat de Sophos sur les ransomwares. Mais l’abus d’identifiants intervient tout de même dans 39 % des chaînes de compromission, ce qui en fait la technique la plus répandue sur l’ensemble du cycle d’attaque, même lorsqu’elle n’est pas la principale porte d’entrée. La compromission d’identité ne rivalise pas avec d’autres méthodes pour la première place dans une seule catégorie : elle intervient à plusieurs étapes, parfois dès l’accès initial, mais surtout lors des mouvements latéraux et de l’élévation de privilèges, quel que soit le point d’entrée initial.

Cette distinction est essentielle pour la priorisation des investissements sécurité. Une défense axée uniquement sur l’accès initial — patching ou MFA — laisse le reste de la chaîne (là où un identifiant passe d’un système à l’autre, ou où un attaquant doté d’un accès légitime commence à toucher des contenus non prévus pour lui) largement hors contrôle. Les programmes de gestion des risques supply chain qui étendent la gouvernance d’identité aux comptes tiers — notamment les comptes de service utilisés par les fournisseurs pour accéder aux systèmes internes — couvrent la phase de mouvement latéral que les données Verizon identifient comme la plus répandue dans les chaînes de compromission.

Conformité : une pause, pas un abandon — Suspension de la phase 2 du CMMC 2.0

Les organisations réglementées, en particulier celles du secteur de la défense, ont eu droit ce mois-ci à un rappel : les calendriers de conformité peuvent évoluer plus vite que le risque sous-jacent, dans un sens comme dans l’autre. Le 13 juillet 2026, le Département de la Guerre a suspendu la phase 2 du programme CMMC — les évaluations tierces de certification niveau 2 qui devaient apparaître dans les appels d’offres du DoD à partir du 10 novembre 2026 — pour une révision de 60 jours, selon le communiqué officiel du Département de la Guerre et des articles comme Federal News Network.

Ce qui n’a pas changé mérite d’être dit clairement, car il est facile de confondre suspension d’audit et suspension d’obligation. La clause contractuelle DFARS 252.204-7021, qui s’appuie sur le CMMC 2.0, reste en vigueur. Les exigences d’auto-évaluation de la phase 1, effectives depuis novembre 2025, ne sont pas concernées. Et les obligations de protection DFARS 252.204-7012 pour les informations de défense couvertes, ainsi que les familles de contrôles NIST 800-171 sur lesquelles elles s’appuient (Identification et Authentification, Audit et Responsabilité), restent pleinement applicables pendant toute la durée de la révision.

Les contrôles d’identité et d’accès qu’un évaluateur de niveau 2 devait vérifier selon le calendrier suspendu sont les mêmes que ceux que les données Sophos montrent en échec silencieux sur le marché. Un sous-traitant qui profite de la suspension pour ralentir ne fait que résoudre un problème de calendrier, tout en laissant l’exposition réelle inchangée. Une documentation de conformité NIST 800-171 qui cartographie les contrôles d’identité et d’accès actuels avec les exigences pratiques — tenue à jour en continu, et non assemblée juste avant l’audit — constitue à la fois la preuve qu’aurait examinée l’évaluateur C3PAO et la défense False Claims Act qui protège le score SPRS auto-attesté du sous-traitant.

De l’accès à la gouvernance du contenu : combler la faille post-authentification

La réponse tactique à tout cela — déployer davantage de MFA et l’étendre à plus de systèmes — est nécessaire et pertinente. Mais elle ne suffit pas, car les données montrent que la même faille se reproduit même dans des environnements où la couverture MFA semble complète sur le papier. La solution durable consiste à considérer la connexion réussie comme le début d’une seconde question de sécurité, distincte de la première : une fois l’identité authentifiée, à quoi a-t-elle réellement accès, et l’organisation peut-elle prouver a posteriori ce qui a été consulté ?

C’est là qu’interviennent les contrôles d’accès fondés sur la gestion des accès basée sur les rôles (RBAC) et la gestion des accès basée sur les attributs (ABAC). Le Data Policy Engine de Kiteworks évalue chaque demande d’accès à un contenu sensible en fonction du rôle utilisateur, de la classification du contenu et du contexte lors de la requête, au lieu de se reposer sur un unique événement d’authentification pour autoriser tout le reste de la session. Un identifiant compromis qui franchit une faille de couverture MFA doit encore passer un contrôle de politique indépendant avant d’accéder à un contenu gouverné selon ce modèle. L’application de labels de classification aux contenus sensibles avant leur entrée dans un canal gouverné est le prérequis qui rend l’application des politiques ABAC précise : un moteur de politique ne peut restreindre l’accès par niveau de sensibilité que si le contenu a été catégorisé. La minimisation des droits d’accès réduit encore le rayon d’action : ne provisionner les comptes qu’avec l’accès strictement nécessaire à leur rôle — et non le maximum permis par leurs autorisations — limite l’étendue d’une compromission, même si la MFA est contournée.

La traçabilité générée par cette couche de politique permet de transformer un « nous pensons que ce compte a été compromis » en une question à laquelle on peut répondre lors d’une investigation. La journalisation unifiée de Kiteworks sur la messagerie électronique, le partage et le transfert de fichiers, ainsi que les formulaires web, permet à une équipe sécurité de déterminer précisément ce qu’une identité compromise a consulté, quand et depuis où, sur tous les canaux couverts par la plateforme — au lieu de devoir reconstituer l’historique à partir de logs disparates. L’intégration en temps réel de ce flux d’audit dans une plateforme SIEM fournit aux équipes sécurité le moteur de corrélation comportementale nécessaire pour détecter des activités anormales post-authentification — le mouvement latéral identifié par le DBIR de Verizon comme l’élément le plus répandu des chaînes de compromission — avant qu’elles n’aboutissent à une exfiltration. C’est la différence concrète entre une architecture zero trust appliquée uniquement au périmètre réseau et une approche étendue à la couche contenu, là où résident les données réellement convoitées par l’attaquant.

