Les cyberattaques deviennent plus rapides, silencieux et persistants, tandis que l’intelligence artificielle réduit le temps et l’effort nécessaires pour automatiser certaines phases d’une intrusion. Selon le rapport Cyber Threat Intelligence Trends 2026 de NTT DATA, cette combinaison, conjuguée à la géopolitique et à la professionnalisation de la cybercriminalité, figurent parmi les facteurs qui transforment les risques pour les entreprises et les administrations en 2026.
Les clés des cybermenaces en 2026 en 30 secondes
- NTT DATA met en garde contre des vulnérabilités critiques exploitées en moins de 24 heures, avec certains cas passant de l’accès initial à l’exfiltration en à peine 72 minutes.
- Le ransomware est apparu dans 48 % des incidents analysés, affectant 2 122 victimes recensées au premier trimestre.
- L’IA est déjà utilisée pour la reconnaissance, le phishing personnalisé, les deepfakes et l’ingénierie sociale automatisée.
- Le secteur public figure parmi les plus exposés.
Le changement le plus remarquable ne réside pas nécessairement dans l’émergence de techniques entièrement nouvelles. NTT DATA observe que les attaquants combinent, automatisent et accélèrent l’utilisation d’outils déjà connus. Cela réduit considérablement le délai entre la détection d’une vulnérabilité, son exploitation et la progression de l’attaquant au sein de l’infrastructure compromise.
Il y a aussi un deuxième phénomène : une intrusion n’a plus nécessairement à se traduire par une panne de service ou un chiffrement immédiat des systèmes. Rester caché peut être plus rentable. L’attaquant peut rechercher des identifiants, identifier des actifs importants, accéder à des services cloud, extraire des informations et préparer une extorsion avant que l’organisation ne prenne conscience de l’attaque.
D’une vulnérabilité à l’exfiltration en seulement 72 minutes
Un des points les plus marquants du rapport concerne la réduction des temps d’attaque. NTT DATA indique que certaines vulnérabilités critiques commencent à être exploitées en moins de 24 heures, tandis que certains cycles d’intrusion peuvent faire passer l’accès initial à l’exfiltration de données en environ 72 minutes.
Pour les équipes de sécurité, cela modifie profondément certaines règles traditionnelles. Une politique de mise à jour des correctifs qui prend plusieurs jours peut devenir insuffisante face à une vulnérabilité activement exploitée.
L’importance de connaître quels systèmes sont exposés à Internet s’accroît également. Serveurs oubliés, applications obsolètes, interfaces d’administration, réseaux privés virtuels (VPN), dispositifs périmétriques ou services cloud mal configurés peuvent devenir des points d’entrée.
L’identité constitue une autre pièce du problème. Si un cybercriminel obtient des identifiants valides, une partie de ses activités peut passer pour celles d’un utilisateur légitime. La surveillance des identités, les contrôles d’accès et l’authentification multifactorielle résistante au phishing deviennent ainsi de plus en plus cruciaux, en complément des mesures de correction classiques.
L’intelligence artificielle peut encore accélérer ces cycles. Selon NTT DATA, elle est déjà utilisée pour automatiser la reconnaissance, produire des campagnes de phishing plus ciblées, réaliser des deepfakes ou étendre les opérations d’ingénierie sociale.
Cela ne signifie pas que l’IA ait remplacé l’attaquant humain, mais plutôt qu’elle agit comme un multiplicateur : des tâches qui nécessitaient auparavant beaucoup de travail manuel peuvent être automatisées ou déployées à plus grande échelle.
Le ransomware évolue : voler avant de chiffrer
Le ransomware conserve une place importante, mais son mode opératoire a changé. Le rapport recense 2 122 victimes déclarées au premier trimestre 2026 et souligne qu’il a été présent dans 48 % des brèches analysées. De plus, les dix groupes les plus actifs ont concentré 71,1 % des victimes comptabilisées.
Le chiffrement reste un levier de pression, mais le vol d’informations permet à l’assaillant de maintenir la extorsion, même lorsque l’entreprise possède des copies de sauvegarde capables de restaurer ses systèmes.
Une organisation peut restaurer ses serveurs tout en restant exposée au risque que des documents internes, des données commerciales ou personnelles soient publiés à leur insu.
