Identités compromises : le vrai combustible du ransomware

Quatre ransomwares sur cinq passent aujourd'hui par une identité compromise. Pas par une CVE non patchée, pas par un zero-day exotique : par un nom d'utilisateur et un mot de passe. La réalité est aussi simple et aussi brutale — et pourtant, la grande majorité des organisations continuent d'investir leurs budgets sécurité à contre-emploi.

La stat qui dérange : 80 % des ransomwares commencent par une identité volée

En août 2026, une analyse croisée des incidents ransomware de l'année écoulée établit un chiffre sans appel : dans 4 attaques sur 5, le vecteur d'entrée initial est une identité compromise — un couple identifiant/mot de passe valide, obtenu par phishing, achat sur le dark web, ou credential stuffing. Ce n'est pas une extrapolation : c'est le résultat de l'analyse post-incident de centaines de cas traités par les équipes de réponse à incident des grands acteurs du marché.

Ce chiffre devrait être un électrochoc pour les RSSI et les dirigeants. Il signifie que tous les investissements en détection d'intrusion périmétrique, en segmentation réseau, en EDR dernier cri, et en gestion de patches ne servent à rien si un utilisateur se fait voler son mot de passe. L'attaquant entre par la porte d'entrée, avec une clé valide, et votre SOC le voit comme un utilisateur légitime pendant des heures, des jours, parfois des semaines.

Le cas RingCentral, divulgué fin juillet 2026, en est la parfaite illustration. ShinyHunters n'a pas exploité une CVE critique dans l'infrastructure de la plateforme UCaaS. Ils ont utilisé l'ingénierie sociale pour obtenir des accès légitimes, puis exfiltré 623 Go de données appartenant à 1,6 million d'utilisateurs. Pas de malware, pas d'exploit technique, pas de zero-day. Juste des identifiants valides et la confiance que le système leur accordait.

La tendance s'est considérablement accélérée. En 2022, la proportion d'attaques ransomware débutant par des identifiants compromis tournait autour de 50-60 % selon les estimations de l'industrie. En 2026, on franchit la barre des 80 %. Pourquoi cette progression ? Parce que les attaquants s'adaptent. Face au déploiement massif d'EDR, de SIEM, et de capacités de détection comportementale, l'exploitation de malwares connus est devenue plus risquée. Voler une identité et se comporter comme l'utilisateur légitime est désormais la voie de moindre résistance.

Le mécanisme économique sous-jacent est implacable : le coût d'acquisition d'un accès initial via identité volée est tombé à quelques dizaines d'euros sur les marchés cybercriminels, quand le gain potentiel d'une attaque ransomware réussie se chiffre en millions. Cette asymétrie fait de la compromission d'identité la stratégie dominante pour tous les groupes ransomware, des moins sophistiqués aux plus avancés. Les groupes comme LockBit, BlackCat, Clop et leurs successeurs de 2025-2026 utilisent tous les identités compromises comme point d'entrée primaire dans leurs chaînes d'attaque documentées.

Les trois filières d'approvisionnement en identités volées

Pour comprendre pourquoi les identités sont devenues le vecteur dominant, il faut comprendre l'économie qui s'est développée autour de leur vol et de leur commercialisation. En 2026, le marché des identifiants volés est structuré, efficace, et remarquablement peu cher pour les attaquants.

Filière 1 : le phishing industrialisé. Le phishing reste la méthode de collecte d'identifiants la plus productive en volume. Les kits de phishing modernes, disponibles en mode SaaS sur le dark web pour quelques centaines de dollars par mois, permettent à des acteurs peu techniques de lancer des campagnes capables de collecter des dizaines de milliers d'identifiants en quelques jours. Les kits les plus sophistiqués incluent des capacités d'attaque adversary-in-the-middle (AiTM) qui contournent les mécanismes MFA classiques basés sur des codes OTP. Des frameworks comme EvilProxy ou Tycoon2FA ont démocratisé cette technique, permettant à des groupes sans expertise technique particulière de bypasser des protections qui, jusqu'en 2023, étaient considérées comme suffisamment robustes pour la grande majorité des organisations.

Les campagnes de phishing les plus efficaces de 2025-2026 se distinguent par leur personnalisation. Finies les vagues d'emails génériques avec des fautes d'orthographe : les groupes professionnels utilisent des informations glanées sur LinkedIn, les réseaux sociaux et les sites web d'entreprise pour personnaliser chaque message. Un email de phishing ciblé qui mentionne le nom du directeur de la cible, un client récent et une référence à un projet en cours a un taux de succès statistiquement plusieurs fois supérieur à un email générique.

