Pourquoi le ransomware devient un probleme d'identite

Le ransomware base sur l’identite change la facon dont les equipes de securite doivent penser l’acces initial. L’ancien modele mental se concentrait fortement sur la livraison de malware, les chaines d’exploits et l’execution evidente de charges utiles. Ceux-ci comptent toujours, mais le schema plus urgent est plus simple : les attaquants penetrent de plus en plus en abusant de l’identite, en volant des sessions, en detournant la confiance, puis en utilisant un acces legitime pour se diriger vers l’extorsion, la perturbation ou le deploiement de ransomware.

Les donnees confirment ce changement. Le Rapport mondial sur les menaces 2024 de CrowdStrike a constate que 75 % des attaques pour obtenir l’acces initial etaient sans malware — s’appuyant plutot sur l’abus d’identite, l’ingenierie sociale et les techniques manuelles. Le Rapport de defense numerique 2024 de Microsoft a rapporte 600 millions d’attaques d’identite par jour ciblant les clients Microsoft. Et le Rapport sur le cout d’une violation de donnees 2024 d’IBM a identifie les credentials volees comme le vecteur d’attaque initial le plus courant, prenant en moyenne 292 jours pour identifier et contenir.

Cela signifie que si les attaquants se connectent au lieu de forcer l’entree bruyamment, la strategie de sauvegarde et les controles des endpoints ne sont qu’une partie de la reponse. Les equipes de securite ont aussi besoin d’une protection d’identite plus forte, de controles SaaS plus serres, d’une reponse aux tokens plus rapide et d’une meilleure visibilite operationnelle sur qui s’authentifie, d’ou et avec quel niveau de confiance.

Comment les tactiques de ransomware evoluent

Le ransomware n’a pas cesse d’etre destructeur. Ce qui change, c’est le chemin que les attaquants utilisent pour atteindre ce stade destructeur.

Pendant des annees, les defenseurs ont ete entraines a surveiller les binaires suspects, les charges utiles de macros, les kits d’exploit et le comportement bruyant des malwares. Ces signaux apparaissent toujours, mais les attaques modernes sont de plus en plus optimisees pour la vitesse, l’echelle et le moindre effort. Avec trois quarts des tentatives d’acces initial desormais sans malware selon CrowdStrike, l’economie a change. Si voler une identite valide donne a un operateur un acces plus facile que de construire ou acheter un chemin d’intrusion plus complexe, beaucoup d’entre eux choisiront la voie de l’identite.

C’est pourquoi la preparation au ransomware doit maintenant commencer beaucoup plus tot dans la chaine d’attaque. La question importante n’est plus seulement “Pouvons-nous arreter le malware ?” C’est aussi :

• Pouvons-nous detecter des sessions volees ou rejouees ?
• Pouvons-nous bloquer des connexions risquees avant que le privilege ne soit abuse ?
• Pouvons-nous empecher la manipulation des workflows du helpdesk et d’administration ?
• Pouvons-nous contenir le mouvement lateral base sur l’identite assez vite pour stopper le deploiement ?

C’est une raison pour laquelle les equipes d’identite, les equipes cloud et les equipes de reponse aux incidents doivent travailler plus etroitement qu’il y a quelques annees. La defense contre le ransomware est de plus en plus liee au controle d’acces, a la gouvernance SaaS et a la surveillance post-authentification, pas seulement a la detection traditionnelle des endpoints.

Pourquoi les attaques d’identite battent les malwares bruyants

Les attaques d’identite sont attractives car elles creent souvent moins de friction pour l’attaquant et moins de bruit immediat pour le defenseur.

Quand un attaquant utilise une vraie session, un token valide ou un chemin de recuperation de compte socialement ingenierie, l’activite peut se fondre dans le comportement normal de l’entreprise. C’est tres different de la detonation d’un malware qui declenche immediatement des alarmes sur les endpoints ou des signatures reseau.

Il y a plusieurs raisons pour lesquelles cela fonctionne si bien.

L’acces legitime semble legitime

Si un attaquant a un token de session en direct ou des credentials valides, il n’a peut-etre pas besoin de declencher les memes defenses qui attrapent les malwares classiques. Dans de nombreux environnements, l’activite initiale ressemble a un acces utilisateur normal. IBM a constate que les violations provenant de credentials volees prennent en moyenne 292 jours pour etre identifiees et contenues — plus longtemps que presque tout autre vecteur d’attaque — precisement parce que l’activite se fond dans le decor.

