CrowdStrike : un réseau compromis en 29 minutes en moyenne

Ce qui s'est passé

CrowdStrike a publié son rapport annuel Global Threat Report 2026, dressant un bilan alarmant de l'accélération des cyberattaques. Le chiffre phare : le temps moyen de « breakout » — c'est-à-dire le délai entre l'accès initial et la compromission d'un second système dans le réseau — est tombé à 29 minutes. Ce chiffre était de 48 minutes en 2024 et de 62 minutes en 2023, selon Dark Reading qui a analysé le rapport.

Plus inquiétant encore, 82 % des détections de menaces en 2025 concernaient des intrusions sans malware. Les attaquants utilisent des outils légitimes déjà présents sur les systèmes (technique dite « living off the land »), des identifiants compromis et des accès autorisés pour se déplacer latéralement sans déclencher d'alerte. Cette approche rend les solutions de sécurité traditionnelles basées sur la détection de fichiers malveillants largement insuffisantes.

Le rapport souligne également une hausse de 37 % des attaques ciblant les environnements cloud. Les attaquants exploitent principalement les identifiants SSO (Single Sign-On) pour obtenir un accès initial, puis pivotent rapidement vers des machines virtuelles et des équipements réseau. Le vishing — hameçonnage par téléphone — a explosé de 442 % entre le premier et le second semestre 2025, devenant un vecteur d'ingénierie sociale majeur.

Pourquoi c'est important

Un breakout time de 29 minutes signifie que les équipes de sécurité disposent de moins d'une demi-heure pour détecter, investiguer et contenir une menace avant qu'elle ne se propage. Pour la majorité des organisations, ce délai est tout simplement insuffisant avec des processus manuels. Cela renforce l'argument en faveur de l'automatisation de la détection et de la réponse aux incidents, via des solutions XDR et SOAR.

La prédominance des attaques sans malware remet en question les stratégies de défense classiques. Les entreprises doivent investir dans la détection comportementale, la surveillance des identités et la micro-segmentation réseau. Le modèle Zero Trust n'est plus une option théorique mais une nécessité opérationnelle face à des adversaires qui se fondent dans le trafic légitime.

Ce qu'il faut retenir

• Le breakout time moyen est passé à 29 minutes : la fenêtre de réaction se réduit drastiquement d'année en année.
• Les attaques sans malware (82 % des cas) rendent les antivirus classiques insuffisants — la détection comportementale est indispensable.
• Renforcez la sécurité de vos identités cloud (MFA, surveillance SSO, accès conditionnels) et investissez dans l'automatisation de la réponse aux incidents.

Un accélération continue depuis 2021

La tendance à la baisse du breakout time n'est pas nouvelle, mais son rythme interpelle les analystes. En 2021, CrowdStrike mesurait un temps moyen de propagation d'environ 4 heures 37 minutes. La chute à 29 minutes en 2026 représente une division par près de 10 en cinq ans, avec une accélération particulièrement marquée depuis 2024. Adam Meyers, responsable des opérations de contre-espionnage chez CrowdStrike, explique cette dynamique par la professionnalisation des groupes cybercriminels, qui adoptent désormais des méthodologies proches de celles des équipes de pentest légitimes : reconnaissance rapide de l'environnement Active Directory, identification immédiate des comptes à privilèges, et mouvement latéral automatisé via des scripts PowerShell ou des outils d'administration réseau natifs. Le rapport pointe également le rôle croissant de courtiers d'accès initial (« Initial Access Brokers »), qui revendent des identifiants déjà validés sur des forums clandestins, permettant aux groupes affiliés de sauter directement l'étape de reconnaissance externe et de démarrer l'intrusion avec un accès déjà qualifié.

Sur le plan sectoriel, le rapport CrowdStrike identifie la finance, la santé et les administrations publiques comme les cibles où le breakout time constaté est le plus court, ces environnements combinant une forte valeur des données et une architecture réseau souvent héritée, peu segmentée. À l'inverse, les entreprises ayant déployé une architecture Zero Trust mature affichent des délais de propagation nettement supérieurs à la moyenne, certains cas dépassant plusieurs heures avant qu'un mouvement latéral ne soit possible. Cette corrélation directe entre segmentation réseau et résilience face aux intrusions sans malware confirme les recommandations du NIST Cybersecurity Framework et du référentiel ANSSI sur le cloisonnement des systèmes d'information. Le rapport note aussi que les groupes affiliés à la Chine, en particulier ceux ciblant les secteurs télécoms et gouvernementaux, sont responsables des breakout times les plus courts observés en 2025, certains cas descendant sous la barre des 10 minutes lors d'intrusions ciblées à haute valeur stratégique.

Ces chiffres résonnent avec les constats d'autres éditeurs de threat intelligence : Mandiant et le rapport M-Trends 2026 évoquent eux aussi une baisse continue du « dwell time » médian (durée totale entre l'intrusion et sa détection), désormais estimé sous les 10 jours contre plusieurs semaines il y a encore trois ans. Cette convergence des données entre plusieurs éditeurs indépendants renforce la crédibilité du constat : la fenêtre d'intervention pour les équipes de sécurité s'est structurellement réduite, indépendamment du secteur ou de la taille de l'organisation ciblée. Pour les RSSI, ce raccourcissement impose de repenser les objectifs de détection classiques (MTTD, MTTR) à l'aune d'un adversaire capable d'agir en quasi temps réel dès l'obtention d'un accès initial, rendant obsolètes les cycles de revue de sécurité hebdomadaires ou mensuels au profit d'une supervision continue et automatisée.