Ce que le rapport Sophos révèle sur les identités compromises

Un nouveau rapport Sophos vient chiffrer avec précision une réalité que les équipes de sécurité pressentaient depuis des années : les gangs de ransomware ne défoncent plus la porte d’entrée, ils entrent avec une clé volée. Selon les conclusions, 79 % des attaques par ransomware trouvent aujourd’hui leur origine dans des identités compromises, ce qui signifie que le point d’accès initial est, dans la plupart des cas, un nom d’utilisateur et un mot de passe valides, plutôt qu’une exploitation de faille logicielle ou une pièce jointe malveillante.

Le rapport met également en lumière un écart criant dans la manière dont les organisations de différentes tailles réagissent une fois l’attaque amorcée. Seules 34 % des petites structures sont parvenues à stopper une attaque avant qu’un chiffrement ou une extorsion n’ait lieu, contre 46 % pour les organisations comptant entre 3 001 et 5 000 employés. Cet écart montre que les ressources, les effectifs et la maturité de la détection restent déterminants, même lorsque le mode d’entrée de l’attaquant semble identique d’une entreprise à l’autre.

Sur le plan géographique, le rapport indique que le Royaume-Uni a enregistré la demande de rançon médiane la plus élevée de toutes les régions étudiées. Sans détailler l’ensemble des chiffres, cette tendance confirme une dynamique plus large : les demandes de rançon sont calibrées en fonction de la capacité de paiement perçue, et non uniquement de la valeur intrinsèque des données.

Pourquoi le MFA seul ne suffit pas à stopper les ransomwares

Voici la conclusion qui devrait remodeler bien des budgets sécurité : une authentification multifacteur (MFA) était déployée, sous une forme ou une autre, dans 97 % des incidents où des identifiants compromis étaient la cause première. Autrement dit, presque toutes les organisations victimes d’une compromission via des identifiants volés avaient déjà activé le MFA quelque part dans leur environnement.

Cela ne signifie pas que le MFA est inutile. Cela signifie que le MFA n’est pas une solution complète lorsqu’il est appliqué de manière incohérente. Des lacunes de couverture – systèmes legacy incompatibles avec l’authentification moderne, comptes de service exclus des politiques MFA, outils d’accès à distance configurés avec une vérification plus faible – offrent aux attaquants exactement la brèche dont ils ont besoin. Un attaquant déterminé n’a pas besoin de vaincre le MFA partout ; il lui suffit de trouver le seul chemin d’authentification où il n’a jamais été imposé.

C’est là toute la tension que révèlent les données Sophos. Les équipes de sécurité ont passé des années à traiter le MFA comme une case à cocher, mais les opérateurs de ransomware se sont adaptés en traquant les comptes, les systèmes et les intégrations qui échappent à cette case. Le résultat est une stratégie de défense qui paraît solide sur le papier, mais qui comporte de véritables failles dans la pratique.

Mesures d’hygiène des identités au-delà du MFA

Si la compromission d’identifiants est le principal point d’entrée, l’hygiène des identités mérite la même attention opérationnelle que la gestion des correctifs ou la détection sur les terminaux. Quelques mesures pratiques ressortent des implications du rapport :

  • Auditer la couverture MFA, et pas seulement son existence. Vérifier que chaque point d’accès à distance, compte administrateur et intégration tierce impose bien le MFA, et pas seulement l’écran de connexion principal.
  • Privilégier l’authentification résistante au phishing dès que possible, car les codes à usage unique classiques peuvent toujours être interceptés ou obtenus par ingénierie sociale.
  • Surveiller la réutilisation d’identifiants et les comptes obsolètes. Les comptes dormants et les connexions partagées sont des angles morts courants que les attaquants exploitent longtemps après le départ ou le changement de poste des employés.
  • Segmenter les accès par rôle et par nécessité. Même un identifiant compromis perd beaucoup de son intérêt pour un attaquant s’il ne permet pas un déplacement latéral étendu sur le réseau.
  • Développer des capacités de détection et de réponse plus rapides, en particulier pour les petites structures. L’écart entre 34 % et 46 % de taux de confinement suggère que c’est sur la vitesse de détection, et pas seulement sur la prévention, que les équipes aux ressources limitées perdent du terrain.

Aucune de ces mesures ne nécessite des outils exotiques. Elles exigent de la discipline, de la visibilité et la volonté de traiter l’identité comme un système vivant devant être audité régulièrement, plutôt que comme une tâche de configuration unique.

Quelle place pour les outils chiffrés et les VPN dans une défense multicouche

Les VPN et les outils d’accès chiffré restent une couche utile dans une stratégie globale de protection des identités, en particulier pour sécuriser les connexions à distance et réduire l’exposition sur des réseaux non fiables. Mais les conclusions de Sophos rappellent qu’aucun outil unique – VPN, MFA ou protection des terminaux – ne peut se substituer à une gouvernance cohérente des identités sur l’ensemble de l’organisation. Les attaquants recherchent la brèche entre les outils, et non les outils eux-mêmes.

C’est aussi l’occasion de réfléchir à la manière dont les contrôles d’accès et la politique internet se recoupent plus largement. Tout comme les gouvernements examinent de plus en plus comment les fournisseurs de VPN gèrent les restrictions d’accès, les organisations sont invitées à examiner comment leurs propres outils d’accès sont configurés et surveillés. Comprendre le fonctionnement des systèmes de restriction en couches, à l’instar de la manière dont les systèmes nationaux de censure d’Internet reposent sur plusieurs niveaux d’application plutôt que sur un unique point de contrôle, offre une analogie utile pour expliquer pourquoi la défense contre les ransomwares exige elle aussi des contrôles multiples et superposés, plutôt que de dépendre d’une seule mesure de protection.

Ce que cela signifie pour vous

Si vous gérez la sécurité informatique, quelle que soit la taille de votre organisation, ce rapport vous invite à réexaminer vos hypothèses. Avoir activé le MFA n’est pas la même chose que de l’avoir imposé partout où cela importe. La défense contre les ransomwares par vol d’identifiants, en 2026, nécessite de traiter l’identité comme une discipline opérationnelle continue, et non comme un projet terminé une fois le déploiement du MFA coché comme achevé.

Pour les petites structures en particulier, l’écart de taux de confinement mérite d’être pris au sérieux. Il suggère qu’investir dans les capacités de détection et de réponse, même de façon modeste, peut modifier sensiblement l’issue d’une attaque ayant déjà obtenu un accès initial.

Points clés à retenir

  • 79 % des attaques par ransomware commencent désormais par des identifiants compromis, selon Sophos.
  • Le MFA était présent dans 97 % des incidents de ransomware liés à des identifiants, ce qui montre que ce sont les lacunes de couverture, et non l’absence de MFA, qui constituent le vrai problème.
  • Les petites organisations n’ont stoppé les attaques que dans 34 % des cas, contre 46 % pour les organisations de 3 001 à 5 000 employés.
  • Le Royaume-Uni a enregistré la demande de rançon médiane la plus élevée du rapport.
  • Une défense efficace contre le vol d’identifiants dans les ransomwares exige d’auditer la couverture MFA, de surveiller les comptes obsolètes ou réutilisés, de segmenter les accès et de renforcer la rapidité de détection, sans dépendre d’un seul outil de sécurité.