En février 2026, Palo Alto Networks publie le bilan de ses équipes de réponse à incident pour l'année 2025. Plus de 750 cyberattaques majeures traitées dans plus de 50 pays. Ce que le rapport révèle n'est pas une liste de nouveaux outils offensifs. C'est la confirmation que les attaquants gagnent du terrain sur des failles connues, en allant plus vite, avec moins de moyens qu'avant.
Quatre signaux méritent une lecture précise, sans raccourcis.
L'IA a quadruplé la vitesse des attaques les plus rapides
En 2024, le quart des intrusions les plus rapides atteignait l'étape d'exfiltration de données en 285 minutes. En 2025, ce même groupe y arrive en 72 minutes. Pas parce que les attaquants sont devenus plus habiles. Parce qu'ils ont automatisé des étapes qui étaient encore manuelles un an plus tôt.
Le rapport documente par exemple des scripts de déploiement de ransomware présentant des caractéristiques cohérentes avec une génération assistée par IA : commentaires inhabituellement détaillés, variantes standardisées, logique de repli optimisée. Le résultat concret : une exécution quasi mécanique sur des centaines de systèmes simultanément, sans qu'un opérateur humain ait à intervenir à chaque étape.
L'autre face du phénomène est moins technique mais tout aussi préoccupante. Un attaquant sans aucune compétence a utilisé un grand modèle de langage pour structurer sa campagne d'extorsion après avoir volé des données : messages de pression, délais, tactiques de négociation. Il enregistrait ses vidéos de menace depuis son lit, en état d'ivresse, en lisant mot pour mot le script généré. La victime recevait une demande parfaitement construite. L'IA n'a pas rendu cet individu dangereux. Elle a rendu son incompétence invisible.
Ce que cela signifie concrètement : le délai entre la publication d'une vulnérabilité et son exploitation active est désormais de 15 minutes selon les données Unit 42. Pour la plupart des organisations, le temps que l'alerte remonte, qu'une décision soit prise et qu'un patch soit appliqué sur les actifs exposés, il se passe des heures. Cette fenêtre n'existe plus.
Les identités : pas la porte d'entrée, mais l'autoroute intérieure
Le rapport établit que des failles liées aux identités sont présentes dans près de 90% des incidents. Ce chiffre circule beaucoup, souvent mal interprété. Il ne signifie pas que les identités sont le principal vecteur d'accès initial. Les deux premières portes d'entrée restent le phishing et l'exploitation de vulnérabilités logicielles, chacun à 22% des cas.
Les identités sont ce que les attaquants exploitent une fois à l'intérieur, pour progresser sans déclencher d'alerte. La nuance est stratégique : bloquer l'entrée et limiter ce qu'un intrus peut faire une fois entré sont deux chantiers distincts. Confondre les deux, c'est surinvestir sur le périmètre tout en laissant l'intérieur grand ouvert.
L'analyse de 680 000 comptes cloud conduite dans les investigations révèle que 99% des utilisateurs, rôles et services cloud disposaient de droits excessifs, certains inutilisés depuis plus de 60 jours. Prenons un exemple concret : un prestataire IT qui a quitté une entreprise il y a quatre mois mais dont le compte de service conserve des droits d'administration sur l'environnement Azure. Un attaquant qui compromet ce compte via des identifiants revendus sur le dark web n'a pas besoin de forcer quoi que ce soit. Il se connecte, il avance.
La question n'est pas de savoir si ce scénario est possible. C'est de savoir combien de comptes de ce type existent dans votre environnement aujourd'hui, et si quelqu'un en a la liste complète.
Les intégrations SaaS : une surface d'attaque que personne ne cartographie
En 2022, les applications SaaS étaient impliquées dans 6% des incidents traités par Unit 42. En 2025, ce chiffre atteint 23%. La progression traduit une réalité simple : les entreprises ont massivement connecté leurs outils entre eux via des protocoles d'autorisation standardisés, sans maintenir de registre rigoureux de ces connexions.
