Les 7 tendances cybersécurité à surveiller en 2026

En bref

• L'exploitation de vulnérabilités a dépassé l'abus d'identifiants comme premier vecteur d'accès initial des violations analysées par le DBIR 2026 (31 %, contre 13 %). Le correctif redevient la priorité n° 1.
• Les attaquants détournent de plus en plus des outils légitimes (prise en main à distance, stockage en ligne), dont l'usage malveillant est difficile à distinguer d'un usage normal.
• L'IA générative aide désormais les attaquants à plusieurs étapes. Ce qu'elle change surtout, ce n'est pas la nature des techniques, mais le niveau, le volume et l'efficacité des attaques.
• Le risque lié aux tiers s'étend : les violations impliquant un tiers ont progressé de 60 %, et en concernent 55 % dans les organisations de moins de 1 000 salariés.

Lire les tendances sans céder au vertige

Chaque année produit sa liste de tendances, et chaque année la même erreur : confondre ce qui est nouveau avec ce qui est important. Une large part des attaques qui aboutissent exploite des faiblesses connues de longue date. Les tendances ci-dessous méritent l'attention non parce qu'elles sont spectaculaires, mais parce qu'elles modifient l'ordre des priorités d'une PME.

Elles s'appuient sur deux publications de référence. La première est le Panorama de la cybermenace 2025 de l'ANSSI, publié en mars 2026. La seconde est la 19^e édition du Data Breach Investigations Report (DBIR) de Verizon, qui analyse plus de 22 000 violations confirmées dans 145 pays.

1. La vulnérabilité non corrigée devient la porte d'entrée principale

C'est le renversement le plus important de l'année.

Le DBIR 2026 établit que l'exploitation de vulnérabilités est devenue le premier vecteur d'accès initial, à 31 % des violations, devant l'abus d'identifiants (13 %) qui occupait jusqu'ici la première place. Dans les organisations de moins de 1 000 salariés (la catégorie « petites et moyennes entreprises » du rapport), ce vecteur pèse 26 %, et reste en tête.

Le constat s'accompagne d'une dégradation mesurable de la capacité à corriger. Les organisations n'ont entièrement corrigé en 2025 que 26 % des vulnérabilités critiques inscrites au catalogue KEV de la CISA américaine (celles dont l'exploitation est avérée), contre 38 % l'année précédente. Le délai médian de correction complète est passé de 32 à 43 jours. Dans le même temps, dans le cas médian, les organisations avaient 50 % de vulnérabilités critiques de plus à corriger.

L'ANSSI décrit le même phénomène côté français. Elle rappelle que l'exploitation de vulnérabilités reste l'un des principaux vecteurs de compromission et que les équipements de bordure (pare-feux, serveurs mandataires, passerelles) sont des cibles récurrentes. Sa formule est sans appel : « un équipement exposé et vulnérable finit toujours par être pris pour cible ».

Ce que ça change pour vous : si vous ne deviez faire qu'une chose cette année, ce serait recenser tout ce qui est joignable depuis Internet, puis vérifier que c'est à jour et encore maintenu par son éditeur. C'est moins gratifiant qu'un projet de sensibilisation, et les chiffres montrent que c'est aujourd'hui la première porte d'entrée.

2. Les attaquants n'apportent plus leurs outils

L'ANSSI observe en 2025 une recrudescence, chez les acteurs cybercriminels, du détournement d'outils et de services légitimes à des fins malveillantes : outils d'accès à distance (RMM), stockage en ligne, y compris dans le cloud, ou services web d'aide au développement.

La logique est économique autant que technique. Ces outils sont disponibles, faciles à utiliser, et leur usage malveillant est difficile à distinguer d'un usage normal. L'Agence relève que plusieurs courtiers en accès initiaux ont abandonné ou largement réduit l'utilisation de codes malveillants au profit d'outils de RMM. Elle note aussi que le mode opératoire Scattered Spider, qui a compromis des entreprises françaises en 2025, « utilise rarement des codes malveillants » et obtient son accès « quasi systématiquement » par la compromission d'accès légitimes.

Ce que ça change pour vous : un antivirus, conçu pour reconnaître des menaces connues, voit mal ce type d'intrusion. Deux réponses concrètes. D'abord, cartographier les outils d'accès à distance réellement utilisés dans l'entreprise (une cartographie qui « peut se révéler déterminante », selon l'ANSSI) : tout le reste devient un signal d'alerte. Ensuite, envisager une solution de détection comportementale de type EDR.

