Rapport 2026 : 79 % des ransomwares commencent par des identifiants volés

La nouvelle porte d'entrée des ransomwares : votre identifiant, pas une faille logicielle

Pendant des années, les conseils en cybersécurité se concentraient sur l'application de correctifs logiciels avant que les attaquants ne puissent exploiter une vulnérabilité connue. Ces conseils restent importants, mais une analyse 2026 des incidents de ransomware montre que ce n'est plus là que la plupart des attaques commencent. Selon les résultats, 79 % des attaques de ransomware proviennent désormais d'identités compromises : des noms d'utilisateur et mots de passe volés collectés via des e-mails de phishing, des appels d'ingénierie sociale et des campagnes de bourrage d'identifiants qui réutilisent des données de connexion divulguées sur plusieurs sites.

En termes pratiques, cela signifie que les gangs de ransomware contournent de plus en plus le travail technique consistant à trouver et exploiter un serveur non corrigé. Au lieu de cela, ils se connectent simplement avec des identifiants que les employés ont remis sans le savoir, que ce soit via une fausse page de connexion convaincante, un appel téléphonique d'une personne se faisant passer pour le support informatique, ou un mot de passe réutilisé à partir d'une ancienne violation de données sans lien. Le résultat est le même : des conséquences dévastatrices, des fichiers chiffrés, des opérations interrompues et une demande de rançon. Mais le point d'entrée s'est déplacé du code vers les personnes.

Pourquoi l'identité est devenue la voie d'attaque privilégiée

Ce changement a du sens du point de vue d'un attaquant. Exploiter une vulnérabilité logicielle nécessite de la recherche, un bon timing et souvent une course contre les correctifs de sécurité. Voler un identifiant, en revanche, peut être fait à grande échelle avec des kits de phishing bon marché ou des outils automatisés qui testent des paires nom d'utilisateur-mot de passe divulguées contre des dizaines de services à la fois. Si ne serait-ce qu'une petite fraction des employés réutilise des mots de passe ou tombe dans le piège d'un message de phishing bien conçu, les attaquants obtiennent une position qui ressemble à un accès légitime. Il n'y a pas de signal d'alarme pour un mot de passe volé utilisé correctement, ce qui explique précisément pourquoi c'est devenu la méthode dominante. Comme le rapporte Sophos : 79 % des ransomwares commencent par des identifiants volés, les chercheurs en sécurité suivent cette tendance de près, et les dernières données de 2026 confirment qu'il ne s'agit pas d'un hasard, mais d'un schéma persistant dans le paysage des ransomwares.

Une fois à l'intérieur, les attaquants utilisant des identifiants volés se déplacent souvent discrètement. Ils peuvent se connecter aux systèmes de messagerie, au stockage cloud et aux réseaux internes en utilisant le même accès qu'un employé utiliserait au quotidien, ce qui rend la détection précoce difficile. C'est une divergence significative par rapport aux attaques basées sur les vulnérabilités, qui laissent généralement des empreintes techniques plus identifiables que les équipes de sécurité peuvent détecter.

L'angle de la vie privée : ce que les identifiants volés exposent réellement

Les implications pour la vie privée vont au-delà de l'arrêt d'activité d'une seule entreprise. Lorsque les groupes de ransomware obtiennent un accès via des identités compromises, ils accèdent souvent à bien plus que les systèmes nécessaires pour déployer le chiffrement. Les comptes de messagerie, les dossiers clients, les fichiers RH et les communications internes se trouvent souvent derrière ce même identifiant. Un identifiant volé n'ouvre pas seulement la porte au ransomware, il peut exposer des données personnelles appartenant à des employés, des clients et des partenaires commerciaux qui n'avaient pas leur mot à dire sur la façon dont ce mot de passe était protégé.

Cela souligne également pourquoi l'hygiène des mots de passe et la protection des identifiants sont des questions de vie privée personnelles, et pas seulement des préoccupations informatiques d'entreprise. Chaque employé qui réutilise un mot de passe entre un compte professionnel et un site de shopping personnel, ou qui saisit ses identifiants dans une page de connexion usurpée, remet potentiellement une clé maîtresse aux attaquants. Les conclusions de Sophos : 79 % des ransomwares commencent par des identifiants volés renforcent le fait qu'il ne s'agit pas d'un cas rare ; c'est désormais la voie majoritaire sur laquelle s'appuient les groupes de ransomware.

Ce que cela signifie pour vous

Si vous êtes un employé dans une organisation, ces données signifient que vos habitudes individuelles pèsent plus lourd que vous ne le pensez. Un seul mot de passe réutilisé ou un clic précipité sur un lien de phishing peut faire la différence entre un incident maîtrisé et une violation à l'échelle de l'entreprise. Si vous gérez l'informatique ou la sécurité d'une entreprise, la conclusion est tout aussi claire : l'application de correctifs reste importante, mais la protection de l'identité mérite désormais une priorité égale, voire supérieure. L'authentification multifacteur, les méthodes de connexion résistantes au phishing et la surveillance des tentatives de bourrage d'identifiants ne sont plus des options supplémentaires, ce sont des défenses centrales.

Pour les utilisateurs quotidiens, cela renforce également une leçon plus large sur la vie privée : les mots de passe que vous choisissez et réutilisez ont des conséquences qui s'étendent bien au-delà de vos propres comptes. Un identifiant divulgué provenant d'un site sans lien peut éventuellement devenir le point d'entrée d'une attaque sur le réseau de votre employeur.

Points d'action concrets

• Utilisez des mots de passe uniques et forts pour chaque compte, en particulier les identifiants liés au travail, et envisagez un gestionnaire de mots de passe pour rendre cela pratique.
• Activez l'authentification multifacteur partout où elle est proposée, en particulier sur la messagerie et les systèmes d'accès à distance.
• Traitez avec méfiance les demandes de connexion inattendues, les e-mails urgents de réinitialisation de mot de passe ou les appels informatiques inconnus, et vérifiez par un canal séparé avant de répondre.
• Si votre organisation propose une formation de sensibilisation au phishing, prenez-la au sérieux ; reconnaître une fausse page de connexion ou un e-mail suspect est désormais l'une des défenses les plus efficaces contre les ransomwares.
• Vérifiez régulièrement si vos identifiants sont apparus dans des violations de données connues et changez immédiatement tout mot de passe réutilisé.

Le virage du ransomware vers les identités compromises ne signifie pas que les vulnérabilités n'ont plus d'importance, mais cela signifie que l'élément humain est devenu le champ de bataille principal. Rester vigilant face aux tentatives de phishing et pratiquer une bonne hygiène des identifiants est désormais l'un des moyens les plus pratiques pour les individus et les organisations de réduire leur risque.