Le mécanisme d'attaque est bien documenté dans le rapport. Des attaquants ont utilisé des tokens OAuth valides issus d'une intégration entre deux outils commerciaux de type CRM et plateforme d'engagement client pour accéder à l'environnement Salesforce d'une entreprise cible. Le trafic généré était impossible à distinguer d'une synchronisation automatique normale. L'investigation post-incident a révélé que l'entreprise disposait de près de 100 intégrations tierces connectées à Salesforce, dont une grande partie dormante, certaines au nom d'anciens salariés.
Ce cas n'est pas un cas isolé. Il illustre une configuration que l'on retrouve dans la quasi-totalité des organisations qui utilisent un écosystème SaaS depuis plusieurs années. Chaque intégration autorisée hérite de droits d'accès au moment de sa création. Ces droits ne sont pas révoqués automatiquement quand l'intégration cesse d'être utilisée. Avec le temps, chaque outil connecté devient une surface d'exposition potentielle que personne ne surveille.
En 2025, les logiciels malveillants les plus efficaces s'appelaient "Candidate" ou "Contractor"."
Chine, Corée du Nord, Iran concentrent l'essentiel de l'activité étatique documentée. Ce qui change en 2025, c'est la profondeur de la pénétration et la durabilité de l'accès recherché.
Les groupes alignés sur la Chine ont évolué vers des compromissions des couches de virtualisation et d'infrastructure. Le malware BRICKSTORM, attribué à des acteurs chinois par la CISA, dissimulait ses communications au sein de sessions web chiffrées ordinaires, rendant sa détection par monitoring réseau standard quasiment impossible. L'objectif n'est plus de voler un lot de données, c'est de s'installer durablement.
La Corée du Nord opère différemment. La campagne Wagemole a permis à des agents nord-coréens d'obtenir des postes de salariés ou prestataires à distance dans des entreprises américaines et européennes. Accès interne légitime, revenus versés au régime, espionnage possible en parallèle. En 2025, Unit 42 a identifié et éliminé des activités liées à cette campagne dans plus de 20 environnements. L'Iran a de son côté créé de faux portails de recrutement imitant des entreprises aérospatiales, livrant des malwares via de faux dossiers de candidature signés avec des certificats valides.
Ces techniques visent en priorité les grandes organisations. Mais les PME ou ETI qui travaillent en sous-traitance ou en partenariat avec des secteurs sensibles, défense, énergie, infrastructures critiques, constituent des cibles de rebond documentées. La chaîne d'approvisionnement reste le chemin le moins surveillé vers les cibles les plus protégées.
Ce que ce rapport change dans l'ordre des priorités
Plus de 90% des intrusions documentées par Unit 42 ont été facilitées non par des exploits sophistiqués, mais par des configurations défaillantes et des contrôles appliqués de manière incohérente. Les attaquants n'innovent pas, ils s'engouffrent dans ce qui reste ouvert.
Les trois chantiers que ce rapport remet en tête de liste : réduire le délai de patch sur les actifs exposés à internet, auditer les droits d'accès actifs dans les environnements cloud et SaaS, et cartographier les intégrations tierces pour identifier celles qui sont dormantes ou orphelines. Aucun des trois ne nécessite un budget exceptionnel. Chacun nécessite une rigueur opérationnelle que peu d'organisations maintiennent dans la durée.
C'est précisément ce type de surveillance continue que Stroople, labellisé Expert Cyber par Cybermalveillance.gouv.fr, met en place pour les organisations qui ne disposent pas d'une équipe dédiée à ce niveau de vigilance.
À retenir
- 72 minutes : le temps médian d'exfiltration pour le quart des attaques les plus rapides en 2025, contre 285 minutes en 2024.
- 99% des comptes cloud analysés disposaient de droits d'accès excessifs dans les investigations Unit 42.
- Les intégrations SaaS sont impliquées dans 23% des incidents en 2025, contre 6% en 2022. La plupart des organisations n'ont pas de registre à jour de ces connexions.
Source : Palo Alto Networks Unit 42, Global Incident Response Report 2026, février 2026, basé sur 750+ incidents traités entre octobre 2024 et septembre 2025.