3. L'ingénierie sociale quitte la boîte aux lettres

L'hameçonnage par courriel n'a pas disparu, mais l'efficacité se déplace. Dans les simulations analysées par le DBIR, le taux de clic médian est 40 % plus élevé sur les vecteurs mobiles (appel vocal, SMS) que par courriel. L'élément humain est présent dans 62 % des violations. Le « prétexting », c'est-à-dire la construction d'un scénario de confiance pour pousser la victime à agir, devient un vecteur d'accès initial plus fréquent pour les rançongiciels et l'extorsion.

L'ANSSI observe la même chose en France : arnaques au faux support informatique, hameçonnage vocal, fatigue MFA, échange de carte SIM. Elle cite aussi la technique ClickFix, qui consiste à inciter la victime à exécuter elle-même les commandes qui téléchargent et lancent un programme malveillant.

Ce que ça change pour vous : une sensibilisation qui ne parle que du courriel laisse ouvert le canal le plus efficace. Il faut y ajouter les règles téléphoniques (on rappelle au numéro connu, jamais à celui fourni) et le réflexe MFA : une demande de validation non sollicitée est un incident, pas un désagrément. Voir notre article sur la formation à la détection du phishing.

4. L'IA générative accélère les attaquants

C'est le sujet le plus commenté et le plus mal cadré. Les données permettent d'être précis.

Le DBIR 2026 constate que les attaquants utilisent l'IA générative à différentes étapes de l'attaque : ciblage, accès initial, développement de logiciels malveillants et d'autres outils. L'acteur médian a eu recours à une assistance par IA sur 15 techniques documentées, certains allant jusqu'à 40 ou 50.

Mais la nuance compte : l'essentiel des développements assistés par IA correspond à des techniques déjà connues et documentées, et moins de 2,5 % des observations concernent des techniques rares. L'ANSSI note de son côté que l'IA permet aux attaquants « d'améliorer le niveau, la quantité, la diversité et l'efficacité de leurs attaques ».

Ce que ça change pour vous : pas de révolution défensive à engager. L'IA rend les attaques plus nombreuses et mieux rédigées : la faute d'orthographe comme signal d'alerte a vécu. Les fondamentaux restent les mêmes, mais la fenêtre pour les appliquer se rétrécit.

Le revers : l'IA que vos salariés utilisent

Une tendance moins visible mérite l'attention des dirigeants. Selon le DBIR, 45 % des salariés sont désormais des utilisateurs réguliers d'outils d'IA (autorisés ou non) sur leur poste professionnel, contre 15 % l'année précédente. Et 67 % des utilisateurs y accèdent avec des comptes non professionnels. Ce « shadow AI » est devenu la troisième action non malveillante la plus fréquente détectée par les outils de prévention des fuites de données. Le type de contenu le plus souvent envoyé à des modèles externes est le code source, suivi d'images et d'autres données structurées.

C'est un risque de propriété intellectuelle et de confidentialité qui ne se traite pas par un pare-feu. Il se traite par une politique d'usage claire et par la mise à disposition d'un outil autorisé, faute de quoi l'interdiction sera contournée.

5. Le risque lié aux tiers s'étend

Selon le DBIR, les violations impliquant un tiers (prestataire, éditeur, hébergeur) ont progressé de 60 % en un an et représentent désormais 48 % du total. Dans les organisations de moins de 1 000 salariés, la proportion atteint 55 %.

L'ANSSI décrit précisément le mécanisme : des attaquants qui se latéralisent depuis le système d'information d'un prestataire vers ceux de ses clients, en tirant parti des interconnexions existantes et d'authentifiants volés. Elle rapporte aussi un rançongiciel qui, en frappant un prestataire, a perturbé l'accès de l'ensemble de ses clients à l'application fournie. Côté données personnelles, la CNIL souligne dans son rapport annuel 2025 que les violations « impliquent souvent des prestataires ».

Le cloud concentre ce risque. Pour l'ANSSI, la généralisation de ce mode d'hébergement offre aux attaquants l'occasion d'obtenir les données de multiples entités en compromettant un unique prestataire. Le manque de contrôle du client final sur ces environnements peut en outre freiner l'analyse. Lors d'une compromission d'ampleur détectée en 2025, certaines levées de doute n'ont pu aboutir faute d'avoir obtenu les journaux d'activité.

Ce que ça change pour vous : le questionnaire de sécurité fournisseur cesse d'être une formalité. Trois questions à poser à vos prestataires critiques : quel est leur délai d'application des correctifs, comment et sous quel délai vous préviennent-ils d'un incident, et vous garantissent-ils l'accès aux journaux en cas d'enquête ? Trois questions à vous poser : que peut atteindre chaque prestataire dans votre système d'information, comment coupez-vous cet accès en urgence, et pourriez-vous travailler une semaine sans lui ?

6. Le rançongiciel touche d'abord les petites structures

Le rançongiciel est présent dans 48 % des violations analysées par le DBIR, contre 44 % l'année précédente. En France, l'ANSSI a eu connaissance de 128 compromissions par rançongiciel en 2025, dont 48 % touchent des TPE, PME et ETI, contre 37 % en 2024.

