How do most ransomware attacks begin today?

Four in five ransomware attacks start with stolen identities, with attackers using valid credentials to log in instead of exploiting server vulnerabilities.

Why are stolen credentials able to bypass traditional security tools?

A login with real credentials looks like normal user activity and doesn’t trigger anomaly-based alerts from firewalls, endpoint detection, or intrusion prevention systems.

What methods do attackers use to obtain working credentials?

They use phishing kits, credential-stuffing tools, and infostealer malware, or they purchase credentials leaked from previous breaches.

What does the shift to credential-based attacks mean for how organizations should defend themselves?

It changes the focus from infrastructure protection to identity protection, because patching servers and using firewalls can’t stop someone logging in with a stolen key.

How quickly can ransomware operators cause damage once they’re inside a network?

They can move very rapidly; one example showed attackers encrypting an entire victim environment in under 24 hours after gaining initial access.

Rançongiciel : les attaquants se connectent désormais – 4 attaques sur 5 commencent par des identifiants volés

Quatre attaques par rançongiciel sur cinq commencent aujourd’hui de la même façon : par l’identité d’une personne, pas par ses serveurs. Ce chiffre, rapporté par The Manila Times, résume une évolution qui s’est construite pendant des années mais qu’on ne peut plus ignorer. Les attaquants ne cherchent plus à trouver un serveur non corrigé ou une faille zero-day. Ils se contentent de se connecter, en utilisant des identifiants hameçonnés, achetés ou ayant fuité, et passent par la porte d’entrée comme n’importe quel utilisateur autorisé.

Ce basculement est important parce qu’il change la définition même de la « sécurité » pour la plupart des organisations et des particuliers. Un pare-feu ne peut pas arrêter une personne qui possède un nom d’utilisateur et un mot de passe valides. Un serveur corrigé ne sert à rien si l’attaquant n’a jamais eu besoin de l’exploiter. Les attaques par rançongiciel basées sur les identifiants ont déplacé le champ de bataille de l’infrastructure réseau vers l’identité humaine, et cela signifie que les défenses les plus importantes ont elles aussi changé.

Pourquoi l’identité, et non l’infrastructure, est le nouveau point d’entrée des rançongiciels

Pendant des années, la stratégie de défense contre les rançongiciels était centrée sur l’infrastructure : corriger les serveurs, segmenter le réseau, surveiller les intrusions. Ces défenses restent importantes, mais elles répondent à un modèle de menace qui est de plus en plus dépassé. Quand quatre attaques sur cinq débutent par une connexion plutôt que par une effraction, le calcul change. Les attaquants ont compris que les identifiants sont moins chers, plus rapides et beaucoup moins susceptibles de déclencher des alarmes qu’un exploit technique.

Les kits d’hameçonnage, les outils de credential stuffing et les logiciels malveillants de type infostealer ont transformé la collecte de données de connexion en une activité à faible effort et à fort rendement. Ajoutez à cela le nombre considérable de mots de passe réutilisés entre comptes personnels et professionnels, et les attaquants disposent d’un flux constant d’identifiants fonctionnels sans jamais toucher un pare-feu. Une fois à l’intérieur, ils ne ressemblent pas à des intrus. Ils ressemblent à des employés, des sous-traitants ou des administrateurs en train de faire leur travail, ce qui rend cette approche si efficace.

Comment les identifiants volés contournent les défenses de sécurité traditionnelles

Les outils de sécurité traditionnels sont conçus pour détecter les anomalies : schémas de trafic inhabituels, tentatives d’accès non autorisées, signatures de maliciels. Une connexion légitime utilisant de vrais identifiants ne déclenche pas la plupart de ces alertes. Les systèmes de détection sur les terminaux, les outils de prévention d’intrusion, et même les pare-feu bien configurés sont conçus pour arrêter des attaquants qui essaient de forcer quelque chose. Ils sont beaucoup moins efficaces face à quelqu’un qui utilise simplement une clé qu’on lui a remise, même si cette clé a été volée.

C’est en partie pour cela que les opérations de rançongiciel sont devenues si rapides une fois l’accès obtenu. Un article sur l’opération de rançongiciel Spirals a montré que les attaquants ont chiffré l’intégralité de l’environnement d’une victime en moins de 24 heures après l’accès initial. Lorsque l’entrée ne nécessite pas d’exploiter une vulnérabilité, plus de temps et de ressources sont directement consacrés à la phase de destruction. Le même schéma se retrouve dans les attaques liées à CVE-2026-0257, une faille de contournement d’authentification dans les pare-feu Palo Alto exploitée par les acteurs du rançongiciel Qilin, où une authentification compromise, et non un piratage par force brute, a fourni aux attaquants le point d’appui dont ils avaient besoin.

