Quatre-vingt-quinze pour cent des organisations estiment avoir une visibilité sur leurs expositions à l’IA et à l’identité des machines, mais seulement 36 % les surveillent réellement.
SpyCloud, le leader de la protection contre les menaces d’identité, a publié aujourd’hui son rapport annuel Rapport sur les menaces d’identité SpyCloudune étude basée sur une enquête révélant que les identités non humaines (NHI) – les agents IA, les comptes de service, les clés API et les jetons d’authentification qui se connectent aux systèmes internes – sont devenues la voie la plus courante empruntée par les attaquants dans l’entreprise.
Rapport SpyCloud 2026 sur les menaces d’identité, source : SpyCloud
L’enquête a révélé que les NHI compromis (31 %) sont près de 2 fois plus susceptibles d’être le principal point d’entrée que le phishing et l’ingénierie sociale (17 %), la deuxième réponse classée. Les abus liés à NHI étaient également le type d’événement basé sur l’identité le plus fréquemment signalé (42 %), mais la grande majorité des organisations ne les surveillent pas. Alors que 95 % des organisations estiment disposer d’une visibilité adéquate sur les expositions liées à l’IA et aux NHI, seulement 36 % les surveillent, ce qui fait des identités machines la catégorie de risque d’identité la moins surveillée dans le rapport. Ce qui amplifie encore le problème : 68 % des organisations ont été confrontées à un événement lié à l’identité au cours de la même période, les personnes concernées ayant subi en moyenne huit événements chacune.
Les organisations maintiennent généralement un inventaire clair de leur main-d’œuvre humaine, mais rares sont celles qui étendent cette même visibilité aux comptes de service, aux clés API et aux agents IA qui s’authentifient quotidiennement dans leurs systèmes. Ces identités sont fournies pour plus de commodité et détiennent souvent de réels privilèges, mais dans la plupart des environnements, personne ne les possède : un compte de service n’est pas déconnecté, ne change pas ses propres informations d’identification et n’échoue pas à un défi MFA, donc une fois exposé, il peut rester utilisable pendant des mois.
« Cette asymétrie est ce que les attaquants exploitent », a déclaré Trevor Hilligoss, directeur du renseignement de SpyCloud. « Chacune de ces identités est une invitation permanente qui se renouvelle jusqu’à ce que quelqu’un s’en aperçoive. »
Le rapport de cette année est basé sur une enquête menée auprès de 750 dirigeants et praticiens de la cybersécurité dans des organisations comptant plus de 500 employés en Amérique du Nord (États-Unis et Canada), au Royaume-Uni et sur certains marchés européens – Espagne, Allemagne, Pays-Bas, Autriche et Suisse. Il évalue la manière dont les organisations détectent, corrigent et gèrent les menaces d’identité à travers les identités humaines et non humaines.
Les principales conclusions supplémentaires comprennent :
- L’adoption de l’IA a dépassé la gouvernance. Presque toutes les organisations (91 %) utilisent des outils ou des agents d’IA ayant accès aux systèmes, applications ou données internes, mais seulement 56 % disposent d’une gouvernance formelle et de la propriété des privilèges qui en résultent. 41 % supplémentaires s’appuient sur des processus informels ou une propriété partielle, ce qui laisse un accès fantôme – des connexions privilégiées opérant en dehors de la gouvernance et du contrôle normaux.
- Les angles morts des sessions exposées suivent des taux d’événements plus élevés. Les organisations qui avaient une visibilité sur les cookies de session volés ont connu des événements basés sur l’identité à un taux nettement inférieur (37 %) à celles qui ne le pouvaient pas (50 %).
- Les cookies et jetons de session permettent aux attaquants de contourner les contrôles d’authentification tels que MFA en reprenant une session déjà authentifiée. Cela leur donne un accès fiable aux applications et aux données. Il n’est donc pas surprenant que les recherches de SpyCloud montrent que les données de session ont dépassé les mots de passe en tant que cible principale des attaquants.
- Le phishing et les logiciels malveillants restent le mécanisme de diffusion. Le phishing et l’ingénierie sociale sont cités comme voie d’accès courante aux événements d’identité (37 %), 40 % signalant une visibilité incomplète sur les attaques de phishing réussies, et 53 % peuvent voir les expositions aux logiciels malveillants sur les appareils gérés.
- Les logiciels malveillants et les accès exposés figurent en tête de liste des événements liés à l’identité de la chaîne d’approvisionnement. Les appareils tiers infectés par des logiciels malveillants (23 %) et les clés API exposées ou l’accès aux applications impliquant des fournisseurs et des partenaires (22 %) étaient les principales causes signalées d’événements d’identité de la chaîne d’approvisionnement.
