Le phishing est désormais à l'origine de la moitié des attaques par rançongiciel

Les attaques par usurpation d'identité dépassent les exploits comme principale cause des rançongiciels

Pendant des années, les gangs de rançongiciels étaient surtout connus pour exploiter des logiciels non corrigés, le type de vulnérabilité qui pousse les équipes informatiques à se précipiter pour appliquer les mises à jour de sécurité. Ce n'est plus la principale manière dont ces attaques commencent. Selon de nouvelles conclusions rapportées par Dark Reading, le phishing et les e-mails malveillants représentent désormais la moitié de toutes les attaques par rançongiciel, dépassant officiellement les vulnérabilités logicielles comme principal point d'entrée.

Encore plus remarquable : l'authentification multifacteur (MFA), longtemps considérée comme l'une des défenses les plus solides contre le vol d'identifiants, était déjà en place dans 97 % des attaques basées sur les identifiants étudiées. Autrement dit, les attaquants ne réussissent pas parce que les organisations auraient négligé l'hygiène de sécurité de base. Ils réussissent parce qu'ils ont trouvé des moyens de la contourner.

Ce changement est important car il modifie l'emplacement du risque réel. Corriger les serveurs et combler les failles logicielles reste important, mais les données suggèrent que les attaquants ont déplacé leur énergie vers la tromperie des personnes plutôt que la cassure du code. Un e-mail convaincant, une fausse page de connexion ou un appel téléphonique bien synchronisé peut désormais faire ce qu'un exploit zero-day faisait auparavant.

Pourquoi la MFA seule n'arrête pas les attaquants

La MFA a été présentée pendant des années comme une protection quasi-infaillible contre le vol d'identifiants. L'idée est simple : même si un mot de passe est volé, un attaquant a encore besoin d'un second facteur, comme un code envoyé sur un téléphone ou une application d'authentification, pour entrer. Cette logique tient bon contre les attaques basiques de devinette de mot de passe. Elle résiste beaucoup moins bien face aux kits de phishing modernes.

Les attaquants se sont adaptés avec des techniques spécifiquement conçues pour déjouer la MFA. Les proxys de phishing en temps réel peuvent intercepter à la fois un mot de passe et un code à usage unique au moment où la victime les saisit, puis relayer ces informations vers le véritable système de connexion avant l'expiration du code. D'autres méthodes ciblent directement les jetons de session, permettant aux attaquants de détourner une session déjà authentifiée sans jamais avoir besoin du second facteur. Le fait que la MFA était présente dans 97 % des attaques de rançongiciel basées sur les identifiants dans cet ensemble de données montre qu'avoir la MFA activée n'est plus suffisant en soi. La manière dont elle est mise en œuvre et sa résistance spécifique au phishing importent tout autant que son existence.

Cela ne signifie pas que la MFA est sans valeur. Elle bloque toujours un grand volume d'attaques automatisées et à faible effort. Mais les organisations et les individus qui s'y fient comme à une solution miracle unique travaillent à partir d'un modèle de menace dépassé.

Comment cela se compare-t-il au tableau plus large des violations de données

Cette tendance spécifique aux rançongiciels coexiste avec un changement lié mais distinct documenté ailleurs dans l'industrie. Comme l'a abordé vpn.social dans son analyse du Rapport d'enquête sur les violations de données 2026 de Verizon, les failles logicielles ont dépassé les mots de passe volés ou faibles comme principal point d'entrée des violations en général. À première vue, cela semble contredire les conclusions sur les rançongiciels, mais les deux ensembles de données mesurent des choses différentes. Le DBIR examine les violations dans toutes les catégories et industries, tandis que cette recherche sur les rançongiciels se concentre spécifiquement sur la manière dont les opérateurs de rançongiciels obtiennent leur premier accès.

Pris ensemble, le tableau qui se dégage est celui d'une spécialisation. Certains attaquants perfectionnent l'exploitation automatisée à grande échelle des vulnérabilités logicielles, tandis que les équipes de rançongiciels en particulier misent davantage sur l'ingénierie sociale ciblant les humains, probablement parce qu'elle offre un chemin plus rapide et plus fiable vers le type d'accès privilégié nécessaire pour déployer un rançongiciel sur un réseau. Les deux tendances peuvent être vraies simultanément, et toutes deux pointent vers la même réalité sous-jacente : les attaquants vont là où le chemin de moindre résistance les mène, et ce chemin change constamment.

Ce que cela signifie pour vous

Si vous utilisez les e-mails, que ce soit pour le travail ou des comptes personnels, cette tendance vous affecte directement. Les rançongiciels ne ciblent pas seulement les grandes entreprises disposant de départements informatiques dédiés ; les petites entreprises, les prestataires de soins de santé, les écoles et les professionnels indépendants sont tous régulièrement ciblés par les mêmes tactiques de phishing. Un seul e-mail convaincant ouvert au mauvais moment peut être le point d'entrée d'une attaque qui chiffre les fichiers de toute une organisation.

Le conseil pratique n'est pas d'abandonner la MFA. Il s'agit de reconnaître que la MFA est une couche dans une défense plus large, pas une ligne d'arrivée. Les méthodes d'authentification résistantes au phishing, l'examen attentif des invites de connexion inattendues et un scepticisme de base face aux e-mails au ton urgent restent tous essentiels, même pour les comptes déjà protégés par la MFA.

Mesures concrètes à prendre

• Considérez les invitations MFA que vous n'avez pas demandées comme un signal d'alarme, pas comme une notification de routine, et n'approuvez jamais une invitation que vous n'avez pas initiée.
• Dans la mesure du possible, utilisez des méthodes d'authentification résistantes au phishing, comme les clés de sécurité matérielles, au lieu de vous contenter des codes SMS ou basés sur une application.
• Méfiez-vous de l'urgence dans les e-mails vous demandant de vous connecter, de réinitialiser un mot de passe ou de vérifier un compte, ce sont des tactiques classiques d'entrée des rançongiciels.
• Continuez à appliquer les correctifs logiciels même si les attaques par usurpation d'identité sont désormais la principale cause des rançongiciels ; les attaques basées sur les exploits n'ont pas disparu, elles ont simplement été dépassées en fréquence.
• Si vous gérez une équipe ou une organisation, investissez dans la formation à la sensibilisation au phishing parallèlement aux défenses techniques, car les données montrent que les personnes, et pas seulement les systèmes, sont désormais la cible principale.

Alors que les tactiques de rançongiciel continuent de s'orienter vers l'usurpation d'identité et l'ingénierie sociale, rester informé sur la manière dont ces attaques se déroulent réellement est l'une des défenses les plus efficaces disponibles. Comprendre où se situe le risque réel aujourd'hui est la première étape pour combler cette brèche avant que les attaquants ne puissent l'exploiter.