Rapport sur le paysage des menaces 2025 d’ExtraHop : Points clés

Le paysage des menaces auquel font face les organisations a atteint un point d’inflexion critique. Ce qui n’était autrefois que des incidents de sécurité isolés s’est transformé en risques systémiques capables de paralyser des secteurs entiers. Le rapport Global Threat Landscape 2025 d’ExtraHop révèle une réalité préoccupante : les organisations subissent moins d’attaques par ransomware, mais celles qui surviennent sont nettement plus dommageables et coûteuses qu’auparavant.

Cette analyse examine les conclusions du rapport sous l’angle de la sécurité des données et de la conformité, en identifiant les défis spécifiques auxquels les RSSI, responsables conformité et gestionnaires des risques doivent faire face. Nous allons voir comment l’élargissement de la surface d’attaque, les délais de détection prolongés et les lacunes dans la réponse opérationnelle exposent les organisations à des risques réglementaires — et comment des plateformes unifiées de gouvernance des données peuvent les aider à relever ces défis de front.

Résumé des points clés

1. Les attaques par ransomware sont moins nombreuses mais bien plus dommageables. Les organisations enregistrent désormais 25 % d’incidents en moins, mais le montant moyen des rançons atteint 3,6 millions de dollars — soit 1 million de plus qu’en 2024. Le secteur de la santé paie le plus cher, avec 7,5 millions de dollars, tandis que 70 % des organisations touchées finissent par payer une rançon.
2. Des délais de détection prolongés exposent à des risques réglementaires. Les acteurs du ransomware maintiennent un accès en moyenne deux semaines avant d’être détectés, puis deux semaines supplémentaires sont nécessaires pour contenir l’attaque. Cette fenêtre de quatre semaines rend le respect des exigences de notification du RGPD (72 heures) et de l’HIPAA (60 jours) extrêmement difficile.
3. Le cloud public et les intégrations tierces sont les principales surfaces d’attaque. Les environnements cloud représentent la préoccupation majeure en cybersécurité (53,8 %), suivis par les services tiers (43,7 %). Des violations majeures comme Snowflake (165 clients touchés) et Salt Typhoon montrent comment une compromission peut se propager à l’ensemble d’une clientèle.
4. Le phishing reste la porte d’entrée privilégiée des attaquants. L’ingénierie sociale et le phishing représentent 33,7 % des vecteurs d’accès initiaux, suivis par les vulnérabilités logicielles (19,4 %). Des identifiants compromis permettent aux attaquants de se déplacer latéralement, d’escalader les privilèges et d’opérer sans être détectés pendant de longues périodes.
5. Des outils de sécurité fragmentés nuisent à l’efficacité du SOC. Une visibilité limitée sur l’environnement (40,98 %), un manque d’effectifs (38,53 %) et des outils disparates mal intégrés (34,04 %) freinent la réponse aux menaces. Une supervision unifiée de tous les canaux d’échange de données élimine les angles morts et permet de corréler plus rapidement les incidents.

Élargissement de la surface d’attaque et risques liés aux tiers

Les organisations évoluent dans un écosystème numérique de plus en plus complexe où chaque point de connexion représente une exposition potentielle. Le rapport ExtraHop identifie trois surfaces d’attaque considérées comme les plus risquées par les responsables sécurité.

• Les environnements cloud publics arrivent en tête (53,8 %), avec une inquiétude particulièrement marquée aux États-Unis (61,6 %) et dans le secteur technologique (59,2 %). La violation Snowflake de 2024 a montré comment une compromission de plateforme cloud peut toucher l’ensemble des clients. Au moins 165 clients Snowflake, dont de grandes organisations comme Pure Storage et AT&T, ont subi une exposition de données qui a fini par impacter leurs propres clients.
• Les services et intégrations tiers constituent la deuxième préoccupation (43,7 %). Le secteur des télécommunications considère ce risque au même niveau que l’infrastructure cloud publique. Cette perception s’appuie sur des incidents réels comme les attaques Salt Typhoon, où des acteurs malveillants ont compromis des fournisseurs majeurs tels que Verizon, AT&T, T-Mobile et Lumen Technologies en infiltrant des prestataires et sous-traitants tiers.
• Les applications d’IA générative représentent la troisième préoccupation (41,9 %), devant les systèmes anciens (23,5 %) et les terminaux (30,6 %). La France affiche le niveau d’inquiétude le plus élevé concernant les risques liés à l’IA (59 %), tandis que les Émirats arabes unis sont les moins préoccupés (36,8 %).