L’utilisation croissante de services légitimes aggrave cette menace : infrastructures cloud et applications SaaS peuvent servir à stocker des informations, maintenir une persistance ou compliquer la différenciation rapide avec le trafic légitime de l’entreprise.
L’écosystème criminel est aussi devenu plus fragmenté. La fermeture de forums et de marchés clandestins centralisés ne signifie pas nécessairement une baisse équivalente de l’activité. NTT DATA note un déplacement vers des marchés spécialisés, des intermédiaires de l’accès initial et des canaux privés.
Les «initial access brokers» représentent une composante particulièrement problématique : leur activité consiste à obtenir un accès à une organisation, puis à vendre ces accès ou ces sessions compromis à d’autres malfaiteurs, qui peuvent les utiliser pour espionner, frauder ou déployer du ransomware.
Administrations, éducation et finance parmi les principales cibles
Les données sectorielles permettent d’identifier où se concentre une partie de l’activité détectée par NTT DATA. La administration publique et les gouvernements ont enregistré 3 343 incidents au cours de la période analysée.
Viennent ensuite les institutions éducatives, avec 1 140 incidents ; les services financiers, avec 957 ; les technologies de l’information, avec 802 ; et les télécommunications, avec 614.
| Secteur | Incidents enregistrés |
|---|---|
| Administration publique et gouvernements | 3 343 |
| Éducation | 1 140 |
| Services financiers | 957 |
| TIC (technologies de l’information) | 802 |
| Télécommunications | 614 |
La vulnérabilité de ces secteurs s’explique à la fois par des facteurs technologiques et stratégiques. Les administrations, les opérateurs télécoms, les entités financières et les fournisseurs technologiques gèrent d’énormes quantités d’informations, souvent utilisés par d’autres organisations dans leurs services.
Compromettre un fournisseur peut également ouvrir une voie indirecte vers ses clients. C’est pourquoi les chaînes d’approvisionnement numériques sont régulièrement surveillées.
NTT DATA intègre un autre aspect à cette analyse : la géopolitique. Les conflits internationaux, les différends commerciaux et la fragmentation technologique compliquent la distinction entre opérations criminelles pures et campagnes liées à des intérêts étatiques.
L’attribution reste souvent difficile. Infrastructure partagée, intermédiaires et outils accessibles publiquement facilitent la dissimulation de l’origine des opérations.
Pour les entreprises, cela signifie que respecter une norme de sécurité ne garantit pas automatiquement leur capacité à se remettre d’une attaque. Des inventaires à jour, une détection précoce, une segmentation, une gestion des identités, des sauvegardes vérifiées et des plans de reprise d’activité demeurent des mesures techniques essentielles, surtout face à la réduction continue du délai de réaction.
La rapidité pourrait bien devenir la variable la plus déterminante dans la défense lors des années à venir. Si une vulnérabilité peut être exploitée en quelques heures, et qu’une intrusion progresser en quelques minutes, la capacité à détecter rapidement des comportements anormaux et à y répondre devient stratégique, tout autant que les mesures initiales pour empêcher l’accès.
Questions fréquentes
Combien de temps peut prendre actuellement un cyberattaque pour voler des données ?
NTT DATA évoque des scénarios où l’intervalle entre l’accès initial et l’exfiltration peut être réduit à environ 72 minutes. Cela ne signifie pas que tous les attaques soient aussi rapides, mais cela montre à quel point certains cycles d’intrusion deviennent plus courts.
Comment les cybercriminels utilisent-ils l’intelligence artificielle ?
Le rapport identifie des usages liés à la reconnaissance automatisée, le phishing personnalisé, la création de deepfakes, l’ingénierie sociale et l’automatisation de certaines phases offensives. L’IA sert principalement à augmenter la rapidité et l’échelle des techniques déjà existantes.
Le ransomware reste-t-il une menace majeure en 2026 ?
Oui. NTT DATA recense 2 122 victimes déclarées au premier trimestre 2026 et indique que le ransomware concerne 48 % des brèches analysées.
Quels secteurs sont les plus ciblés par les cyberattaques ?
Selon les données de NTT DATA, l’administration publique et les gouvernements enregistrent le plus grand nombre d’incidents durant la période étudiée, suivis par l’éducation, les services financiers, les TIC et les télécommunications.