L’exploitation des vulnérabilités dépasse les identifiants volés comme principale cause de violations de données

Le Data Breach Investigations Report (DBIR) 2026 de Verizon met en évidence un changement important dans la manière dont les organisations sont compromises. Pour la première fois depuis près de vingt ans d’existence du rapport, l’exploitation de vulnérabilités logicielles dépasse l’utilisation d’identifiants volés comme principal point d’entrée des cyberattaques, représentant 31 % des violations analysées.

Cette évolution traduit une transformation du paysage de la cybersécurité : les attaquants s’appuient de plus en plus sur les systèmes exposés et les logiciels non corrigés, plutôt que sur le phishing ou le vol de mots de passe.

Cette tendance est renforcée par plusieurs facteurs : l’automatisation grâce à l’IA, des cycles de correctifs trop lents, l’augmentation des dépendances à des fournisseurs tiers et l’efficacité croissante de l’ingénierie sociale via les appareils mobiles.

Les vulnérabilités deviennent la principale porte d’entrée

D’après le DBIR 2026, 31 % des violations de données commencent désormais par l’exploitation d’une vulnérabilité logicielle, un niveau qui dépasse pour la première fois l’abus d’identifiants dans l’histoire du rapport.

Ce chiffre confirme une tendance déjà visible dans l’édition précédente. Le DBIR 2025 montrait que l’exploitation de vulnérabilités représentait 20 % des violations, un niveau déjà en forte progression.

Dans la pratique, les attaquants pénètrent de plus en plus les organisations via des systèmes exposés, par exemple :

• des applications accessibles sur Internet
• des équipements réseau en périphérie (edge) ou des infrastructures VPN
• des services cloud et des API
• des composants logiciels tiers

Plutôt que de tromper les utilisateurs pour obtenir leurs mots de passe, beaucoup d’attaquants analysent massivement Internet à la recherche de systèmes non corrigés et exploitent directement les failles découvertes.

L’IA accélère la découverte et l’exploitation des failles

L’intelligence artificielle joue désormais un rôle central dans l’accélération des cyberattaques.

Selon Verizon, l’IA aide les attaquants à identifier les vulnérabilités et à développer des exploits beaucoup plus rapidement, ce qui réduit considérablement le temps de réaction des équipes de sécurité. Dans certains cas, les délais d’exploitation sont passés de plusieurs mois à seulement quelques heures.

L’IA renforce aussi les capacités des cybercriminels en permettant :

• le scan automatisé de vulnérabilités à grande échelle
• le développement plus rapide de malwares et d’exploits
• des opérations de reconnaissance massives
• la génération automatique de messages de phishing ou d’ingénierie sociale

Grâce à cette automatisation, un attaquant peut analyser des milliers de systèmes simultanément et passer très rapidement de la détection d’une faille à son exploitation.

« Shadow AI » et activité de bots : de nouveaux risques internes

Le rapport souligne également l’émergence de nouveaux risques liés à l’adoption rapide de l’IA dans les entreprises.

L’utilisation d’outils d’IA non approuvés par les équipes de sécurité — souvent appelée « shadow AI » — s’est fortement développée. Verizon indique que 45 % des employés utilisent désormais des outils d’IA en dehors des contrôles de sécurité approuvés, ce qui augmente le risque d’exposition de données sensibles à des plateformes externes.

Parallèlement, l’IA favorise l’essor d’une activité automatisée par des bots, qui permet aux attaquants d’industrialiser plusieurs types d’attaques :

• credential stuffing
• scan automatisé de vulnérabilités
• campagnes d’ingénierie sociale
• fraude et détournement de comptes

Ces attaques automatisées peuvent fonctionner à une échelle et à une vitesse impossibles pour des opérations humaines seules.

Les retards de correctifs aggravent le risque

La montée des attaques basées sur les vulnérabilités est particulièrement problématique parce que de nombreuses organisations corrigent leurs systèmes trop lentement.

Les analyses précédentes du DBIR montraient que seulement environ 54 % des vulnérabilités des équipements exposés étaient entièrement corrigées, avec un délai médian de 32 jours pour appliquer les correctifs.

Les données plus récentes associées au rapport 2026 suggèrent même une aggravation :

• les organisations doivent gérer 50 % de vulnérabilités critiques supplémentaires nécessitant des correctifs
• le délai médian de remédiation est passé de 32 à 43 jours.

Ce décalage crée un avantage pour les attaquants : alors que les failles peuvent être exploitées en quelques heures ou quelques jours, les cycles de patching en entreprise prennent souvent plusieurs semaines.

Les fournisseurs tiers élargissent la surface d’attaque

Un autre enseignement important concerne la montée des violations impliquant des partenaires ou fournisseurs.

Le DBIR 2025 montrait déjà que l’implication de tiers avait doublé, passant de 15 % à 30 % des violations.

Dans certaines analyses du rapport 2026, près de 48 % des violations impliquent désormais un tiers — fournisseurs logiciels, prestataires cloud ou partenaires technologiques.

Autrement dit, une organisation peut être compromise même si ses propres systèmes sont sécurisés, car les attaquants ciblent souvent :

• les éditeurs de logiciels
• les fournisseurs de services cloud
• les prestataires informatiques (MSP)
• les plateformes d’identité et d’authentification

Dans un environnement numérique fortement interconnecté, les cybercriminels exploitent de plus en plus le maillon le plus faible de la chaîne d’approvisionnement numérique.

L’ingénierie sociale sur mobile gagne en efficacité

Les attaques ciblant les utilisateurs évoluent également.

Le rapport indique que les campagnes d’ingénierie sociale centrées sur les appareils mobiles affichent un taux de réussite 40 % supérieur au phishing par e‑mail traditionnel.

Plusieurs facteurs expliquent cette efficacité :

• de nombreux employés valident les notifications MFA sur leur téléphone
• les applications de messagerie et les SMS sont plus difficiles à surveiller pour les outils de sécurité
• les utilisateurs réagissent plus rapidement aux notifications mobiles

Les attaquants combinent désormais ces canaux mobiles avec des messages générés par l’IA, du clonage vocal ou des escroqueries via QR code pour rendre leurs attaques plus crédibles.

Ce que ce changement signifie pour les stratégies de cybersécurité

Le message central du DBIR 2026 est clair : le risque cyber évolue d’un modèle centré sur les identités vers un modèle centré sur l’exposition des systèmes.

Les organisations doivent donc réduire leur surface d’attaque autant qu’elles protègent les identifiants utilisateurs.

Parmi les priorités stratégiques qui se dégagent :

• accélérer la gestion des vulnérabilités et l’application des correctifs
• encadrer strictement l’usage interne des outils d’IA
• renforcer la surveillance et la gestion des risques liés aux fournisseurs
• adapter les défenses contre l’ingénierie sociale aux usages mobiles

À mesure que l’IA accélère à la fois la découverte des failles et l’automatisation des attaques, le principal défi pour les équipes de sécurité devient de réduire l’écart entre la vitesse des attaquants et la capacité de réaction des organisations.