- Les expositions de tiers sont détectées, mais pas fermées. Près de 40 % des organisations ne disposent d’aucun processus cohérent pour confirmer qu’une exposition à l’identité d’un tiers a effectivement été résolue, même si 32 % d’entre elles mentionnent l’amélioration de la chaîne d’approvisionnement et la gestion des risques liés aux fournisseurs parmi leurs investissements prévus pour les 12 à 18 prochains mois.
Les identités non humaines et les expositions de tiers ouvrent de nouvelles voies d’accès à l’entreprise, tandis que les sessions volées permettent aux attaquants de contourner les contrôles conçus pour protéger les utilisateurs authentifiés.
« Chaque contrôle qui fonctionne pousse les attaquants vers ce qu’il ne couvre pas : nous avons renforcé les mots de passe, ils ont donc ciblé les sessions ; nous avons renforcé les comptes des employés, ils ont donc cherché à gérer les comptes et les connexions avec les fournisseurs », a ajouté Hilligoss. « SpyCloud continue de suivre de près le comportement des acteurs malveillants pour comprendre où se déplacent les attaquants, quelles données ils valorisent et comment ces modèles évoluent au fil du temps. »
La surveillance continue et l’automatisation séparent les programmes d’identité les plus résilients
L’exposition des identités crée une charge opérationnelle continue qui s’étend bien au-delà de l’incident initial, et la rapidité avec laquelle les organisations réagissent a un impact direct sur les résultats commerciaux. Celles qui s’appuient sur des mesures correctives manuelles au cas par cas ont signalé des coûts de réponse aux incidents plus élevés que les organisations ayant des niveaux élevés d’automatisation (39 % contre 32 %) et une plus grande perte de confiance des clients ou des partenaires (47 % contre 36 %).
Le rapport présente également le modèle de maturité de protection contre les menaces d’identité de SpyCloud, qui regroupe les répondants en quatre niveaux de maturité : réactif, construction, opérationnel et optimisé, en termes de visibilité, de surveillance, de gouvernance, d’automatisation et de correction de l’exposition des identités. Les résultats montrent que plus un programme d’identité gagne en maturité, plus il s’appuie sur une surveillance continue de l’exposition des identités et des mesures correctives automatisées – et cette combinaison est ce qui fait réellement baisser les taux d’incidents.
À l’échelle de l’entreprise, une partie des employés, des fournisseurs et des comptes machines d’une organisation sera exposée dans un avenir proche, quel que soit le degré de rigueur de ses contrôles. Ce qui change les résultats commerciaux, c’est la durée pendant laquelle cette exposition reste utilisable.
« La plupart des programmes d’identité sont encore mesurés en fonction de la réalité d’une exposition. Ce n’est pas le bon tableau de bord », a déclaré Damon Fleury, directeur produit chez SpyCloud. « Les organisations qui associent la surveillance continue des identités à la correction automatisée des expositions du personnel créent les plus grandes frictions pour les criminels et obtiennent le plus grand avantage dans la prévention des attaques ultérieures. »
Les utilisateurs peuvent accéder au rapport SpyCloud 2026 complet et sans formulaire sur les menaces d’identité et comparer leur organisation par rapport au modèle de maturité de protection contre les menaces d’identité en passant l’évaluation gratuite ici.
À propos de SpyCloud
SpyCloud transforme les données récupérées sur le darknet pour perturber la cybercriminalité. Ses solutions automatisées de protection contre les menaces d’identité utilisent des analyses avancées et l’IA pour accélérer les enquêtes et protéger l’identité des employés, des consommateurs et des fournisseurs contre les menaces les plus importantes : contournement d’authentification, détournement de session, initiés malveillants, piratage de compte, ransomware et fraude. Ses données provenant d’appareils infectés par des logiciels malveillants, de phishings réussis, de listes combinées et de violations de tiers alimentent également de nombreuses offres populaires de surveillance du dark web et de protection contre le vol d’identité. Les clients comprennent 7 des 10 sociétés Fortune, ainsi que des centaines d’entreprises mondiales, de sociétés de taille moyenne et d’agences gouvernementales dans le monde entier. Basée à Austin, Texas, SpyCloud héberge plus de 250 experts en cybersécurité dont la mission est de protéger les entreprises et les consommateurs contre les données d’identité volées que les criminels utilisent désormais pour les cibler.
Pour en savoir plus et obtenir des informations sur les données exposées de votre entreprise, visitez spycloud.com.
Contact
Directeur de comptes
Emilie Brun
DEMANDE au nom de SpyCloud
spycloud@req.co