Deux évolutions accompagnent ce mouvement. D'une part, l'extorsion sans chiffrement, où l'exfiltration seule sert de moyen de pression, progresse selon les éditeurs de sécurité, même si l'ANSSI la juge encore limitée dans les incidents qu'elle a traités. D'autre part, les paiements reculent : 69 % des victimes de rançongiciel du DBIR n'ont pas payé, et la rançon médiane payée continue de baisser, à 139 875 dollars contre 150 000 l'année précédente.

Ce que ça change pour vous : la sauvegarde hors ligne reste indispensable, mais elle ne répond qu'à une partie du problème. Le volet confidentialité (chiffrement des données sensibles, restriction des accès, détection des exfiltrations) devient aussi important. Voir notre article sur la préparation à une attaque par rançongiciel et notre définition du ransomware.

7. La réglementation avance, plus lentement que la menace

2026 devait être l'année de NIS2 en France. Elle ne l'est pas encore : la directive n'est toujours pas transposée, le projet de loi attend son examen en séance publique à l'Assemblée nationale, et la Commission européenne a annoncé le 8 juillet 2026 saisir la Cour de justice de l'Union européenne. Nous détaillons ce dossier dans notre article sur le retard français de transposition.

Ce retard ne signifie pas l'immobilité. Depuis le 17 mars 2026, l'ANSSI met à disposition une version de travail du Référentiel Cyber France (ReCyF), qui liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS2. Et l'exigence peut arriver par le contrat : la sécurité de la chaîne d'approvisionnement fait partie des mesures que la directive impose aux futures entités régulées, qui peuvent la répercuter sur leurs fournisseurs.

Ce que ça change pour vous : pour beaucoup de PME, la conformité arrivera par un appel d'offres avant d'arriver par la loi. Voir notre guide NIS2 : votre PME est-elle concernée ?

Ce qui n'a pas changé et qui décide encore de tout

Aucune des tendances ci-dessus ne rend obsolètes les mesures de base. Elles en modifient l'ordre :

1. Corriger ce qui est exposé à Internet, et remplacer ce qui n'est plus maintenu. C'est désormais la première porte d'entrée des attaquants.
2. Sauvegarder hors ligne, et tester la restauration.
3. Généraliser l'authentification multifacteur, avec application ou clé physique plutôt que SMS.
4. Savoir qui accède à quoi, y compris les prestataires, et couper ce qui ne sert plus.
5. Écrire la procédure d'incident et identifier à l'avance qui appeler.

Ces cinq points couvrent l'essentiel des scénarios décrits dans cet article. Ils ne sont pas nouveaux, et c'est précisément ce qui devrait inquiéter.

Questions fréquentes

Faut-il investir dans des outils de sécurité fondés sur l'IA ?

Pas en priorité pour une PME. Ces solutions apportent de la valeur sur la détection comportementale, mais elles supposent une base déjà en place : inventaire, correctifs, MFA, journalisation. Un EDR bien exploité rendra plus de service qu'un outil sophistiqué sur un système d'information non cartographié.

Le Zero Trust est-il applicable à une PME ?

Le Zero Trust est un principe (ne rien considérer comme fiable par défaut, vérifier chaque accès) plus qu'un produit. Sa déclinaison réaliste dans une PME tient en trois mesures : MFA partout, moindre privilège, et suppression des accès permanents non justifiés. Nul besoin d'un programme de transformation pour cela.

Comment savoir si nos prestataires sont un risque ?

Commencez par la liste : qui a un accès à votre système d'information, avec quels droits, depuis quand. Cet inventaire suffit souvent à faire apparaître des accès qui n'auraient plus lieu d'être. Ensuite seulement viennent les questionnaires et les clauses contractuelles.

Pour aller plus loin

Notre diagnostic de maturité cyber situe votre entreprise sur ces différents thèmes et identifie les écarts prioritaires. Si vous ne savez pas par où commencer, voir aussi nos bonnes pratiques de cybersécurité pour les PME. Voir aussi le piratage de compte et la fraude au virement. Pour les chantiers que vous ne traiterez pas en interne, consultez des prestataires certifiés.

Sources

• ANSSI, Panorama de la cybermenace 2025 (CERTFR-2026-CTI-002), mars 2026.
• Verizon, 2026 Data Breach Investigations Report, 19^e édition, et son résumé exécutif (PDF).
• CNIL, Rapport annuel : le bilan et les actions marquantes de la CNIL en 2025, 18 mai 2026.
• ANSSI, La directive NIS 2 (Référentiel Cyber France).
• Commission européenne, Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity, 8 juillet 2026.