Menaces cyber 2026 : IA weaponisée, évasion des défenses et vulnérabilités critiques
En février 2026, 2 086 cyberattaques hebdomadaires par organisation, un EDR killer actif depuis un an sans détection, une CVE critique Microsoft Office déclenchée sans clic, et l'IA désormais intégrée dans les malwares. Tour d'horizon complet des menaces émergentes.
Les chiffres de février 2026 confirment ce que les équipes de sécurité ressentaient déjà sur le terrain : le volume des cyberattaques ne redescendra pas. Avec 2 086 attaques hebdomadaires par organisation en moyenne, soit une hausse de 9,6 % sur un an, le baromètre Check Point Research marque une stabilisation à un niveau record. Ce n'est plus un pic, c'est la nouvelle normale.
Mais derrière les statistiques, une évolution plus profonde est à l'oeuvre : les attaques ne sont plus seulement plus nombreuses, elles sont mieux ciblées et de plus en plus difficiles à détecter. L'IA joue désormais un rôle central dans cette transformation, côté offensif en premier lieu.
Un paysage de menaces sous tension permanente
Des volumes en hausse sur tous les continents
L'Amérique latine enregistre la plus forte progression avec +20 % d'attaques sur un an (3 123 attaques hebdomadaires par organisation), devant l'Asie-Pacifique (+3 %, 3 040 attaques). L'Europe n'est pas épargnée : +11 % pour atteindre 1 764 attaques par semaine, l'Amérique du Nord progresse de +9 % (1 456 attaques). Aucune région n'est en recul significatif.
Les secteurs les plus exposés restent l'éducation (4 749 attaques par organisation et par semaine, +7 % sur un an), l'administration publique (2 714 attaques, +2 %) et les télécommunications (2 699 attaques, +6 %). Ces trois secteurs cumulent des caractéristiques qui les rendent attractifs : grandes surfaces d'exposition, données à haute valeur, ressources de sécurité souvent insuffisantes par rapport à la taille des environnements gérés.
Le ransomware en recul apparent
En février 2026, 629 incidents ransomware ont été recensés dans le monde, soit une baisse de 32 % par rapport à la même période en 2025. Ce chiffre demande une lecture attentive : cette diminution reflète en grande partie une anomalie de comparaison, due à une campagne massive du groupe Cl0p au premier trimestre 2025. Hors cet événement, l'activité ransomware reste stable à un niveau structurellement élevé.
L'Amérique du Nord concentre 57 % des victimes déclarées, suivie de l'Europe et de l'Asie-Pacifique (17 % chacune). Les services aux entreprises (37 % des victimes), les biens de consommation (13 %) et l'industrie manufacturière (9 %) sont les secteurs les plus touchés. Les attaquants ciblent les organisations où un arrêt opérationnel ou une fuite de données a des conséquences financières directes et mesurables.
Trois groupes dominent l'activité de février : Qilin (15 % des attaques publiées, ransomware-as-a-service en expansion active depuis 2022), Clop (13 %, en conclusion de sa campagne d'exploitation de zero-days Oracle E-Business Suite) et The Gentlemen (11 %, doublement de volume en un mois). Au total, 49 groupes distincts ont revendiqué des victimes sur la période, illustrant la profondeur de cet écosystème.
L'IA comme accélérateur offensif
De l'expérimentation à l'arsenal : 2025 en accéléré
Le rapport Mandiant publié par Google Cloud en mars 2026 documente une transformation qualitative de l'usage de l'IA par les attaquants. En début d'année 2025, les acteurs étatiques (Chine, Russie, Corée du Nord, Iran) utilisaient les grands modèles de langage comme des assistants : traduction, recherche de vulnérabilités, génération de code basique. À la fin de la même année, l'IA était intégrée directement dans les malwares, au niveau du code exécuté en production.