L’authentification multifacteur et les gestionnaires de mots de passe comme première ligne de défense

Étant donné que les identifiants volés sont le principal point d’entrée, les défenses les plus efficaces sont celles qui rendent un mot de passe volé moins utile à lui seul. L’authentification multifacteur (MFA) en est l’exemple le plus clair. Même si un mot de passe est compromis par hameçonnage ou une violation de données, la MFA exige une seconde étape de vérification, comme un code provenant d’une application d’authentification ou une clé matérielle, avant que l’accès ne soit accordé. Cela n’élimine pas totalement le risque, mais cela ferme la voie la plus facile pour les attaquants qui ne misent que sur les identifiants de connexion.

Les gestionnaires de mots de passe répondent à un problème connexe : la réutilisation des mots de passe. Lorsque les gens utilisent le même mot de passe pour plusieurs comptes, une seule fuite d’identifiants peut déverrouiller plusieurs systèmes sans lien entre eux. Un gestionnaire de mots de passe permet d’utiliser un mot de passe unique et complexe pour chaque compte, ce qui limite le rayon d’impact lorsqu’un jeu d’identifiants est exposé. Aucun de ces outils n’est difficile à mettre en place, et tous deux ciblent directement la faiblesse exploitée par les attaques de rançongiciel basées sur les identifiants.

Le rôle des VPN dans la protection de l’accès aux comptes administrateur et sensibles

Les VPN ne sont pas une solution miracle contre le vol d’identifiants, mais ils jouent un rôle spécifique et utile, en particulier pour les administrateurs et toute personne accédant à distance à des systèmes sensibles. Un VPN chiffre la connexion entre l’utilisateur et le réseau auquel il accède, ce qui aide à empêcher l’interception des identifiants en transit, notamment sur les réseaux non sécurisés ou publics. Pour les administrateurs distants qui gèrent des infrastructures critiques, l’association d’un VPN avec la MFA ajoute une couche de friction significative pour les attaquants qui ne disposent que d’un mot de passe volé.

Il est important d’être clair sur ce qu’un VPN ne fait pas : il n’empêchera pas quelqu’un d’utiliser des identifiants valides et volés pour se connecter via un point d’accès légitime. C’est pourquoi l’utilisation d’un VPN doit être considérée comme une couche parmi d’autres, agissant de concert avec la MFA, l’hygiène des mots de passe et la surveillance des accès, plutôt que comme une solution autonome.

Ce que cela signifie pour vous

Si vous gérez des comptes sensibles, que ce soit à titre professionnel ou personnel, le message à retenir est simple : votre mot de passe ne suffit plus, et cela fait probablement un moment que ce n’est plus le cas. Les attaques par rançongiciel basées sur les identifiants réussissent parce qu’elles exploitent des habitudes humaines prévisibles – mots de passe réutilisés, connexions non protégées et comptes dépourvus d’une seconde étape de vérification. Combler ces lacunes ne nécessite pas de budgets d’entreprise ni d’expertise technique pointue. Cela exige des habitudes cohérentes appliquées à chaque compte important.

Mesures concrètes à adopter

Activez l’authentification multifacteur sur chaque compte qui la prend en charge, en commençant par la messagerie, les services financiers et tout accès administratif.
Utilisez un gestionnaire de mots de passe pour générer et stocker des mots de passe uniques, éliminant ainsi le risque que des identifiants réutilisés soient exploités sur plusieurs comptes.
Associez l’utilisation d’un VPN à la MFA pour l’accès administratif à distance, en particulier lors de la gestion de systèmes sur des réseaux publics ou non fiables.
Considérez l’hygiène des identifiants comme une pratique continue, et non comme une configuration ponctuelle, car de nouveaux comptes et services sont ajoutés régulièrement.

Les groupes de rançongiciel ont adapté leur stratégie parce qu’elle fonctionne. La bonne nouvelle, c’est que les contre-mesures – MFA, gestionnaires de mots de passe et contrôles d’accès superposés – sont bien connues et à la portée de presque tout le monde. Le passage de l’effraction à la connexion signifie que la responsabilité de la défense a elle aussi changé : elle repose désormais autant sur l’hygiène identitaire individuelle que sur les équipes de sécurité réseau.