VOTRE ENTREPRISE N'A PLUS LE DROIT À L'ERREUR

Cybersécurité, une priorité de conseil d’administration : L’étude souligne que 54 % des dirigeants classent les cybermenaces au-dessus des risques macroéconomiques, des problèmes de chaîne d’approvisionnement ou de régulation. Ce n’est plus un dossier annexe, mais une priorité business. Tous les secteurs — finance, énergie, télécoms — confirment cette tendance, intégrant la cybersécurité dans leurs plans stratégiques à long terme.

Externalisation : un levier de résilience : 43 % des entreprises externalisent déjà leur cybersécurité, et 46 % s’y préparent. Ce mouvement traduit à la fois la difficulté à recruter des experts qualifiés et le besoin d’assurer une continuité de services face à des attaques croissantes. Dans les secteurs critiques, l’externalisation devient un pilier de l’architecture de défense.

Pénurie de talents : une faiblesse structurelle : Les dirigeants déplorent un manque criant de professionnels qualifiés. Cette lacune rend plus difficile la détection des failles techniques, l’analyse proactive des incidents et la mise en œuvre de projets de transformation. Résultat : les équipes sont sous pression, et les budgets sont absorbés par la gestion de crise plutôt que par l’innovation.

La sécurité, critère n°1 des investissements IT : Lorsqu’il s’agit de choisir de nouvelles technologies, la robustesse en matière de sécurité devient un critère de sélection majeur. Le ROI d’un projet de cybersécurité se mesure désormais à la réduction de l’exposition au risque, à la résilience opérationnelle et à la préservation de la réputation face à des incidents potentiels.

Dépendance aux éditeurs : un talon d’Achille : 35 % des dirigeants identifient la pression des fournisseurs IT comme un risque opérationnel. Les mises à jour imposées, la rigidité des roadmaps et les coûts induits détournent des budgets critiques. Une tendance émerge : reprendre la main sur l’infrastructure ERP pour investir dans des initiatives stratégiques mieux alignées sur les besoins métiers.

Salt Typhoon : l’APT chinois persiste et signe : Salt Typhoon, affilié à l'État chinois, a intensifié ses campagnes d’espionnage en ciblant des infrastructures critiques comme la Garde nationale américaine et des géants des télécoms. Ses techniques incluent l’exploitation de routeurs, VPN et appliances réseau peu protégées, ce qui met en évidence le besoin urgent de visibilité interdomaines et de détection proactive dans les environnements IT/OT hybrides.

CISA affaiblie : une faille dans la défense nationale : Les coupes budgétaires imposées à la CISA par l’administration Trump ont mené à la dissolution du CSRB et à la réduction de services critiques aux collectivités locales. En pleine montée des menaces, affaiblir l’un des piliers de la cybersécurité américaine crée un vide dangereux, notamment pour les petites administrations sans moyens internes de protection.

React2Shell : la vulnérabilité cauchemar de l’année : Affectant React Server Components, la faille CVE-2025-55182 a obtenu un score CVSS de 10, provoquant une vague d’exploitation en quelques heures. Son omniprésence dans les applications web et frameworks comme Next.js a révélé l’ampleur inédite de la surface d’attaque sur le cloud. Elle illustre le risque latent lié aux composants open source populaires.

Shai-Hulud : l’attaque virale des chaînes open source : Ce malware auto-réplicatif a contaminé des milliers de paquets logiciels libres, exploitant les mécanismes d’automatisation CI/CD. Sa capacité à se propager de manière autonome en contaminant les bibliothèques utilisées par les développeurs d’entreprise a exposé la fragilité des supply chains logicielles, et provoqué des contre-mesures d’urgence sur des plateformes comme GitHub.

Salesforce : attaque en cascade via l'intégration OAuth : La compromission d’un compte GitHub a permis de voler des jetons OAuth utilisés pour accéder à des centaines d’instances Salesforce. Des entreprises de premier plan ont été touchées, démontrant que les intégrations SaaS sont désormais des cibles critiques. Cette attaque marque un tournant dans l’exploitation des API d’entreprise comme vecteurs principaux d’intrusion.

Le phishing sur-mesure atteint une nouvelle dimension : Grâce à l’IA, les attaques par phishing deviennent ultra-ciblées, contextualisées selon les secteurs, les postes ou les comportements. Les attaquants produisent des centaines de variantes automatisées, testent les réponses, et adaptent les scénarios. Le simple clic devient un levier d’entrée redoutable. Seules des méthodes robustes — comme l’authentification hors canal et les alertes comportementales — permettent de limiter les dégâts.

Deepfakes : la confiance visuelle n’est plus un gage de sécurité : Les voix et visages modélisés par IA sont désormais assez crédibles pour berner les processus internes. Les validations par visioconférence, messagerie vocale ou appel deviennent des cibles d'ingénierie sociale. L’erreur ne vient plus du contenu, mais du contexte. Les entreprises doivent passer d’une logique de “reconnaissance” à une vérification formelle fondée sur des indices multiples et infalsifiables.

Shadow AI : le nouveau danger invisible : À l’image du Shadow IT, les outils IA non validés se généralisent en entreprise : assistants utilisés avec des comptes personnels, partages informels de documents, prompts non maîtrisés… Cela engendre des fuites de données massives involontaires, hors de tout contrôle. Une gouvernance claire, des outils validés, et une politique d’usage précise deviennent indispensables pour protéger les contenus métiers.

L’identité numérique, centre de gravité des attaques : Jetons, identifiants, clés API, comptes de service… les cybercriminels ciblent tout ce qui permet d’agir “au nom de”. L’IA facilite le repérage des accès mal protégés, la création de fausses identités crédibles, et l’orchestration de mouvements latéraux. Pour contrer ces attaques, les entreprises doivent adopter des politiques de gestion des accès strictes, un cloisonnement granulaire et une traçabilité renforcée.

Prompt injection et assistants compromis : l’ennemi est déjà dedans : Les IA connectées aux outils internes deviennent elles-mêmes des vecteurs d’attaque via l’injection de prompts malveillants. Une simple phrase cachée dans un mail peut déclencher des actions non souhaitées. Cette menace impose une architecture où chaque assistant est cloisonné, surveillé, et bridé dans ses interactions, avec des logs exploitables et des seuils de validation humaine.