Conséquences réglementaires de l’élargissement de la surface d’attaque

Chaque connexion externe introduit des risques potentiels en matière de souveraineté des données et de traçabilité. Lorsque les organisations s’appuient sur de multiples plateformes SaaS, passerelles e-mail et services de partage de fichiers non maîtrisés, elles créent des environnements de contrôle fragmentés qui rendent la conformité très difficile à prouver.

Prenons les exigences du NIST CSF 2.0, d’ISO 27001 ou de l’article 28 du RGPD concernant la responsabilité des sous-traitants. Ces cadres attendent des organisations qu’elles disposent d’une visibilité totale sur la circulation des données dans leur infrastructure et via leurs relations avec les tiers. Des systèmes fragmentés rendent quasiment impossible la production des preuves exigées par les auditeurs.

Le Réseau de données privé Kiteworks répond à ce défi en regroupant tous les canaux d’échange de données sous un point de contrôle unique. Les organisations bénéficient d’une visibilité cohérente et d’une application uniforme des règles sur les flux de transfert de fichiers, d’e-mails et de formulaires web — des fonctions essentielles pour prouver la conformité et limiter l’exposition liée à la supply chain.

En regroupant les canaux d’échange de données sous un point de contrôle unique, les organisations bénéficient d’une visibilité et d’une cohérence des règles sur les flux de transfert de fichiers, d’e-mails et de formulaires — des éléments essentiels pour prouver la conformité et limiter l’exposition liée à la supply chain.

La CISA a publié des recommandations pour aider les organisations à limiter les risques liés aux tiers. Parmi celles-ci : surveiller tous les dispositifs acceptant des connexions externes, suivre les connexions des utilisateurs et comptes de service pour détecter les anomalies, tenir à jour l’inventaire des équipements et firmwares, établir des comportements de référence avec des règles d’alerte, et vérifier la mise en œuvre de TLS 1.3 sur tous les protocoles compatibles.

Économie du ransomware : moins d’attaques, enjeux accrus

Le paysage du ransomware a profondément évolué. Les organisations subissent moins d’incidents, mais ceux-ci sont nettement plus intenses, reflétant une stratégie des cybercriminels qui privilégient désormais des opérations ciblées et rentables plutôt que des campagnes opportunistes de masse.

Selon le rapport Global Threat Landscape, les sondés ont signalé en moyenne 5 à 6 incidents de ransomware au cours des 12 derniers mois, soit une baisse d’environ 25 % par rapport aux près de 8 incidents enregistrés en 2024. Mais cette baisse globale masque une tendance préoccupante : la part des organisations subissant 20 incidents ou plus par an a triplé, passant de 0 % à 3 % en un an.

Cette concentration des attaques touche particulièrement les secteurs d’infrastructures critiques. Dans la santé, 20 % des organisations ont subi 20 incidents ou plus, tandis que ce taux atteint 10 % pour les entités gouvernementales.

Impact financier

Pour les organisations ayant payé une rançon, les coûts ont fortement augmenté. Le paiement moyen atteint 3,6 millions de dollars — soit un million de plus que la moyenne 2024 (2,5 millions). Ce montant varie toutefois fortement selon la zone géographique et le secteur.

• Les Émirats arabes unis enregistrent le fardeau le plus élevé au monde, avec une moyenne de 7 incidents de ransomware et des paiements 26 % supérieurs à la moyenne mondiale, soit 5,4 millions de dollars.
• L’Australie, à l’inverse, affiche le plus faible nombre d’incidents (4 par an) et le paiement moyen le plus bas (2,5 millions de dollars).