Deux familles illustrent concrètement cette transition :
- PROMPTFLUX : un dropper VBScript qui interroge l'API Gemini toutes les heures pour réécrire son propre code source. Le résultat est un malware polymorphe dont la signature change en permanence, rendant la détection basée sur les indicateurs de compromission (IOC) statiques quasi inopérante. Le modèle de langage agit comme un serveur de commande et contrôle (C2) dynamique.
- PROMPTSTEAL (attribué à APT28, alias FROZENLAKE, opérateur lié au renseignement militaire russe) : premier cas documenté d'un malware utilisant un LLM en opération réelle, déployé contre des cibles ukrainiennes. L'outil interroge le modèle pour générer des commandes Windows à la volée et exfiltrer des documents. Chaque commande est produite à la demande, en fonction du contexte de la machine compromise.
La particularité de ces malwares tient à leur capacité d'adaptation : le code malveillant n'est plus statique mais généré à la demande. Un antivirus ou un EDR qui fonctionne par reconnaissance de patterns connus se retrouve face à un adversaire dont le comportement change à chaque exécution.
Le Shadow AI : un angle mort de gouvernance devenu vecteur d'attaque
L'IA représente également une menace venue de l'intérieur des organisations, non par intention malveillante, mais par défaut de gouvernance. Des équipes métier déploient des outils GenAI sans validation par les équipes IT ou sécurité, créant des zones grises où les données traitées échappent à tout contrôle. C'est ce que Mandiant nomme le « Shadow AI ».
Les données Check Point de février 2026 quantifient ce risque : en moyenne, 1 prompt sur 31 soumis à des outils GenAI représente un risque élevé de fuite de données sensibles. 88 % des organisations utilisant régulièrement ces outils sont concernées. La fragmentation aggrave le problème : une organisation utilise en moyenne 11 outils GenAI différents, rendant toute politique de contrôle centralisée difficile à mettre en oeuvre.
Credentials, données contractuelles, documents RH, plans produit partagés accidentellement : le vecteur GenAI est une surface d'exposition à part entière, indépendamment de toute attaque externe.
Attaques ciblées : anatomie d'une campagne d'évasion
BlackSanta, ou comment neutraliser la sécurité avant d'attaquer
La campagne BlackSanta, analysée par Aryaka et rapportée par Bleeping Computer, illustre le niveau de sophistication atteint par des groupes disposant de ressources significatives. Depuis plus d'un an, un acteur russophone cible spécifiquement les départements RH d'entreprises via un vecteur d'entrée délibérément banal : la candidature spontanée.
Les victimes présumées reçoivent un lien vers un fichier ISO hébergé sur Dropbox, présenté comme un CV. L'ISO contient quatre éléments apparemment anodins : un fichier .LNK (raccourci Windows) déguisé en PDF, un script PowerShell, une image, et un fichier .ICO.
La chaîne d'infection se déroule entièrement en mémoire :
- Le raccourci .LNK déclenche PowerShell.
- PowerShell extrait du code caché dans l'image via stéganographie et l'exécute directement en mémoire, sans écriture sur le disque.
- Le script télécharge une archive contenant un exécutable légitime (SumatraPDF) et une DLL malveillante (DWrite.dll), chargée par DLL sideloading à l'intérieur du processus légitime.
- Le malware effectue une empreinte système, envoie les données au serveur C2, réalise des vérifications d'environnement (sandbox, machine virtuelle, outils de débogage), puis télécharge des composants supplémentaires.
Cette chaîne en mémoire passe entièrement par des processus légitimes, mais elle ne suffit pas. Avant de déployer le payload final, il reste un obstacle : les outils de détection encore actifs sur la machine. C'est là qu'intervient BlackSanta.
Neutraliser les défenses au niveau du noyau
Le composant central de la campagne est un EDR killer baptisé BlackSanta. Son fonctionnement est méthodique :
- Énumération des processus en cours d'exécution.
