if ( !emtpy($headline_subheadline ) ) : ?>
L’IA et l’indexation en tant que service permettent aux cybercriminels d’étendre la portée des violations en militarisant de manière globale les données volées contre toute entreprise avec laquelle l’organisation victime fait affaire.
endif; ?>
Le rayon d’action médian des violations de données a augmenté d’année en année, au même moment où les cybercriminels ont commencé à utiliser l’IA pour exploiter des ensembles de données volés à la recherche d’informations dommageables qui permettent des fraudes et des cyberattaques ultérieures.
En 2026, la violation médiane a exposé 542 organisations au-delà de la victime initiale de la violation, selon une étude réalisée par la plateforme de renseignement sur les données exposées Lab 1. Cela se compare au rayon d’explosion médian d’une violation affectant 482 organisations l’année dernière.
L’impact des violations s’étend à l’ensemble des chaînes d’approvisionnement
Le rapport Anatomie d’une violation 2026 du Lab 1 propose une analyse au niveau du contenu des ensembles de données volés (couvrant 328 millions de fichiers exposés sur 2 089 ensembles de données violés) mis en ligne à la suite de violations de données telles que des attaques d’extorsion de ransomware.
Selon le Lab 1, des violations plus importantes laissant fuir davantage de fichiers et de données donnent aux criminels beaucoup plus de matériel à exploiter à des fins de fraude, d’extorsion et d’attaques ultérieures.
La taille médiane des violations de données est passée à 29,8 Go de données (en hausse de 122 % par rapport à 13,44 Go en 2025) et à 32 734 fichiers (en hausse de 45 % par rapport à 22 647).
Le laboratoire 1 a déclaré que l’ensemble de données est tiré d' »incidents de ransomware et de violation de données dans le domaine public, reconstruits à partir d’acquisitions médico-légales de systèmes compromis ».
De nombreuses entreprises se situent au centre de chaînes d’approvisionnement hautement interconnectées et détiennent des données pour de vastes réseaux de clients, partenaires, utilisateurs et fournisseurs. Les données volées à ces entreprises, y compris les contrats, la correspondance, etc., peuvent avoir un impact ultérieur sur les entreprises tout au long de leurs chaînes d’approvisionnement, alors que les cybercriminels fouillent les trésors pour compromettre les détails, les informations d’identification et les informations de profil en vue d’un ciblage ultérieur.
Au total, le Lab 1 a révélé que 13 436 organisations uniques ont été exposées lors d’incidents survenus entre 2025 et 2026.
Les experts en sécurité considèrent les chiffres du rayon d’explosion du Lab 1 comme crédibles, voire conservateurs.
« Les chiffres du Lab 1 correspondent à ce que nous observons », déclare Ricardo Amper, fondateur et PDG du fournisseur de vérification d’identité Incode Technologies. « Un ensemble de données volées restait sur un forum jusqu’à ce que quelqu’un ait le temps de le parcourir, mais l’IA a supprimé ce goulot d’étranglement. »
Amper ajoute : « Ainsi, chaque fichier est désormais lu, référencé et transformé en une liste de cibles. Le rayon d’action ne cesse de s’élargir à mesure que la fraude ultérieure touche les fournisseurs, les clients et les partenaires nommés dans les fichiers. »
Analyse au niveau du contenu des ensembles de données volés
Pour son étude, le Lab 1 a déployé des agents IA pour inspecter les ensembles de données violés et analyser tous les fichiers exposés, y compris les documents non structurés tels que les e-mails et les PDF.
Sur les 328 millions de fichiers piratés analysés, environ 145 millions (44 %) contiennent des données financières, notamment des coordonnées bancaires, des identifiants fiscaux et des informations de facturation, susceptibles d’alimenter la fraude.
29 millions de fichiers supplémentaires (9 %) contiennent des données RH, notamment des fiches de paie, des contrats de travail et des documents d’identité, qui peuvent être utilisés pour compromettre de manière plus convaincante la messagerie professionnelle ou des escroqueries d’ingénierie sociale similaires.
Pire encore, des clés cryptographiques privées sont apparues dans environ 15 % des incidents.
L’essor de l’indexation des violations en tant que service
Le Lab 1 Threat Intelligence a également identifié sept groupes d’acteurs menaçants qui effectuent une analyse structurée des données piratées. Les groupes les plus avancés utilisent l’IA pour indexer les ensembles de données violés et vendent ces capacités à d’autres criminels en tant que service, selon le Lab 1.
La première offre d’indexation en tant que service destinée aux cybercriminels, conçue pour trier les données piratées en catégories pouvant être monétisées, a vu le jour en mars 2026.
La plateforme est censée classer les documents volés, cartographier les relations, identifier les fichiers dommageables, estimer l’exposition légale et réglementaire et calculer les demandes de rançon « optimales », entre autres fonctions.
Les informations illicites proposées via ces services fragmentaires comprenaient « des informations sur le rachat d’actions à des fins de manipulation du marché, de la correspondance avec des entités sanctionnées à utiliser dans des négociations sur des ransomwares et des rapports de sécurité qui pourraient soutenir des attaques ultérieures », selon Lab 1.
Le groupe d’acteurs menaçants FulcrumSec a affirmé avoir récupéré 400 000 e-mails avant d’isoler 61 fichiers d’e-mails liés à des engagements avec des entités sanctionnées par les États-Unis pour un effet de levier réglementaire et de réputation ciblé sur la victime.
Le même groupe a affirmé avoir déployé des agents d’IA pour extraire 700 717 fichiers piratés afin de rechercher 11 500 dossiers de patients dans le cadre d’essais cliniques nommés.
« Armiliser » les ensembles de données violés
« Historiquement, le temps nécessaire pour passer au crible les ensembles de données violés et l’expertise nécessaire pour repérer les informations compromettantes ont freiné la militarisation des violations de données », explique Robin Brattel, co-fondateur et PDG de Lab 1. « L’IA et les services d’indexation criminelle suppriment ces barrières.
Brattel ajoute : « Cela signifie qu’une violation n’est plus seulement un problème pour la victime désignée : les données financières, RH et d’identité exposées seront recherchées, connectées et utilisées à des fins de fraude, de cyberattaques et d’extorsion contre de nombreuses autres organisations. »
Le véritable danger survient lorsque les attaquants transforment ces informations en accès et passent d’un système ou d’une organisation à un autre, explique Benny Lakunishok, PDG de Zero Networks.
« L’IA rend les données volées exponentiellement plus précieuses pour les criminels », déclare Lakunishok. « Ce qui prenait autrefois des semaines à analyser peut désormais être analysé en quelques minutes, révélant des informations d’identification, des relations commerciales et de nouvelles cibles »
Contre-mesures
Les RSSI devraient accorder beaucoup plus d’attention à la place des données « douces » dans leur chaîne d’approvisionnement.
En pratique, les RSSI doivent tenir pour acquis que les tiers détiennent des informations sensibles sur leur organisation, de sorte qu’une violation par un tiers puisse toujours effectivement vous exposer et que les criminels puissent exploiter ces informations longtemps après l’incident initial.
« Les RSSI doivent savoir quels fournisseurs détiennent leurs données sensibles et nécessiter une notification rapide lorsque ces fournisseurs sont compromis », conseille Brattel.