L’analyse sectorielle montre que la santé paie les rançons les plus élevées (7,5 millions de dollars), suivie de près par le secteur public (un peu moins de 7,5 millions) et les services financiers (3,8 millions).

Ces chiffres restent modestes face à certains paiements records de l’année : une entreprise du Fortune 50 a versé 75 millions de dollars, CDK Global 50 millions, et Change Healthcare 22 millions.

Malgré la hausse des coûts, 70 % des organisations touchées finissent par payer la rançon. À noter toutefois : la part des organisations qui ne paient jamais a triplé, passant de 9 % à 30 % en un an.

Temps de présence et défis de détection

Les organisations estiment que les acteurs du ransomware sont restés en moyenne deux semaines dans leurs systèmes avant d’être détectés. Les secteurs public et éducatif signalent des durées nettement plus longues : environ 7 semaines pour le gouvernement et 5 semaines pour l’éducation.

Le rapport montre que près d’un tiers des sondés (30,6 %) n’ont pris conscience d’être ciblés par un ransomware qu’au moment ou après le début de l’exfiltration des données. Seuls 17,59 % ont détecté la menace lors de la phase de reconnaissance, et 29,27 % lors de l’accès initial. La détection lors des mouvements latéraux et de l’escalade des privilèges concerne 22 % des cas.

Conformité et exposition réglementaire

Des temps de présence prolongés posent de sérieux problèmes de conformité en matière de notification. Une fois l’attaque détectée, il faut en moyenne deux semaines supplémentaires pour répondre aux alertes de sécurité et contenir l’incident, de la détection à la résolution. Aux États-Unis, ce délai atteint 2,8 semaines en moyenne, tandis que des secteurs critiques comme le gouvernement et les transports dépassent les 3 semaines.

Cette fenêtre de quatre semaines entre compromission et containment pose de réels défis réglementaires. Le RGPD impose une notification de violation dans les 72 heures suivant la prise de connaissance de l’incident. L’HIPAA impose une notification dans les 60 jours pour les violations touchant 500 personnes ou plus. Le CMMC exige également des notifications d’incident pour rester conforme.

Sans traçabilité forensique complète, les organisations peinent à retracer la circulation des données et à identifier les personnes concernées — des exigences fondamentales pour répondre aux obligations réglementaires. L’incapacité à établir rapidement quelles données ont été consultées, quand la violation a eu lieu et qui est concerné expose à des sanctions réglementaires, en plus des impacts opérationnels et financiers de l’attaque.

Kiteworks réduit la fenêtre de quatre semaines entre compromission et containment en combinant prévention, détection d’anomalies et forensique immuable, limitant ainsi l’exposition réglementaire et l’impact financier.

Efficacité du SOC et fragmentation des outils

Les centres d’opérations de sécurité (SOC) font face à un enchevêtrement de difficultés qui nuisent à leur efficacité globale. Interrogé sur les obstacles qui freinent le plus la réponse rapide aux menaces, le rapport ExtraHop relève une répartition quasi égale entre plusieurs domaines critiques.

• La visibilité limitée sur l’ensemble de l’environnement arrive en tête (40,98 %), suivie de près par le manque d’effectifs et de compétences (38,53 %).
• Un volume d’alertes écrasant touche 34,15 % des organisations, tandis que des outils disparates et mal intégrés impactent 34,04 %.
• Des workflows SOC inefficaces ou manuels posent problème à 33,70 % des répondants, et un budget ou un soutien exécutif insuffisant touche 29,09 %.
• Les silos organisationnels ferment la marche (26,04 %).

Le manque de visibilité est particulièrement marqué dans certains secteurs : 44,96 % dans la technologie, 43,90 % dans les télécoms, 51,02 % dans l’éducation, 42,22 % dans la finance et 52,63 % dans le voyage et les loisirs.

