L'identité, nouveau champ de bataille pour les responsables cybersécurité : 79 % des ransomwares exploitent vos accès !

Le dernier rapport de Sophos sur l'état des ransomwares confirme un basculement radical de paradigme. Le périmètre de sécurité a changé de nature : l'exploitation de vulnérabilités logicielles n'est plus la première cause des attaques. C'est désormais l'identité qui devient la cible prioritaire des attaques par ransomware. Pour les responsables cybersécurité et les équipes SOC en Belgique, ces chiffres constituent un signal fort pour réorienter leurs stratégies de défense. Analyse d'un basculement de l'exploit à l'usurpation.

 Pendant des années, la course aux correctifs (patch management) a été le cheval de bataille des équipes IT. Si la gestion des vulnérabilités reste critique, notamment sur les pare-feu, où les attaques mènent souvent à des rançons dépassant le million de dollars, elle n'est plus le vecteur d'entrée privilégié.

Les attaquants ont simplifié leur approche. Pourquoi investir dans le développement d'exploits complexes quand il suffit d'un e-mail de phishing bien ficelé ou d'un accès volé pour entrer par la grande porte ? Les e-mails malveillants (26 %) et le phishing (24 %) sont désormais les portes d'entrée principales. L'attaquant ne "défonce" plus la porte, il utilise simplement la clé.

 La sécurisation MFA : nécessaire, mais insuffisante

 C'est sans doute l'information la plus déconcertante pour les professionnels : 97 % des incidents où des identifiants ont été compromis impliquaient une authentification multifacteur (MFA) active.

Ce chiffre ne signifie pas que la MFA est inutile, mais qu'elle est devenue insuffisante face à des techniques de contournement modernes (MFA fatigue, session hijacking, phishing-as-a-service). Pour les entreprises, cela souligne une lacune majeure : la couverture de la MFA est souvent partielle ou mal configurée. Une MFA qui ne protège pas tous les points d'accès (VPN, accès cloud, applications SaaS) est une MFA qui laisse une fenêtre ouverte.

Le coût moyen d'une reprise d'activité, estimé à 1,7 million de dollars, reste un fardeau financier lourd pour les entreprises!

 Le défi spécifique des PME belges

Le rapport Sophos met en lumière une fracture inquiétante en matière de résilience. Alors que les grandes organisations (3.001 à 5.000 employés) parviennent à stopper 46 % des attaques avant le chiffrement, les petites structures (100 à 250 employés) n'y parviennent que dans 34 % des cas.

 Dans le tissu économique belge, largement composé de PME, ce chiffre est un appel à l'action. Les petites structures manquent souvent de ressources pour une surveillance 24/7, ce qui laisse aux attaquants le temps nécessaire pour se déplacer latéralement et déployer leur charge utile.

Ce changement est fondamental, car il rend les stratégies basées sur le simple "patch management" insuffisantes. La sécurité ne repose plus sur la solidité du code, mais sur la vérification constante de qui accède à quoi. L'identité est devenue le nouveau périmètre de sécurité, rendant la surveillance comportementale vitale.

Face à cette "crise de l'identité", les responsables sécurité en Belgique doivent adapter les axes prioritaires de leurs stratégies.

Ce que les RSSI doivent retenir pour leur stratégie 2026-2027

-Adopter l'ITDR (Identity Threat Detection and Response) : La sécurité ne s'arrête plus à la gestion des accès (IAM). Il faut désormais surveiller les comportements. Si un compte utilisateur se connecte à 3h du matin depuis une IP inhabituelle pour accéder à des données sensibles, le système doit réagir automatiquement. L'identité est devenue la nouvelle couche de sécurité fondamentale.

-Dépasser la MFA classique : Il est impératif d'évoluer vers une authentification résistante au phishing (FIDO2, clés de sécurité matérielles) et d'auditer régulièrement les identités, tant humaines que non humaines (comptes de service, API).

-Unifier la télémétrie (XDR/MDR) : Le rapport montre que les organisations qui réussissent sont celles qui connectent leurs pare-feu à des solutions XDR/MDR. La télémétrie du réseau doit nourrir la détection sur les terminaux. La complexité de l'environnement ne doit plus être une excuse pour laisser des angles morts.

-Prioriser la gestion de l'exposition : Ne vous contentez pas de patcher. Priorisez les actifs exposés à Internet et réduisez la surface d'attaque. Les outils d'IA, bien qu'utilisés par les attaquants, sont aussi vos meilleurs alliés pour détecter et corriger les erreurs de configuration plus rapidement.

 Malgré tout, la résilience des entreprises est en marche

Malgré ces chiffres alarmants, une note d'optimisme émerge : les entreprises sont meilleures pour récupérer. Plus de la moitié des victimes reprennent leurs activités en moins d'une semaine. Les investissements dans les infrastructures de sauvegarde (immuables, hors ligne) portent leurs fruits.

Pour autant, le coût moyen de la reprise activité (1,7 million de dollars) reste un fardeau financier lourd pour les entreprises. Pour les professionnels belges, le message est clair : la prévention, la détection et la réponse ne sont plus des silos. Elles doivent fonctionner de concert dans une stratégie unifiée. À l'ère de l'IA, la complexité de votre environnement ne doit plus masquer vos failles ; elle doit être le moteur de votre automatisation défensive.