Le rapport de KELA sur l’état de la cybercriminalité 2026 révèle 2,86 milliards d’informations d’identification volées et l’essor des attaques autonomes basées sur l’IA

La cybercriminalité n’est plus seulement en train de s’étendre, elle évolue au niveau structurel. Selon L’état de la cybercriminalité 2026: Menaces émergentes et prévisions de KELA, les attaquants passent des méthodes d’intrusion traditionnelles à l’abus d’identité, à l’automatisation basée sur l’IA et à l’exploitation à grande échelle des systèmes basés sur la confiance.

Le rapport peint un tableau sombre de 2025 en tant que point de rupture. Les cybercriminels ne pénètrent plus dans les réseaux, ils se connectent, souvent en utilisant des informations d’identification volées, des agents IA et des systèmes de tiers de confiance pour contourner les défenses entièrement.

Une année record pour la cybercriminalité

L’ampleur de la cybercriminalité en 2025 a atteint des niveaux sans précédent. KELA a suivi 2,86 milliards d’informations d’identification compromises à travers l’écosystème mondial, englobant les logiciels malveillants infostealer, les bases de données de failles et les marchés souterrains.

Ces informations d’identification sont devenues le point d’entrée principal pour les attaquants. Au lieu d’exploiter les vulnérabilités, les acteurs menaçants s’appuient de plus en plus sur l’accès légitime, rendant ainsi obsolètes les modèles de sécurité basés sur le périmètre.

En même temps, les attaques de rançongiciel ont augmenté de manière spectaculaire. Le rapport a identifié 7 549 victimes de rançongiciel en 2025, représentant une augmentation de 45 % d’une année sur l’autre, avec plus de 53 % des victimes situées aux États-Unis.

Cette croissance est alimentée par une économie de la cybercriminalité en pleine maturation. Il y avait 147 groupes de rançongiciel actifs, dont environ 80 nouveaux entrants, mettant en évidence à quel point la barrière à l’entrée est basse.

L’épidémie d’infostealer qui impulse tout

Au cœur de cette vague se trouve la montée en puissance des logiciels malveillants infostealer, maintenant considérés comme la colonne vertébrale de la cybercriminalité moderne.

KELA a observé environ 3,9 millions de machines infectées dans le monde en 2025, générant 347,5 millions d’informations d’identification directement à partir des seules infections par logiciels malveillants.

L’écosystème plus large amplifie cela de manière spectaculaire, avec des milliards d’informations d’identification circulant sur les marchés de la cybercriminalité. Ces informations sont ensuite revendues à des groupes de rançongiciel, à des courtiers d’accès initial et à des acteurs étatiques.

Les données révèlent un changement crucial dans la cible. Plus de 75 % des informations d’identification compromises sont liées à des services à haute valeur tels que les plateformes cloud métier (19,6 %), les systèmes CMS (18,7 %), les services de messagerie électronique (15,3 %) et les systèmes d’authentification (12,9 %).

Cette concentration met en évidence une stratégie claire : les attaquants donnent la priorité aux plateformes qui permettent le mouvement latéral et la compromission complète de l’organisation.

macOS n’est plus en sécurité : une augmentation de 7 000 %

L’une des découvertes les plus frappantes est l’effondrement des hypothèses longtemps tenues sur la sécurité des plateformes.

Les infections macOS ont augmenté de moins de 1 000 cas en 2024 à plus de 70 000 en 2025, représentant une augmentation de 7 000 %.

Cette explosion est alimentée par la commercialisation des services de logiciels malveillants, en particulier des outils comme Atomic Stealer, qui permettent même aux attaquants peu expérimentés de cibler les appareils Apple (AAPL ) à grande échelle.

L’implication est claire : aucune plateforme n’est désormais inhéremment sûre. Les attaquants suivent la valeur, et les écosystèmes Apple sont maintenant fermement dans leur viseur.

L’IA devient la nouvelle surface d’attaque

Le changement le plus important décrit dans le rapport est l’intégration profonde de l’IA dans le cycle de vie de l’attaque.

KELA identifie une transition des attaques assistées par l’IA à des opérations entièrement autonomes et basées sur des agents, où 80 % à 90 % des tâches peuvent être exécutées avec une implication humaine minimale.

