L’ère de l’adversaire évasif
CrowdStrike vient de publier son Global Threat Report 2026, et le constat est sans appel : 2025 a été l’année de l’adversaire évasif. Les attaquants ne forcent plus les portes — ils passent par les entrées autorisées, à une vitesse qui laisse peu de marge aux défenseurs.
Voici les enseignements majeurs de ce rapport de 58 pages, et ce qu’ils signifient concrètement pour les PME et ETI françaises.
Les chiffres qui frappent
Le rapport regorge de statistiques alarmantes :
- 29 minutes : c’est le temps moyen de « breakout » (passage de l’accès initial au mouvement latéral). Le record ? 27 secondes.
- 82 % des détections sont sans malware — les attaquants utilisent des identifiants valides, des outils légitimes et des flux d’authentification normaux.
- +89 % d’attaques assistées par l’IA en un an.
- +42 % de zero-days exploités avant divulgation publique.
- +37 % d’intrusions cloud-conscious, dont +266 % par des acteurs étatiques.
- 281 adversaires désormais suivis par CrowdStrike, dont 24 nouveaux en 2025.
L’IA au service des attaquants
L’intelligence artificielle n’est plus un gadget pour les cybercriminels — c’est un accélérateur opérationnel à tous les niveaux :
- Ingénierie sociale : les services de renseignement chinois utilisent l’IA pour créer de faux cabinets de conseil ciblant d’anciens fonctionnaires américains. FAMOUS CHOLLIMA (Corée du Nord) génère de faux profils avec des outils de manipulation d’images IA.
- Développement de malware : CrowdStrike a identifié deux ransomwares (FunkLocker et RALord) partageant des failles de chiffrement spécifiques aux templates générés par WormGPT.
- Post-exploitation : PUNK SPIDER utilise des scripts générés par Gemini pour le dump d’identifiants Veeam, et des scripts DeepSeek pour détruire des preuves forensiques.
- Malware IA-natif : FANCY BEAR a déployé LAMEHUG, un malware Python qui utilise l’API Hugging Face et le modèle Qwen2.5-Coder pour exécuter sa reconnaissance via des prompts codés en dur.
Fait notable : des attaquants ont détourné des outils IA locaux (Claude CLI, Gemini) directement sur les machines compromises pour générer des commandes d’exfiltration. Plus de 90 entreprises ont été touchées par du code malveillant injecté dans des packages npm qui exploitait les CLI IA des victimes.
Les ransomwares passent en cross-domain
Les groupes ransomware les plus sophistiqués ne se contentent plus des endpoints :
- SCATTERED SPIDER manipule des contrôleurs de domaine virtualisés pour extraire la base Active Directory (ntds.dit) depuis des VM non managées, échappant totalement à l’EDR.
- PUNK SPIDER — l’adversaire BGH le plus actif de 2025 avec 198 intrusions (+134 %) — chiffre les fichiers à distance via SMB depuis des hôtes non managés. Dans un cas, le ransomware Akira a été exécuté… depuis une webcam non patchée.
- BLOCKADE SPIDER accède via des équipements réseau non patchés, pivote vers Entra ID, modifie les politiques d’accès conditionnel, et déploie Embargo sur l’infrastructure VMware ESXi.
Le point commun : exploiter les angles morts entre domaines de sécurité (identité, cloud, SaaS, hosts non managés).
La Chine, menace n°1 sur les équipements réseau
L’activité des acteurs liés à la Chine a augmenté de 38 % en 2025, avec une préférence marquée pour les équipements périmétriques :
- 40 % des vulnérabilités exploitées par les acteurs chinois ciblaient des équipements edge (VPN, firewalls, passerelles).
- 67 % des failles exploitées permettaient une exécution de code à distance immédiate.
- Armement ultra-rapide : OPERATOR PANDA a exploité CVE-2025-25257 six jours après la publication du PoC. PHANTOM PANDA a exploité CVE-2025-31324 en trois jours. VAULT PANDA et GENESIS PANDA ont armé React2Shell en deux jours.
- WARP PANDA a maintenu un accès persistant pendant 22 mois via des appliances VPN compromises.
Recommandation CrowdStrike : patcher les équipements edge dans les 72 heures suivant la divulgation d’une vulnérabilité critique.
Supply chain : la confiance comme vecteur d’attaque
Les attaques supply chain ont défini 2025 :
- PRESSURE CHOLLIMA (Corée du Nord) a réalisé le plus grand vol de cryptomonnaie de l’histoire : 1,46 milliard de dollars volés à Bybit via la compromission de Safe{Wallet}.
- ShaiHulud, un infostealer auto-propagatif sur npm, a compromis 690 packages et infecté des millions de téléchargements.
- Un serveur MCP malveillant (postmark-mcp) imitait un serveur légitime pour rediriger les emails vers des adresses contrôlées par les attaquants.
- Une mise à jour Notepad++ compromise a livré des payloads de reconnaissance à des organisations ciblées.
Le cloud, nouveau terrain de chasse
Les intrusions cloud-conscious ont explosé en 2025 :
- 35 % des incidents cloud impliquaient l’abus de comptes valides.
- COZY BEAR (Russie) a mené des campagnes de phishing multi-jours sophistiquées, exploitant les flux OAuth 2.0 légitimes de Microsoft pour voler des tokens — les victimes ne voyaient que des pages Microsoft authentiques.
- MURKY PANDA (Chine) a exploité les relations de confiance entre tenants Entra ID pour compromettre des organisations en cascade.
- Les kits de phishing AiTM (adversary-in-the-middle) permettent de contourner le MFA en temps réel.
Ce que cela signifie pour les PME et ETI
Les recommandations de CrowdStrike sont claires et directement applicables :
- Sécuriser l’IA : contrôler l’usage des outils IA en entreprise, surveiller les agents autonomes, évaluer la sécurité des fournisseurs IA.
- Traiter l’identité comme surface d’attaque principale : MFA résistant au phishing, moindre privilège pour les comptes de service, surveillance des tokens OAuth.
- Éliminer les angles morts cross-domain : consolider la télémétrie via XDR/SIEM, automatiser la corrélation.
- Sécuriser la supply chain logicielle : valider les dépendances, scanner les packages, durcir les pipelines CI/CD.
- Patcher les équipements edge en priorité : VPN, firewalls, passerelles — sous 72 heures pour les vulnérabilités critiques.
- Former les équipes : exercices de simulation, sensibilisation au vishing et au phishing avancé.