Filière 2 : les infostealer logs. Les malwares de type infostealer — LummaC2, Vidar, Raccoon et leurs variantes 2025-2026 — exfiltrent silencieusement tous les identifiants stockés sur un poste infecté : navigateurs web, gestionnaires de mots de passe, clients VPN, clients email, applications métier. Ces malwares sont distribués via des publicités malveillantes (malvertising), des logiciels piratés, et de faux installateurs de logiciels légitimes sur des résultats de recherche empoisonnés (SEO poisoning).

Les logs collectés sont agrégés et vendus sur des marketplaces spécialisées. Un log contenant les identifiants d'un employé avec accès VPN se négocie entre 50 et 200 euros. À l'échelle d'une organisation de 500 employés, les probabilités d'au moins un poste infecté par un infostealer dans les 12 derniers mois sont statistiquement très élevées. Les infostealers modernes ne volent pas seulement les identifiants — ils volent aussi les cookies de session actifs dans les navigateurs. Un cookie de session Microsoft 365 ou Okta valide permet à l'attaquant d'accéder directement aux services sans passer par aucune étape d'authentification, MFA incluse — c'est ce que les spécialistes appellent le "pass-the-cookie".

Filière 3 : le credential stuffing industriel. La troisième source est l'exploitation des milliards d'identifiants accumulés dans les violations de données des dix dernières années. Plus de 14 milliards de paires email/mot de passe ont été exposées dans des violations publiquement documentées à ce jour. La réutilisation des mots de passe reste massive malgré toutes les recommandations. Des outils disponibles sur les marchés cybercriminels permettent de tester automatiquement des millions de combinaisons contre des portails d'authentification. Un attaquant ciblant une organisation de 1000 employés avec une liste de 10 millions d'identifiants a statistiquement de bonnes chances d'en trouver plusieurs qui fonctionnent encore, surtout si l'organisation n'a pas déployé de mécanisme de détection des tentatives d'authentification multiples.

La combinaison de ces trois filières crée un écosystème où les identifiants valides d'une organisation sont disponibles à l'achat pour quelques dizaines à quelques centaines d'euros, sans compétence technique particulière. C'est cette asymétrie économique fondamentale — coût d'acquisition minimal, gain potentiel maximal — qui explique la domination de la compromission d'identité comme vecteur d'attaque en 2026.

Comment les groupes ransomware utilisent les identités compromises

Une fois en possession d'identifiants valides, les groupes ransomware suivent un playbook bien rodé. Comprendre ce playbook est essentiel pour construire des défenses efficaces et des capacités de détection adaptées.

Phase 1 — Accès initial et validation. L'attaquant teste les identifiants volés contre les services exposés : VPN, Citrix, Microsoft 365, portails web d'administration, accès RDP. L'objectif est de trouver un point d'entrée fonctionnel. Les accès VPN sont particulièrement prisés car ils offrent souvent un accès direct au réseau interne sans alerter les systèmes de détection périmétrique. Les tentatives d'authentification sont généralement distribuées dans le temps et depuis des IP variées pour éviter les blocages par rate limiting.

Phase 2 — Reconnaissance silencieuse. Connecté avec des identifiants légitimes, l'attaquant passe plusieurs jours à cartographier l'environnement : systèmes accessibles, serveurs de fichiers, solutions de sauvegarde, contrôleurs de domaine Active Directory, administrateurs dont les comptes représentent des cibles pour l'escalade de privilèges. Cette phase peut durer de quelques jours à plusieurs semaines. L'attaquant génère du trafic réseau indiscernable de celui d'un utilisateur légitime — rendant la détection par signatures ou règles statiques largement inefficace.

Phase 3 — Escalade de privilèges. L'objectif est d'obtenir des accès d'administrateur domaine. Les options sont nombreuses : exploitation de vulnérabilités d'escalade de privilèges locales (comme CVE-2026-68820 qu'exploitait Lazarus selon les analyses d'août 2026), attaques de type Kerberoasting ou DCSync dans les environnements Active Directory, ou phishing interne ciblé vers des administrateurs identifiés lors de la reconnaissance. C'est souvent à cette étape que des erreurs permettent la détection — si des règles d'alerte sur les comportements d'escalade sont en place.

Phase 4 — Impact. Armé d'accès admin, l'attaquant déploie la phase finale. Les groupes sophistiqués procèdent d'abord à une exfiltration massive (pour la double extorsion) avant le chiffrement. Les solutions de sauvegarde sont ciblées en priorité pour maximiser la pression et réduire les capacités de récupération. L'ensemble du cycle, de l'accès initial au chiffrement complet, peut prendre de quelques heures à plusieurs semaines selon la stratégie et la taille de l'environnement.