- Comparaison avec une liste codée en dur incluant les principaux antivirus, EDR, SIEM et outils forensiques.
- Récupération des identifiants de processus correspondants.
- Terminaison de ces processus au niveau du noyau via des drivers chargés à cet effet.
Pour obtenir ces accès noyau, BlackSanta utilise une technique connue sous le nom de BYOD (Bring Your Own Driver) : charger des drivers légitimes mais vulnérables afin de contourner les protections du système. Les deux drivers utilisés sont RogueKiller Antirootkit v3.1.0 (truesight.sys, d'Adlice Software), qui permet la manipulation des hooks noyau, et IObitUnlocker.sys v1.2.0.1 (d'IObit), qui contourne les verrous de fichiers et de processus. Combinés, ils donnent au malware un accès complet à la mémoire système et aux processus protégés.
En parallèle, BlackSanta modifie les exclusions Microsoft Defender pour les extensions .dls et .sys, réduit la télémétrie envoyée aux endpoints de sécurité cloud de Microsoft, et supprime les notifications Windows pour éliminer tout signal visible par l'utilisateur.
La campagne était active depuis plus d'un an au moment de sa découverte, sans avoir déclenché d'alertes. Le payload final n'a pas pu être identifié, le serveur C2 étant hors ligne au moment de l'analyse par les chercheurs d'Aryaka.
Une vulnérabilité critique dans l'outil le plus déployé au monde
Le 10 mars 2026, Microsoft a publié un correctif pour CVE-2026-26110, une vulnérabilité d'exécution de code à distance dans Microsoft Office. Son score CVSS atteint 8,4 (critique), avec un score temporel de 7,3 tenant compte de l'absence d'exploitation connue à la date de publication.
La faille repose sur une erreur de type confusion (CWE-843) : le programme accède à une ressource mémoire en utilisant un type incompatible avec celui déclaré lors de l'allocation. Ce type d'erreur peut être exploité pour détourner le flux d'exécution du programme et y injecter du code arbitraire.
Ce qui rend cette vulnérabilité préoccupante, c'est la combinaison de ses paramètres techniques :
- Vecteur d'attaque local (AV:L) : l'exploitation nécessite une exécution locale, ce qui peut s'obtenir via un simple fichier transmis par email ou messagerie.
- Complexité faible (AC:L) : aucune condition particulière n'est requise côté attaquant.
- Aucun privilège requis (PR:N) et aucune interaction utilisateur (UI:N).
- Le volet de visualisation constitue un vecteur d'attaque confirmé : un simple survol de fichier dans l'explorateur, sans ouverture du document, peut potentiellement suffire à déclencher l'exploitation.
Toutes les versions de Microsoft Office 2016 et ultérieures sont concernées, sur Windows, Mac et Android. La surface d'exposition est donc considérable. Le correctif est disponible depuis le 10 mars 2026 ; dans les environnements où les cycles de déploiement des patchs se comptent en semaines, la fenêtre de vulnérabilité reste ouverte.
La convergence des menaces : un vecteur d'attaque difficile à contrer
Les quatre sources examinées décrivent des phénomènes distincts, mais leur convergence trace un vecteur particulièrement difficile à détecter. Un attaquant peut aujourd'hui :
- Envoyer un fichier Office piégé exploitant CVE-2026-26110, déclenché par la simple prévisualisation du document dans l'explorateur.
- Déployer un EDR killer basé sur des drivers légitimes pour neutraliser les défenses avant tout déploiement de payload.
- Utiliser un malware dont le code se régénère à la volée via une API LLM, rendant toute détection par signature inopérante.
Dans cette chaîne, chaque étape contribue à rendre la détection improbable : les solutions basées sur les signatures sont inefficaces contre un code polymorphe, les outils EDR et SIEM peuvent être silencés avant d'avoir pu alerter, et la CVE permet d'initier l'attaque sans clic de l'utilisateur. Ce n'est pas une hypothèse théorique : les composants existent, sont documentés dans des rapports publics, et plusieurs ont déjà été utilisés conjointement dans des campagnes actives.
