Picus 2026 : 37 % des actions post-intrusion bloquées

Ce qui s'est passé

Le 12 août 2026, Picus Security a publié son Blue Report annuel, l'édition de référence sur l'efficacité réelle des défenses de cybersécurité d'entreprise. L'étude 2026 repose sur l'analyse de 338 millions de simulations d'attaques exécutées dans des environnements de production réels entre janvier et juin 2026, constituant la plus grande base de données de validation de sécurité publiée à ce jour. Les résultats dressent un tableau profondément contrasté : une amélioration réelle au périmètre, mais un effondrement préoccupant des défenses une fois la frontière franchie par un adversaire.

Le chiffre central du rapport est univoque : seulement 37 % des actions menées par un attaquant qui a déjà réussi à pénétrer le réseau de l'entreprise sont effectivement bloquées par les contrôles de sécurité en place. Ce pourcentage est mesuré sur l'ensemble des phases post-compromission du cycle d'attaque — reconnaissance interne, mouvement latéral, élévation de privilèges, collection de données, exfiltration — et illustre ce que les praticiens nomment le « gap périmètre vs profondeur » : les outils de bordure sont bien configurés, mais les défenses internes restent largement insuffisantes face à un adversaire patient et méthodique.

Le taux de prévention global — qui mesure la capacité des outils à bloquer les attaques dès la première tentative, toutes phases confondues — a progressé de 62 % en 2025 à 69 % en 2026, retrouvant ainsi son niveau record de 2024. Cette amélioration est principalement attribuée aux progrès des solutions EDR (Endpoint Detection and Response) de nouvelle génération et aux capacités étendues de filtrage applicatif des firewalls NGFW. Elle traduit également l'effet cumulatif des investissements massifs consentis par les entreprises en sécurité périmètrique depuis 2020. Mais cette progression masque une réalité plus sombre : la qualité des défenses évaluée en profondeur, une fois l'attaquant à l'intérieur, est catastrophiquement faible.

La section du rapport dédiée aux ransomwares est particulièrement alarmante. L'efficacité moyenne de prévention contre les dix familles les moins bien bloquées a chuté de 44 % en 2025 à 32 % en 2026. Le cas du ransomware Play est emblématique : son taux de prévention s'est effondré de 50 % à seulement 13 % en un an, ce qui signifie que neuf déploiements de Play sur dix ne sont pas bloqués. Cette régression spectaculaire suggère que les opérateurs de Play ont significativement amélioré leurs techniques d'évasion ou modifié leurs vecteurs d'attaque pour contourner les signatures et règles comportementales des outils de protection actuels. Toutes les familles figurant dans le bas du classement ransomware affichent des taux inférieurs à 38 %.

Le fossé entre logging et détection actionnable constitue une autre révélation majeure. Le score de logging a atteint 58 % — meilleure performance depuis quatre ans — mais le taux d'alerte correspondant stagne à seulement 14 %. En clair : les systèmes de sécurité enregistrent plus d'événements que jamais, mais ne transforment qu'une fraction infime de ces enregistrements en alertes actionnables pour les analystes SOC. Ce décalage béant révèle un problème d'ingénierie de détection : les règles SIEM, les corrélations d'événements et les logiques d'alerte ne suivent pas la croissance des volumes de logs, créant une illusion de visibilité qui ne se traduit pas en capacité de réponse réelle.

Picus Labs met en évidence un phénomène particulièrement préoccupant : les actions de reconnaissance discrète et de collecte de credentials — qui précèdent systématiquement les phases destructrices dans les cyberattaques sophistiquées — ne sont bloquées que dans environ un cas sur dix. Un attaquant qui traverse le périmètre peut donc, neuf fois sur dix, énumérer les domaines Active Directory, identifier les partages réseau accessibles, découvrir les sessions actives et collecter des matériaux d'authentification sans déclencher la moindre alerte. Cette fenêtre d'action silencieuse est précisément ce que les groupes APT et les opérateurs de ransomware exploitent durant la phase de reconnaissance avant le déploiement de leurs charges utiles finales.