Conséquences sur la gouvernance

Une surveillance fragmentée crée de graves faiblesses en matière de complétude des preuves lors d’un audit. Lorsque la télémétrie de sécurité provient de plateformes déconnectées, les organisations peinent à appliquer des politiques de conservation des données cohérentes et à reconstituer des chronologies d’incident lors d’enquêtes réglementaires.

Des journaux disparates augmentent le risque d’incohérences et de lacunes dans le reporting. Les auditeurs attendent des preuves complètes et corrélées sur tous les canaux de communication et de transfert de données. Si le partage de fichiers passe par un système, l’e-mail par un autre et les formulaires web par un troisième, établir une traçabilité défendable devient exponentiellement plus difficile.

Grâce à l’intégration avec les principaux SIEM et à une télémétrie unifiée, les organisations éliminent les angles morts et maintiennent une traçabilité défendable sur chaque canal de données. La plateforme Kiteworks centralise la journalisation et la supervision, que les équipes sécurité peuvent intégrer à leurs outils SIEM existants, offrant une visibilité totale sans remplacer leurs investissements actuels.

Identité, accès et sécurité des e-mails

Le phishing et l’ingénierie sociale sont les principaux points d’entrée pour les attaquants (33,7 % des incidents), selon l’analyse du paysage des menaces. Les vulnérabilités logicielles constituent le deuxième vecteur (19,4 %), suivies par les compromissions de tiers et de la supply chain (13,4 %).

Les identifiants compromis représentent 12,2 % des accès initiaux et deviennent un point d’entrée privilégié. Une fois obtenus, ces identifiants permettent aux acteurs malveillants d’accéder sans autorisation, de se déplacer latéralement dans les réseaux, d’escalader les privilèges pour atteindre des systèmes sensibles et de lancer d’autres attaques (malware, ransomware), souvent sans être détectés pendant de longues périodes.

Enjeux pour la protection des données

Les violations d’identité précèdent fréquemment l’exfiltration de données et la compromission de la supply chain. Les cadres réglementaires mettent désormais l’accent sur la vérification d’identité et l’application du principe du moindre privilège comme contrôles de sécurité fondamentaux.

Les attaquants exploitent des implémentations faibles de l’authentification multifactorielle, des systèmes SSO mal configurés et des relations de confiance latérales. Le groupe Scattered Spider illustre cette approche, maintenant un rythme opérationnel agressif avec des détections signalées par près d’un quart des répondants. Ce groupe contourne régulièrement la MFA et compromet les helpdesks pour obtenir un accès initial, puis revend cet accès à des groupes de ransomware comme ALPHV/BlackCat et RansomHub.

En isolant les communications sensibles dans une surcouche e-mail privée, les organisations bloquent les principales portes d’entrée du ransomware et du vol de données. Kiteworks propose des contrôles d’identité et d’accès renforcés, intégrant les fournisseurs d’identité d’entreprise, appliquant la MFA et des modèles d’autorisations granulaires pour le moindre privilège sur tous les canaux d’échange de données.

Transfert de fichiers, sécurité de la supply chain et intégrité des échanges de données

Les services de transfert de fichiers tiers restent des cibles de choix. Les attaquants exploitent des systèmes MFT obsolètes ou des API non sécurisées pour exfiltrer des données, exposant les organisations à des risques de conformité majeurs.

L’intégrité de la supply chain est désormais au cœur du CMMC 2.0 niveau 2, de la NIS2 et de DORA. Les régulateurs attendent un chiffrement des données en transit, une segmentation des partenaires et une supervision continue sur tous les points d’échange de données.

La plateforme Kiteworks répond à ces enjeux via plusieurs mécanismes. Toutes les données sont chiffrées en transit et au repos avec des modules cryptographiques validés FIPS 140-2. Les organisations peuvent appliquer des politiques de sécurité spécifiques à chaque partenaire, créant des environnements segmentés qui empêchent les mouvements latéraux entre relations externes. Une supervision continue et des alertes automatisées détectent les transferts de fichiers anormaux pouvant signaler une compromission ou une tentative de vol de données.