Le rapport Mandiant identifie un facteur aggravant côté organisationnel : les équipes sécurité ne savent souvent pas par où commencer avec la sécurité IA. Elles manquent d'une cartographie des composants déployés (registre d'applications, visibilité sur les pipelines RAG et les serveurs MCP), et continuent à chercher des IOC statiques dans des environnements où la menace est désormais comportementale et dynamique.
Adapter la stratégie défensive
Du IOC au IOA : détecter les comportements, pas les signatures
Dans des environnements où le code malveillant se réécrit dynamiquement et où les processus légitimes servent de vecteurs, s'appuyer sur des indicateurs de compromission (IOC) statiques n'est plus suffisant. La transition vers des indicateurs d'activité (IOA) est une nécessité opérationnelle : surveiller les comportements anormaux plutôt que les empreintes connues.
Concrètement, cela signifie surveiller les séquences d'appels d'outils incohérentes (un agent IA qui accède à une base de données puis appelle immédiatement une API externe), les anomalies dans les volumes de tokens LLM (pointe soudaine d'input/output pouvant indiquer une injection de prompt), et les accès mémoire inhabituels depuis des processus normalement passifs.
L'IA défensive : de l'expérimentation à l'opérationnel
Les équipes Mandiant observent une adoption croissante de l'IA dans les opérations de sécurité, avec des usages désormais en production :
- Analyse rétrospective : interroger 30 jours de tickets d'incidents fermés pour identifier des patterns qu'un analyste noyé dans la file d'attente quotidienne ne verrait pas.
- Chasse aux menaces assistée : générer des requêtes EDR complexes (SPL, KQL) en langage naturel, permettant à des analystes juniors d'effectuer des recherches jusqu'ici réservées aux profils seniors.
- Accélération forensique : construire automatiquement une timeline d'incident à partir de flux de télémétrie hétérogènes (SIEM, EDR), en identifiant les relations entre événements apparemment non liés.
L'émergence du « SOC agentique » représente la prochaine étape : plusieurs agents IA collaborant de manière autonome pour trier les alertes, contextualiser les événements et proposer des verdicts, avec un humain qui conserve l'accès aux logs d'audit détaillant le raisonnement de chaque agent. Cette architecture ne remplace pas les analystes, mais change le ratio signal/bruit de manière significative.
Actions prioritaires
Face à l'ensemble de ces vecteurs, plusieurs actions concrètes s'imposent dans les prochaines semaines :
- Déployer le correctif CVE-2026-26110 sans délai sur l'ensemble du parc Office, en priorisant les postes régulièrement exposés à des fichiers externes (RH, finance, direction, commerce).
- Établir un inventaire des outils GenAI en usage dans l'organisation : les équipes métier en utilisent en moyenne 11, souvent sans visibilité de la DSI. Sans inventaire, aucune politique n'est applicable.
- Revoir la détection comportementale : s'assurer que les solutions EDR déployées sont capables de détecter des patterns BYOD (chargement de drivers vulnérables signés) et du DLL sideloading, pas uniquement des signatures connues.
- Sensibiliser les équipes non-IT aux vecteurs ciblés : le département RH est explicitement dans le viseur des campagnes sophistiquées. La technique du faux CV n'est pas nouvelle, mais le niveau d'évasion de BlackSanta l'est. Une formation spécifique sur la gestion des fichiers entrants (ISO, LNK, PDF) est justifiée.
- Imposer du red teaming IA pour les organisations ayant déployé des agents ou des pipelines RAG : les vulnérabilités propres aux systèmes IA (prompt injection, reconnaissance interne via listing des capacités, SSRF via outils d'agents) sont documentées et reproductibles.
Sources
rohanncheckpoint.com
Bill Toulas