Le rapport prévisionnel 2026 de Kiteworks sur la sécurité et la conformité des données chiffre l’ampleur de cette faiblesse : 33 % des organisations n’ont pas de journaux d’audit exploitables comme preuve, et cette seule faille est corrélée à des scores de maturité en gouvernance IA inférieurs de 20 à 32 points sur tous les autres axes mesurés. La visibilité post-authentification n’est pas un contrôle secondaire, c’est plutôt un indicateur avancé de la qualité de la gouvernance des données d’une organisation.

Construire un programme de sécurité des données résilient à la compromission d’identité

Tout cela ne signifie pas qu’il faut abandonner l’authentification multifactorielle ou la considérer comme un contrôle inefficace. Il s’agit plutôt de traiter le risque lié à l’identité comme un programme à plusieurs couches distinctes, et non comme une simple étape de déploiement.

Commencez par un inventaire exhaustif de tous les systèmes, protocoles et applications accessibles via un identifiant, pas seulement les applications SaaS où la MFA est la plus simple à configurer et à contrôler. Les concentrateurs VPN, consoles d’administration de firewalls, serveurs SFTP et toute application métier ancienne utilisant encore un flux d’authentification obsolète « pour compatibilité » méritent la même attention que celle révélée par la campagne de juin 2026 dans 64 organisations qui pensaient probablement leur couverture MFA complète.

Supprimez les protocoles obsolètes là où c’est possible, et documentez un contrôle compensatoire là où ce ne l’est pas. Le ROPC est obsolète pour une raison documentée, et il est probable que ce ne soit pas le seul flux ancien acceptant encore un mot de passe sans défi interactif.

Intégrez dans la planification de la réponse aux incidents l’hypothèse qu’un identifiant sera compromis malgré la MFA, et mettez en place l’intégration SIEM et la journalisation d’audit nécessaires pour répondre, en quelques heures plutôt qu’en semaines, à la question de ce que cet identifiant a consulté. Un plan de réponse aux incidents couvrant les scénarios d’intrusion par ransomware via identifiants — y compris les étapes de mouvement latéral, d’exfiltration, d’évaluation de la notification HIPAA ou DFARS, et de rotation des identifiants — donne aux équipes sécurité la structure opérationnelle requise pour réagir à la vitesse imposée par la réduction du temps de présence de l’attaquant.

Enfin, considérez la suspension de la phase 2 du CMMC 2.0 comme une opportunité, non comme un simple report d’échéance. Les organisations qui continuent de renforcer les contrôles d’identité, d’accès et d’audit que les évaluations suspendues devaient vérifier, notamment autour de la gestion du CUI, seront en position de force à l’issue de la révision, quel que soit le cadre retenu.

Ce que ce changement implique pour la cyberassurance et le reporting au conseil

Les assureurs ont, lors des derniers renouvellements, systématiquement demandé si la MFA était déployée, considérant une réponse positive comme un facteur de réduction du risque. Les données Sophos remettent directement en cause cette hypothèse : un « oui » à la question MFA n’indique en rien si la couverture est totale. Une organisation qui a répondu honnêtement et subi malgré tout une attaque par ransomware via une faille de couverture se retrouve en moins bonne posture au renouvellement qu’une organisation n’ayant jamais prétendu à une couverture complète.

Les conseils d’administration et comités d’audit posent la même question sous une autre forme, généralement « sommes-nous couverts » plutôt que « où sont les failles ». Un indicateur plus pertinent à ce niveau consiste à remplacer la question binaire MFA par une question ciblée : quel pourcentage des systèmes capables d’accéder à des contenus sensibles impose la MFA aujourd’hui, et quel est le plan et le calendrier pour combler le reste. Cette approche transforme l’évaluation du risque en une mesure continue sur laquelle l’équipe sécurité peut rendre compte trimestre après trimestre, à l’image d’un tableau de bord d’activités gouvernées qui agrège les signaux de risque sur l’ensemble de l’environnement au lieu de présenter un simple statut de contrôle pass/fail.

Ce changement de perspective compte aussi pour les discussions avec les assureurs. Une organisation capable de produire un inventaire précis et à jour des failles de couverture MFA, ainsi qu’une traçabilité gouvernée montrant ce qu’un identifiant a consulté sur la messagerie, le partage et le transfert de fichiers, démontre un niveau de risque bien différent de celle qui ne peut présenter qu’un document de politique exigeant la MFA. La première fournit le type de preuve que les assureurs demandent de plus en plus ; la seconde correspond à la réponse que les données Sophos jugent désormais insuffisante. Une documentation de gouvernance des données qui cartographie, pour chaque classe d’identifiants, les contenus accessibles — organisés par niveau de sensibilité, avec périmètre d’accès actuel et date de dernière revue — constitue le dossier interne qui fonde à la fois l’indicateur conseil et la discussion avec l’assureur sur des faits vérifiables plutôt que sur des affirmations de politique.

Pour en savoir plus sur la manière de combler l’écart entre authentification et accès aux contenus grâce à des échanges de données gouvernés et audités, réservez votre démo sans attendre.

Ressources complémentaires

• Article de blog Zero Trust Architecture : Never Trust, Always Verify
• Vidéo Microsoft GCC High : les inconvénients qui poussent les sous-traitants de la défense vers des avantages plus intelligents
• Article de blog Sécuriser les données classifiées une fois signalées par le DSPM
• Article de blog Instaurer la confiance dans l’IA générative grâce à une approche Zero Trust
• Vidéo Le guide ultime pour le stockage sécurisé des données sensibles à destination des responsables IT