Ce qui est frappant dans ce playbook, c'est la quasi-absence de techniques sophistiquées dans les premières phases. L'utilisation d'identifiants légitimes et d'outils d'administration standard (PowerShell, WMI, outils natifs Windows) permet de se fondre dans le trafic légitime et d'éviter les alertes basées sur des signatures — c'est le "living off the land" : utiliser ce qui est déjà sur la machine plutôt qu'apporter ses propres outils.

La MFA n'est plus suffisante — mais reste indispensable

Face aux 80 % d'attaques commençant par une identité compromise, la question revient systématiquement : "On a la MFA, on est protégés ?" Réponse courte : non, pas entièrement. Mais sans MFA, c'est significativement pire.

La MFA reste un contrôle fondamental qui bloque une large majorité des tentatives de credential stuffing et de phishing générique. Selon Microsoft, la MFA bloque plus de 99,9 % des attaques automatisées. Ce chiffre est réel : déployer la MFA sur tous les comptes reste une priorité absolue. Mais les techniques de contournement se sont démocratisées.

L'attaque AiTM (Adversary-in-the-Middle). Les frameworks de phishing AiTM positionnent un proxy transparent entre l'utilisateur et le service légitime. L'utilisateur entre ses identifiants et son code MFA sur ce qui ressemble au vrai site, mais le proxy capture le cookie de session émis après l'authentification réussie. L'attaquant dispose d'un cookie de session valide qu'il rejoue sans passer par la MFA. Cette technique bypasse complètement la MFA basée sur des codes OTP — authenticator apps, SMS, emails de validation. Des études publiées en 2025 estiment que plusieurs milliers d'organisations ont été compromises via cette technique au cours des 24 derniers mois.

Le MFA fatigue (MFA bombing). L'attaquant dispose des identifiants valides mais pas du deuxième facteur. Il initie des dizaines, parfois des centaines de demandes d'authentification push consécutives, espérant que l'utilisateur épuisé par les notifications finisse par approuver l'une d'elles. Cette technique a fonctionné contre plusieurs grandes entreprises depuis 2022 et continue d'être employée régulièrement en 2026. Elle est particulièrement efficace contre les mécanismes de push notification sans contexte supplémentaire (numéro de correspondance, description de l'action, localisation).

Le vol de cookies de session. Les infostealers volent aussi les cookies de session actifs dans les navigateurs. Un cookie Microsoft 365 ou Okta valide donne accès directement aux services sans aucune authentification. Les durées de vie des sessions sont souvent trop longues dans les configurations par défaut — des sessions de 30 jours ou plus sont courantes, représentant une fenêtre d'exploitation conséquente.

Face à ces techniques, la réponse de l'industrie converge vers l'adoption de méthodes d'authentification résistantes au phishing. Les clés FIDO2/WebAuthn — clés physiques ou passkeys intégrées aux appareils — résistent nativement aux attaques AiTM car elles lient cryptographiquement l'authentification au domaine légitime. Une clé FIDO2 ne peut pas être utilisée sur un site de phishing, même si l'utilisateur ne détecte pas lui-même la supercherie. L'adoption des passkeys s'accélère en 2026, mais le déploiement en entreprise reste freiné par des contraintes d'équipement et d'intégration avec les systèmes legacy.

Ce que font différemment les organisations qui résistent

Dans mes interventions sur le terrain, j'ai observé des organisations qui ont subi des attaques ransomware et d'autres qui ont résisté à des tentatives similaires. La différence ne tient pas à la taille du budget sécurité. Elle tient à quelques choix structurels fondamentaux autour de la gestion des identités.

Inventaire et gouvernance des identités. Les organisations résilientes savent exactement combien de comptes existent dans leur annuaire, qui les utilise, avec quels privilèges. Elles ont un processus de revue régulière des comptes inactifs, des comptes de service et des accès privilégiés. Dans une organisation vulnérable typique : comptes d'anciens employés encore actifs avec accès VPN valides, comptes de service avec mots de passe inchangés depuis cinq ans, administrateurs locaux aux mots de passe identiques sur des centaines de postes. Cet état est presque universel dans les organisations n'ayant pas investi spécifiquement dans la gouvernance des identités.

Le moindre privilège réellement appliqué. "Least privilege" est un principe que presque tout le monde cite et que presque personne n'applique. Dans la réalité, les contraintes opérationnelles conduisent à accorder des droits larges "pour que ça marche". Les organisations résistantes ont fait le travail difficile de cartographier les accès réels nécessaires à chaque rôle et de les réduire strictement. Un employé commercial n'a besoin d'accès qu'aux serveurs de fichiers commerciaux — pas aux serveurs RH, pas aux serveurs de sauvegarde, pas aux contrôleurs de domaine. Cette restriction limite considérablement l'impact d'une compromission d'identité.