Les environnements cloud et SaaS recompensent le controle de l’identite

A mesure que davantage de systemes metier vivent derriere des fournisseurs d’identite et des integrations SaaS, l’acces au compte devient le chemin le plus court vers un impact metier reel. Un attaquant qui controle la bonne identite peut acceder a la messagerie, aux portails d’administration, aux stockages de fichiers, aux systemes clients et aux outils de workflow sans jamais deployer de malware evident d’abord.

L’abus post-authentification est efficace

Une fois l’acces etabli, les attaquants peuvent se diriger vers la persistance, l’escalade de privileges, le vol de donnees et les actions destructrices en utilisant les memes systemes de confiance dont votre organisation depend deja.

C’est pourquoi le ransomware base sur l’identite n’est pas juste une variation de niche. C’est un signal que les chemins d’attaque d’entreprise suivent la logique de l’efficacite. Les attaquants utilisent les routes qui produisent le meilleur retour operationnel avec le moins de resistance.

Sessions volees, phishing et abus du helpdesk

Les responsables securite doivent porter une attention particuliere aux facons dont l’abus d’identite se produit reellement dans la nature. Trois schemas comptent plus que jamais.

Sessions volees

Le vol de session est l’un des exemples les plus clairs de pourquoi “MFA active” ne suffit plus en soi. Si un attaquant vole un token de session ou un cookie en direct, il peut contourner entierement l’etape de connexion et se deplacer directement dans une session deja authentifiee.

C’est ce qui rend le vol de token si dangereux. Il cible la partie du workflow que de nombreuses organisations surveillent encore moins agressivement que les tentatives de connexion.

Phishing AiTM et detournement de session

Les campagnes de phishing adversaire-au-milieu font plus que collecter des mots de passe. Elles peuvent relayer l’authentification en temps reel et capturer le materiel de session ou de token resultant. Cela transforme le phishing d’un probleme de vol de credentials en un probleme de compromission post-authentification.

Cette distinction est importante operationnellement. Un utilisateur peut faire “la bonne chose” en utilisant le MFA et etre quand meme compromis si l’attaquant detourne avec succes la session resultante.

Abus du helpdesk et des workflows de support

Les attaques d’identite ne se limitent pas au phishing base sur le navigateur. Les attaquants abusent aussi des personnes et des processus. Les helpdesks, le support externalise et les workflows de recuperation font maintenant partie de la surface d’attaque. Le groupe Scattered Spider (suivi par Microsoft sous le nom Octo Tempest) l’a demontre a grande echelle — utilisant l’ingenierie sociale des helpdesks et du personnel IT pour obtenir l’acces initial, puis escaladant vers le deploiement de ransomware a travers des cibles d’entreprise majeures.

C’est une raison pour laquelle la defense mature contre le ransomware inclut desormais des controles de securite autour des operations de support et des processus de cycle de vie de l’identite, pas seulement des agents endpoint et des filtres e-mail.

Comment mettre a jour vos defenses contre le ransomware

Si le ransomware est de plus en plus pilote par l’identite, vos priorites defensives doivent evoluer en consequence.

Une strategie moderne plus solide inclut :

• Proteger les identites comme infrastructure critique
• Surveiller les connexions et sessions, pas seulement les endpoints
• Reduire les privileges et les acces permanents
• Durcir les integrations SaaS et les workflows d’administration
• Tester la revocation de credentials et de tokens dans le cadre de la reponse aux incidents
• Separer la resilience des sauvegardes de la resilience de l’identite

Trop d’organisations planifient encore la reponse au ransomware autour du chiffrement de fichiers et des operations de restauration uniquement. C’est necessaire, mais incomplet. Si un attaquant controle encore les identites d’administration, les sessions cloud ou l’acces SaaS privilegie, restaurer les systemes n’elimine pas le vrai risque.

Un meilleur modele operationnel consiste a traiter l’identite comme faisant partie de votre couche de confinement du ransomware. En pratique, cela signifie :

1. identifier d’abord les identites a fort impact
2. appliquer une authentification et des controles d’inscription plus solides
3. restreindre les chemins d’acces privilegie
4. surveiller le comportement suspect des sessions
5. repeter les workflows de verrouillage de compte, de revocation de token et d’acces d’urgence
6. valider que les plans de continuite d’activite fonctionnent encore pendant une perturbation d’identite

C’est la ou la discipline architecturale commence a compter. Les organisations avec des pratiques d’architecture Zero Trust plus solides sont mieux positionnees car elles supposent deja que la confiance en l’identite, l’appareil, le reseau et l’application doit etre evaluee en continu au lieu d’etre accordee une fois et oubliee.

