Mandiant M-Trends 2026 : accès initial cédé en 22 secondes

22 secondes pour céder un accès : l'industrialisation totale des cyberattaques

Publié le 24 mars 2026 et fondé sur plus de 500 000 heures d'investigations forensiques menées par les équipes de Mandiant — désormais division Google Cloud — dans le monde entier en 2025, le rapport M-Trends 2026 dresse un tableau alarmant de l'accélération et de la professionnalisation des cyberattaques. La donnée la plus frappante concerne la vitesse de transfert d'accès entre acteurs malveillants : en 2022, il fallait en moyenne plus de 8 heures pour qu'un initial access broker (IAB) transmette le contrôle d'un système compromis à un second opérateur. En 2025, cette fenêtre s'est effondrée à 22 secondes, selon Help Net Security et SecurityWeek. Cette réduction spectaculaire témoigne d'une industrialisation poussée de la chaîne de valeur cybercriminelle : les IAB, les opérateurs de malware, les affiliés ransomware et les équipes d'exfiltration opèrent désormais en pipelines quasi-automatisés, avec des outils d'orchestration dédiés, des API de revente d'accès en temps réel et des SLA internes stricts. Le temps de présence médian (dwell time) des attaquants dans les systèmes avant détection a quant à lui augmenté pour atteindre 14 jours en 2025, contre 11 jours l'année précédente — une dégradation notable qui suggère que les défenseurs peinent à suivre l'accélération des tactiques offensives. Les exploits de vulnérabilités logicielles restent le premier vecteur d'entrée pour la sixième année consécutive (32 % des cas), ce qui souligne l'importance d'un patch management rigoureux face aux vulnérabilités activement exploitées ajoutées au catalogue KEV de la CISA.

Le vishing alimenté par l'IA détrône le spear-phishing classique

Le vishing (phishing vocal) est devenu le deuxième vecteur d'infection le plus courant, représentant 11 % des investigations Mandiant en 2025. Cette montée en puissance s'explique par l'usage généralisé des LLM par les attaquants pour générer des scripts de conversation convaincants et cloner des voix en temps réel. Les campagnes de vishing utilisent désormais des deepfakes audio pour usurper l'identité de managers, de membres du service IT ou de partenaires commerciaux. Cette tendance illustre l'évolution documentée dans notre article sur Slopoly, le malware entièrement généré par IA du groupe Hive0163 : l'IA générative est passée du statut d'outil de productivité à celui de multiplicateur de force offensive. Les attaquants utilisent les LLM pour construire un profil détaillé de chaque cible à partir de sources OSINT et mener des campagnes d'ingénierie sociale ultra-personnalisées. Le rapport souligne également la permanence des campagnes de phishing via OAuth et des techniques de contournement MFA, phénomène documenté dans l'analyse d'EvilTokens, la plateforme PhaaS qui a compromis 340 organisations Microsoft 365.

Le recovery denial : la nouvelle frontière du ransomware

M-Trends 2026 identifie une évolution tactique majeure dans les opérations ransomware : le recovery denial. Les groupes les plus sophistiqués ne se contentent plus du schéma classique chiffrement et extorsion de données. Ils s'attachent désormais à détruire méthodiquement la capacité de récupération des victimes avant de déclencher le chiffrement final. Concrètement, cela signifie cibler en priorité les systèmes d'identité (Active Directory, Entra ID), les hyperviseurs et plans de gestion de la virtualisation, et les infrastructures de sauvegarde. L'objectif est de rendre toute restauration autonome impossible, forçant la victime à reconstruire from scratch — une opération qui peut prendre des semaines pour les grandes organisations. Cette stratégie a été observée dans des attaques menées par des groupes tels que BlackSuit, démantelé par le DOJ dans l'opération Checkmate. Les supply chain attacks contribuent également à cet écosystème de menaces, comme en témoigne la campagne TeamPCP ciblant Checkmarx KICS pour compromettre les pipelines CI/CD.

Ce qu'il faut retenir

• Le délai de 22 secondes entre accès initial et cession à un second acteur rend la détection préventive quasi impossible : l'accent doit se porter sur la détection comportementale post-intrusion et l'architecture Zero Trust.
• Le vishing alimenté par l'IA oblige à repenser les procédures de vérification d'identité pour les demandes sensibles : un appel téléphonique convaincant n'est plus une preuve suffisante d'identité.
• La protection des systèmes de sauvegarde et des plans de gestion de la virtualisation doit être traitée avec le même niveau de priorité que la protection des systèmes de production.