La détection comportementale sur les identités. Les outils ITDR (Identity Threat Detection and Response) analysent en continu le comportement des identités : connexions en dehors des horaires habituels, depuis des localisations géographiquement impossibles, vers des ressources inhabituelles, avec des volumes d'authentification anormaux. Ces outils permettent de détecter une identité compromise pendant la phase de reconnaissance silencieuse — avant la phase d'impact. Les solutions comme Microsoft Entra ID Protection, Okta Threat Insights ou CrowdStrike Falcon Identity Protection offrent ces capacités, mais elles nécessitent une configuration active et une équipe disponible pour traiter les alertes.

Le PAM pour les comptes critiques. Les comptes d'administration sont les joyaux de la couronne. Les organisations résilientes les gèrent via des solutions PAM (CyberArk, BeyondTrust, HashiCorp Vault) qui imposent des sessions enregistrées, des mots de passe rotatifs automatiquement et une validation humaine pour les accès aux systèmes critiques. Même en cas de compromission d'un compte utilisateur standard, l'escalade vers les comptes admin se heurte à des contrôles supplémentaires qui ralentissent ou bloquent la progression. Dans un incident que j'ai analysé récemment, un groupe ransomware a abandonné son attaque après deux jours d'échecs sur la phase d'escalade — le PAM avait rendu le coût de l'opération trop élevé.

La simulation de phishing comme mesure continue. Les organisations sérieuses en font un outil de mesure continu, pas une case à cocher annuelle. Des simulations régulières avec des scénarios réalistes incluant des techniques AiTM permettent de mesurer la résilience humaine et d'identifier les populations à risque. Un taux de clics supérieur à 15-20 % sur une simulation représente un indicateur de risque sérieux nécessitant un accompagnement ciblé.

Plan d'action 90 jours : par où commencer concrètement

La gestion des identités peut sembler intimidante dans les organisations avec des années de dette technique. Voici comment structurer les 90 premiers jours pour un impact maximum avec des ressources limitées.

Jours 1-15 — Inventaire et ménage de base. Inventaire complet des comptes Active Directory. Désactivation des comptes inactifs depuis plus de 90 jours. Revue des comptes de service et de leurs mots de passe. Réduction des droits d'administration locale sur les postes de travail. Ces actions ont un impact immédiat sur la surface d'attaque disponible pour un attaquant disposant d'identifiants volés — et elles ne nécessitent pas de budget supplémentaire, juste du temps et de la rigueur opérationnelle.

Jours 15-45 — MFA et Zero Trust. Si la MFA n'est pas déployée sur 100 % des comptes, c'est la priorité absolue. Commencez par les accès distants (VPN, RDP, applications web exposées) et les comptes à privilèges, puis étendez progressivement. Activez les mécanismes de contexte sur les notifications push (numéro de correspondance, localisation géographique). Réduisez les durées de vie des sessions à 8-12 heures pour les accès aux ressources sensibles. Activez les politiques de risque qui bloquent les connexions depuis des localisations inhabituelles.

Jours 45-90 — Détection et PAM. Configurez des alertes sur les comportements d'authentification anormaux : connexions en dehors des horaires de bureau, depuis des IP inconnues, avec des volumes inhabituels. Lancez un projet PAM pour les comptes d'administration les plus critiques — contrôleurs de domaine, hyperviseurs, solutions de sauvegarde. Planifiez une simulation de phishing pour mesurer la baseline de résilience humaine et identifier les populations à risque. Ces 90 jours créeront une posture de base qui rendra votre organisation significativement moins attractive pour les attaquants opportunistes.

Conclusion : l'identité est le nouveau périmètre

Le périmètre réseau traditionnel est mort. Le VPN ne protège plus rien si les identifiants qui y donnent accès sont en vente sur le dark web. Le firewall ne sert à rien si l'attaquant se connecte avec une identité légitime. La sécurité de 2026 commence par la sécurité des identités — et les 80 % de ransomwares passant par des identités compromises ne sont pas une statistique abstraite. C'est la description de la prochaine attaque qui touchera votre organisation si vous n'agissez pas.

Les actions sont connues. Déployez FIDO2 pour les comptes critiques. Implémentez un PAM pour les accès privilégiés. Auditez et réduisez les accès. Mettez en place des alertes comportementales sur les identités. Supprimez les comptes inactifs. Changez les mots de passe des comptes de service. Ce ne sont pas des projets pluriannuels pharaoniques — ce sont des chantiers qui démarrent cette semaine et produisent des résultats mesurables dans les 90 jours.

Le ransomware n'est pas une fatalité. C'est le résultat d'une accumulation de décisions différées. Solder cette dette commence par une question simple : combien d'identités dans votre annuaire pourraient permettre à un attaquant d'entrer dans votre réseau dès demain matin ?