Ou s’inscrit le MFA resistant au phishing

Le MFA resistant au phishing — y compris les passkeys et les authentificateurs FIDO — est l’une des ameliorations de controle les plus claires pour reduire le phishing de credentials et les chemins de prise de controle de compte a faible friction. Mais ce n’est pas la reponse entiere. Le vol de session et l’abus de tokens bearer comptent toujours apres la reussite de l’authentification, c’est pourquoi l’approche la plus efficace superpose l’authentification resistante au phishing avec l’acces conditionnel, les protections de tokens et le moindre privilege.

Si votre organisation planifie un passage aux passkeys, notre guide de deploiement des passkeys en entreprise couvre les modeles de deploiement, la conception de la recuperation et les metriques d’adoption en detail. Le point cle pour la defense contre le ransomware est que les deploiements de passkeys devraient etre vus comme faisant partie de la strategie de confinement, pas seulement de la modernisation de l’authentification.

Les metriques que les responsables securite devraient surveiller

Si c’est un vrai changement de priorite, vos metriques devraient le refleter. Les responsables securite ont besoin de visibilite sur l’exposition de l’identite, pas seulement sur le volume de malware.

Les mesures les plus utiles incluent souvent :

Couverture de protection de l’identite

Suivre combien d’utilisateurs, d’administrateurs, de contractuels et de proprietaires de services sont proteges par un MFA resistant au phishing et des regles d’acces conditionnel plus strictes.

Reduction des identites privilegiees

Mesurer combien de privileges permanents existent encore, combien de roles d’administration sont toujours actifs et combien de chemins d’acces d’urgence sont sous-testes ou faiblement gouvernes.

Signaux de risque de session et de token

Surveiller l’utilisation suspecte de tokens, les voyages impossibles apres authentification, les changements d’appareil risques, les invalidations de session repetees et les evenements de consentement ou d’inscription inhabituels.

Indicateurs d’abus du helpdesk et de la recuperation

Surveiller les demandes de reinitialisation de mot de passe, les patterns de reinitialisation MFA, les exceptions de recuperation et les escalades de support liees aux comptes privilegies ou sensibles.

Temps de revocation de la confiance

Lors d’un vrai incident, combien de temps faut-il pour desactiver des comptes, revoquer des sessions, faire tourner des secrets, bloquer des grants OAuth malveillants et supprimer l’acces a travers les systemes cloud et SaaS ? Ce chiffre compte beaucoup plus maintenant qu’avant.

Preparation inter-equipes

Le ransomware n’est plus seulement un probleme d’operations de securite. Les equipes d’identite, cloud, endpoint et support affectent toutes le resultat. Mesurez si elles peuvent reellement executer ensemble sous pression.

Il est aussi utile de relier cela aux domaines de controle connexes. La defense contre le ransomware centree sur l’identite croise la securite des API pour les environnements SaaS et riches en integrations, en particulier lorsque les applications et tokens tiers elargissent le rayon d’explosion d’un compte compromis.

Effectuez une revue d’exposition de l’identite avant votre prochain exercice de ransomware

La plus grande lecon pour 2026 est simple : la defense contre le ransomware doit commencer avant que le malware n’apparaisse. Si les attaquants obtiennent de plus en plus de levier par le biais de sessions volees, du phishing, de l’ingenierie sociale et de l’abus d’identite privilegiee, alors l’identite n’est plus un controle de soutien. Elle fait partie du champ de bataille principal.

Les equipes de securite qui s’adaptent le plus vite arreteront de traiter le ransomware comme uniquement un probleme d’endpoint et de sauvegarde. Elles le traiteront aussi comme un probleme d’identite, d’acces et de resilience operationnelle.

Une prochaine etape pratique est d’effectuer une revue d’exposition de l’identite avant votre prochain exercice de ransomware. Cartographiez quelles identites comptent le plus, quels workflows sont les plus faciles a abuser, quelles sessions sont les plus difficiles a detecter et quels chemins de recuperation font trop confiance. Puis testez si votre equipe peut revoquer l’acces, contenir le rayon d’explosion et maintenir l’activite en fonctionnement sous pression.

Obtenez la fiche gratuite de revue d’exposition de l’identite →

Pour une base plus solide, associez cette revue a notre guide de deploiement des passkeys en entreprise, notre guide d’architecture Zero Trust, et notre guide de securite des API pour les applications IA et les integrations SaaS modernes.