Les organisations utilisant le Réseau de données privé Kiteworks bénéficient d’une supervision continue et d’une garantie de résidence des données, répondant aux exigences strictes des cadres de sécurité de la supply chain tout en conservant la flexibilité opérationnelle nécessaire aux relations d’affaires.

Préparation aux violations et responsabilité réglementaire

Le rapport Global Threat Landscape révèle que le délai moyen de containment dépasse deux semaines. Beaucoup d’organisations n’ont pas de journalisation forensique automatisée ou d’historique vérifiable des accès aux données, ce qui pose de sérieux problèmes de défense juridique.

Impact opérationnel

Les répondants signalent en moyenne 37 heures d’indisponibilité par incident de cybersécurité. Plus de la moitié (55 %) subissent au moins 11 heures d’arrêt, et près d’un tiers déclarent des interruptions de deux jours ou plus.

Dans le détail sectoriel, les transports affichent la plus forte indisponibilité moyenne (74 heures), en phase avec des incidents marquants comme l’attaque Rhysida d’août 2024 sur le port de Seattle, qui a paralysé les systèmes de l’aéroport Seattle-Tacoma pendant plus de trois semaines.

Exigences de défense juridique

Des journaux d’audit infalsifiables sont essentiels pour prouver la diligence lors d’enquêtes réglementaires ou de litiges. L’automatisation des preuves facilite le reporting multi-réglementaire (RGPD, HIPAA, PCI DSS, CMMC…).

La traçabilité immuable de Kiteworks transforme les enquêtes post-incident en documentation vérifiable, prête pour les régulateurs. Chaque accès à un fichier, envoi d’e-mail ou soumission de formulaire génère une entrée de journal infalsifiable précisant ce qui s’est passé, quand et qui était impliqué — les éléments de base de la preuve de conformité.

Les organisations peuvent générer automatiquement des rapports de conformité, prouvant le respect des exigences sans collecte manuelle de preuves. Cette capacité est particulièrement précieuse lors d’une réponse à incident, quand les délais de notification réglementaire sont serrés et que les ressources internes sont mobilisées par la gestion de crise.

Formulaires web et points d’entrée externes

La CISA alerte sur le fait que les formulaires et autres interfaces entrantes servent de points d’entrée pour des mouvements latéraux. Une validation de formulaire faible ou une collecte excessive d’informations personnelles identifiables peut entraîner des violations à déclarer au titre des réglementations sur la vie privée.

Les principes de privacy by design imposent une collecte et une conservation minimales. Les organisations doivent mettre en place des contrôles pour ne collecter que les informations nécessaires, conserver les données uniquement le temps requis pour l’objectif déclaré, et prévoir des mécanismes d’effacement sécurisé à l’expiration de la durée de conservation.

La collecte sécurisée de données via des formulaires web complète la protection des e-mails et du transfert de fichiers pour couvrir l’ensemble du périmètre, en traitant tous les canaux principaux par lesquels du contenu sensible entre et sort des frontières de l’organisation.

Plan d’action immédiat pour les RSSI et équipes conformité

Le rapport ExtraHop recommande aux organisations d’agir sans attendre pour traiter les vulnérabilités identifiées. Les responsables sécurité et conformité doivent prioriser trois axes majeurs.

