Le dernier rapport ENISA Threat Landscape 2025 confirme une Europe sous pression croisée entre cybercriminalité opportuniste, espionnage étatique et hacktivisme idéologique.
D’abord, une cybercriminalité de plus en plus industrialisée, où le ransomware et l’exploitation de vulnérabilités deviennent de véritables modèles économiques. Ensuite, un espionnage durable conduit par des acteurs russes et chinois cherchant à infiltrer les réseaux diplomatiques, technologiques et stratégiques européens. S’y ajoute un hacktivisme bruyant et instrumentalisé, à la frontière du militantisme numérique et du cybercrime, dont l’impact médiatique dépasse souvent les effets techniques. Enfin, une manipulation informationnelle sophistiquée (FIMI), dopée à l’intelligence artificielle générative et aux campagnes de désinformation multi-plateformes, fragilise la cohésion démocratique.
Ce cocktail explosif redéfinit en profondeur le paysage des menaces pesant sur les États membres, les institutions européennes et les entreprises critiques, selon l’agence européenne de cybersécurité.
Tendances clés
Le phishing reste le principal vecteur d’entrée (environ 60 %), mais c’est l’exploitation de vulnérabilités qui s’avère la plus destructrice : près de 70 % conduisent à une intrusion et 68 % à l’exécution de code malveillant.
Le secteur public concentre 38,2 % des incidents (sur 4 875 recensés), ciblé à la fois par des campagnes d’hacktivisme et des opérations d’espionnage menées par des groupes liés à des États, qui représentent désormais 7,2 % des attaques.
En volume, les attaques DDoS dominent (près de 77 %), majoritairement revendiquées par des hacktivistes animés par des causes politiques ou géopolitiques. Leur impact opérationnel reste limité (2 % seulement provoquent une interruption de service), mais ces offensives à bas coût saturent les réseaux publics et ciblent massivement les sites gouvernementaux.
À l’inverse, les ransomwares demeurent les plus dévastateurs, avec 82 variantes recensées et une professionnalisation accrue du modèle Ransomware-as-a-Service : des affiliés louent les outils à des opérateurs expérimentés, puis reversent une partie des rançons collectées.
Les surfaces d’attaque les plus exploitées restent le mobile (42,4 %), le web (27,3 %), l’OT (18,2 %) et la supply chain (10,6 %).
Les nouvelles menaces émergent via le Phishing-as-a-Service, les kits adversary-in-the-middle (AitM), les campagnes ClickFix/ClearFake, le QR-phishing et la compromission de sites WordPress.
Les groupes UNC5221 et Salt Typhoon incarnent cette tendance lourde : la compromission d’appareils périphériques (routeurs, VPN, boîtiers connectés) pour établir des accès persistants et discrets.
Enfin, le brouillage entre cybercrime, hacktivisme et espionnage étatique s’intensifie. Des infrastructures européennes sont réutilisées pour masquer l’origine des attaques et propager des opérations de désinformation — un “faketivisme” où propagande numérique et perturbation technique s’entremêlent.
TTP et vulnérabilités : Focus SOC
Côté tactiques, techniques et procédures (TTPs), les schémas restent classiques mais redoutablement efficaces. Les attaquants commencent par la découverte des systèmes et réseaux (MITRE ATT&CK T1057, T1016, T1082), poursuivent avec l’exécution via interpréteurs, scripts ou API natives (T1059, T1106), puis consolident leur persistance (services Windows, clés de registre, comptes). L’exfiltration (T1041) et l’impact (T1485–T1490) complètent la chaîne.
Sur la période, 42 595 vulnérabilités ont été recensées (+27 %), dont 7 % critiques et 64 % exploitables à distance. Les failles les plus fréquentes concernent le XSS, le buffer overflow, le SQL injection, le CSRF, le path traversal, le command injection et le use-after-free.
Au moins 245 vulnérabilités activement exploitées (Known Exploited Vulnerabilities – KEV) ont visé des infrastructures critiques : Exchange, Citrix, Fortinet, Zimbra, vCenter et TeamCity figurent parmi les plus ciblées. Les élévations de privilèges (T1068) et l’exécution côté client (T1203) demeurent des vecteurs majeurs, souvent couplés à du phishing ou à du drive-by compromise, où l’utilisateur déclenche l’infection en croyant valider une vérification humaine.
Priorités opérationnelles (SOC / Blue Team)
Pour les équipes de défense, la feuille de route se clarifie.
Le durcissement systémique des environnements Active Directory, OS et OT est prioritaire : désactivation des fonctions inutiles, segmentation réseau, contrôle des DLL et des bibliothèques pour réduire la surface d’attaque.
La détection comportementale devient centrale : corréler les signaux EDR, SIEM et CTI pour traquer la persistance et la latéralisation, plutôt que de se limiter aux IOC volatils.
La gestion des vulnérabilités doit être unifiée et priorisée, en s’appuyant sur le catalogue KEV pour corriger en premier lieu les failles effectivement exploitées, tout en surveillant les services exposés.
La protection des identités s’impose comme un pilier : PAM, MFA, politiques d’usage rigoureuses et détection des abus de jetons pour casser les chaînes d’escalade.
La résilience doit être testée et opérationnelle : sauvegardes hors ligne, chiffrement, DLP et exercices de restauration réguliers pour garantir la continuité.
Enfin, la surveillance CTI doit intégrer les signaux liés aux zero-day, aux activités hacktivistes et aux campagnes FIMI.
La clé réside dans la coordination : aligner renseignement, conformité et réponse — SOC, GRC et cellule de crise — pour bâtir une défense cohérente, rapide et crédible.
Ce rapport ENISA Threat Landscape 2025 s’appuie sur l’analyse de 4 875 incidents survenus entre le 1er juillet 2024 et le 30 juin 2025. Il inclut en annexe la liste détaillée des attaques observées et des méthodes employées.
Source : ENISA