La méthodologie du rapport mérite d'être soulignée. Les 338 millions de simulations ont été exécutées via la plateforme BAS (Breach and Attack Simulation) de Picus dans des environnements de production réels — non dans des laboratoires ou des environnements de démonstration idéalisés. Chaque simulation reproduit fidèlement des comportements d'attaques réelles, mappées sur le framework MITRE ATT&CK, et mesure la réponse effective des contrôles de sécurité en place dans chaque organisation testée. La représentativité des résultats est donc directement liée à des déploiements opérationnels concrets, ce qui donne à ces chiffres une valeur de benchmark sectoriel inédite.

La publication du Blue Report intervient dans un contexte où les budgets cybersécurité ont atteint des niveaux records dans les grandes entreprises mondiales. La question posée par Picus est donc celle de l'efficacité réelle de ces investissements : dépenser davantage sur des outils périmètriques améliore la prévention en bordure, mais ne protège pas contre un adversaire qui a déjà franchi ce premier rideau. C'est précisément dans ce cas de figure que les incidents les plus coûteux — violations de données massives, déploiements de ransomware, exfiltrations silencieuses sur plusieurs mois — se produisent.

Pourquoi c'est important

Le Blue Report 2026 confirme ce que les équipes de réponse à incident observent sur le terrain depuis plusieurs années : la cybersécurité d'entreprise est structurellement déséquilibrée, surpondérant la défense périmètrique au détriment des capacités de détection et de réponse internes. Le modèle dit « château fort » — investir massivement sur les remparts pour empêcher l'entrée — a montré ses limites dans un monde où le phishing ciblé, les attaques sur la supply chain logicielle et les exploits zero-day permettent de franchir le périmètre malgré des défenses de premier rang. La question n'est plus seulement « comment empêcher l'intrusion ? » mais « que se passe-t-il quand l'attaquant est déjà à l'intérieur ? »

Les 37 % de blocage post-compromission doivent être mis en regard des conséquences financières des incidents majeurs. Le coût moyen d'une violation de données en 2025-2026 dépasse les 4 millions d'euros pour les entreprises de taille intermédiaire selon diverses études sectorielles. Si un attaquant peut opérer neuf fois sur dix sans être détecté lors des phases de reconnaissance et de collecte de credentials, le risque de dégradation majeure est statistiquement inévitable à moyen terme pour les organisations qui ne travaillent pas activement à combler ce déficit. Les chiffres du Blue Report 2026 constituent un argument factuel direct pour les RSSI qui cherchent à rééquilibrer les budgets sécurité vers les capacités de détection et réponse internes lors des arbitrages budgétaires 2027.

Du point de vue réglementaire, NIS2 et le règlement DORA imposent aux entités essentielles et importantes une capacité de détection et de réponse aux incidents proportionnée à leur exposition au risque. Les résultats du Blue Report 2026 constituent un référentiel de marché que les autorités compétentes — l'ANSSI en France, le BSI en Allemagne, l'ENISA au niveau européen — peuvent utiliser pour calibrer leurs exigences et évaluer la maturité des organisations lors des audits de conformité. Une organisation qui présente un taux de blocage post-compromission structurellement inférieur à la moyenne du marché, sans programme documenté d'amélioration, s'expose à des observations formelles lors des inspections NIS2 et DORA.

La stagnation du taux d'alerte à 14 % malgré un score de logging à 58 % pointe vers un problème de qualité d'ingénierie de détection. Augmenter les volumes de logs sans améliorer les règles de corrélation ne produit pas de sécurité supplémentaire — cela produit du bruit. Les équipes SOC submergées de logs non corrélés développent une fatigue aux alertes qui diminue leur réactivité sur les signaux réellement critiques. La recommandation pratique est claire : avant d'investir dans de nouveaux outils de collecte, auditer la qualité de l'ingénierie de détection existante et mesurer concrètement la couverture MITRE ATT&CK pour les phases post-compromission.

Ce qu'il faut retenir

• La prévention périmètrique progresse (69 %) mais les défenses post-compromission stagnent à 37 % : rééquilibrer les investissements vers la détection et la réponse internes est une priorité stratégique pour 2027.
• Le taux de blocage des ransomwares chute à 32 % en moyenne — dont 13 % pour Play — signalant une capacité d'adaptation des attaquants qui dépasse celle des défenseurs sur ce segment critique.
• Un taux d'alerte à 14 % pour un logging à 58 % révèle un déficit d'ingénierie de détection : la priorité est d'améliorer les règles SIEM et la couverture MITRE ATT&CK post-compromission, pas d'accumuler davantage de logs.