1. Inventaire de la surface d’attaque
   • Établir un inventaire détaillé de tous les services cloud, intégrations tierces et points d’échange de données externes
   • Cartographier les flux de données à travers les frontières organisationnelles pour identifier où les informations sensibles circulent entre systèmes internes et tiers
   • Évaluer la posture de sécurité de chaque point de connexion, y compris les mécanismes d’authentification, la mise en œuvre du chiffrement et les contrôles d’accès
   • Identifier les angles morts dans la visibilité là où des échanges de données échappent à la supervision et à la gouvernance centralisées
2. Supervision et détection unifiées
   • Déployer des solutions offrant une visibilité unifiée sur tous les canaux d’échange de données : transfert de fichiers, e-mails, API, formulaires web
   • Établir des comportements de référence pour détecter les activités anormales révélant une compromission potentielle
   • Mettre en place des alertes automatisées qui préviennent immédiatement les équipes sécurité en cas de schémas suspects
   • Intégrer la télémétrie des échanges de données aux plateformes SIEM existantes pour corréler les mouvements de contenu sensible avec d’autres événements de sécurité
3. Génération automatisée de preuves de conformité
   • Déployer des plateformes générant automatiquement des journaux d’audit infalsifiables pour tous les accès et transmissions de données
   • Mettre en œuvre des politiques de conservation alignées sur les exigences réglementaires tout en répondant aux besoins opérationnels
   • Créer des fonctions de reporting automatisé démontrant la conformité aux contrôles spécifiques des référentiels
   • Établir des processus pour retrouver rapidement les preuves lors d’une réponse à incident, quand les délais de notification sont réduits

Ces actions traduisent les recommandations du rapport en résultats opérationnels mesurables, répondant directement à l’élargissement de la surface d’attaque, aux délais de détection et aux défis de conformité identifiés dans l’étude.

Ce que les responsables sécurité doivent savoir

Le rapport Global Threat Landscape 2025 met en lumière trois vérités fondamentales sur la cybersécurité moderne. Premièrement, la surface d’attaque ne cesse de s’élargir à mesure que les organisations adoptent le cloud, les intégrations tierces et des technologies émergentes comme l’IA générative — chaque point de connexion ajoutant un risque supplémentaire. Deuxièmement, les délais de détection et de réponse restent dangereusement longs, laissant aux attaquants plusieurs semaines pour s’installer et causer des dégâts avant que les menaces ne soient contenues. Troisièmement, ces difficultés opérationnelles créent une exposition réglementaire directe, car les organisations peinent à respecter les délais de notification et à prouver leur diligence.

Le passage d’attaques opportunistes de masse à des campagnes ciblées signifie que chaque organisation peut devenir une cible prioritaire. L’augmentation des rançons, l’allongement des temps de présence et les perturbations opérationnelles montrent que les cybercriminels ont affiné leurs méthodes pour maximiser l’impact et le retour financier.

Pour les RSSI et responsables conformité, ce contexte impose de repenser en profondeur l’architecture de sécurité. Des systèmes fragmentés, autrefois suffisants, créent désormais des angles morts exploités par des adversaires sophistiqués. Les exigences de preuve imposées par les cadres réglementaires modernes ne peuvent être satisfaites par des processus manuels ou des systèmes de journalisation déconnectés.

Les organisations ont besoin d’une visibilité et d’un contrôle unifiés sur tous les canaux d’échange de données. Elles doivent automatiser la génération de preuves pour la supervision proactive et la réponse aux incidents. Il leur faut raccourcir le délai entre détection et containment, qui offre aujourd’hui aux attaquants un mois d’impunité relative.

Le Réseau de données privé Kiteworks apporte une réponse concrète à chaque priorité identifiée dans l’étude ExtraHop. En regroupant transfert de fichiers, e-mails, formulaires sécurisés et API sous une gouvernance unifiée, les organisations réduisent leur surface d’attaque tout en améliorant leur visibilité. La journalisation automatisée et le reporting de conformité répondent aux défis de génération de preuves qui exposent à des risques réglementaires. L’intégration à l’infrastructure de sécurité existante permet la corrélation et l’analyse sans remplacement massif des technologies.

Le paysage des menaces continuera d’évoluer, mais les exigences fondamentales restent les mêmes : savoir ce que vous possédez, voir ce qui se passe et prouver que vous avez agi avec diligence. Les organisations qui mettent en place ces capacités se donnent les moyens de faire face aux menaces actuelles et futures.

Pour une analyse approfondie de la manière dont Kiteworks répond directement aux vecteurs d’attaque identifiés dans le rapport Global Threat Landscape 2025, demandez une démonstration ou contactez l’équipe Kiteworks pour un brief exécutif personnalisé.