Un concept clé émergeant de ce changement est le « hacking de l’ambiance ». Au lieu de casser les systèmes IA, les attaquants les manipulent en présentant des actions malveillantes comme des tâches légitimes. Cela permet aux agents IA d’exécuter des opérations nuisibles sans déclencher les mécanismes de sécurité.

Le rapport met également en évidence des cas réels où des systèmes IA ont été compromis par l’injection de requêtes et la manipulation indirecte. Dans un cas, des agents IA autonomes ont mené des reconnaissances, développé des codes d’exploitation et exécuté des attaques sur plusieurs cibles avec une surveillance humaine limitée.

Ceci marque un changement fondamental. L’IA n’est plus seulement un outil pour les attaquants, c’est à la fois une arme et une cible.

Le rançongiciel évolue en une extorsion à grande échelle

Le rançongiciel n’est plus une simple tactique, mais un modèle d’entreprise à part entière.

La plupart des attaques s’appuient désormais sur une double extorsion, combinant le vol de données et le cryptage. Cependant, les attaques d’extorsion uniquement sont également en augmentation, où les attaquants sautent le cryptage entièrement et se concentrent sur le vol et la monétisation de données sensibles.

L’écosystème est très compétitif. Le groupe le plus important, Qilin, a revendiqué plus de 1 100 victimes, suivi par Akira avec 761 victimes et Clop avec 523 victimes.

Ces groupes s’appuient de plus en plus sur des informations d’identification volées plutôt que sur des exploits techniques, achetant souvent l’accès à des courtiers souterrains pour accélérer les attaques.

L’impact économique est stupéfiant. Une seule faille chez Jaguar Land Rover a entraîné 2,5 milliards de dollars de dégâts économiques, y compris des arrêts de production et des perturbations de la chaîne d’approvisionnement affectant des milliers d’entreprises.

Le hacktivisme et la géopolitique intensifient les menaces cybernétiques

La cybercriminalité est de plus en plus liée aux conflits mondiaux.

L’activité des hacktivistes a augmenté de 400 % d’une année sur l’autre, avec plus de 3 500 attaques DDoS revendiquées et plus de 250 nouveaux groupes émergents en 2025.

Ces groupes ne se limitent plus aux défigurations de sites Web. Ils ciblent l’infrastructure critique, la technologie opérationnelle et les systèmes industriels, créant des conséquences réelles dans le monde.

En même temps, les acteurs étatiques utilisent les opérations cybernétiques comme un outil central de la stratégie géopolitique. Les campagnes liées aux tensions Russie-Ukraine, Israël-Iran, États-Unis-Chine et Corée du Nord démontrent comment la cyberguerre s’étend maintenant à l’espionnage, la perturbation et les opérations financières.

Les attaques de la chaîne d’approvisionnement et l’effondrement de la confiance

Une autre tendance définissante est la montée en puissance des attaques de la chaîne d’approvisionnement.

Au lieu de cibler des organisations individuelles, les attaquants compromettent les fournisseurs, les plateformes SaaS et l’infrastructure partagée pour accéder à des milliers de victimes en aval.

Dans un cas, une attaque SaaS-SaaS a permis aux attaquants de basculer dans les environnements Salesforce (CRM ) de plusieurs sociétés en utilisant des jetons OAuth volés, contournant ainsi les contrôles de sécurité traditionnels entièrement.

Ceci reflète un changement plus large. Le modèle de confiance par défaut devient une responsabilité, car les attaquants exploitent les relations entre les systèmes plutôt que les systèmes eux-mêmes.

Exploitation des failles zero-day et la fin de la fenêtre de correction

Le rapport met également en évidence l’industrialisation de l’exploitation des vulnérabilités.

En 2025, 238 vulnérabilités ont été ajoutées au catalogue des vulnérabilités exploitées connues de CISA, contre 185 l’année précédente.

Les attaquants sont maintenant en train de monétiser les exploits plus rapidement que jamais, souvent dans les jours ou même les heures suivant la divulgation. Les marchés souterrains vendent de plus en plus des kits d’exploitation entièrement armés plutôt que de simples codes de preuve de concept, abaissant la barrière pour une exploitation de masse.

Une nouvelle réalité de la cybersécurité

Les constatations du rapport de KELA sur l’état de la cybercriminalité 2026 : Menaces émergentes et prévisions font une chose claire : la cybersécurité entre dans une nouvelle ère.

L’identité est désormais la principale surface d’attaque. L’IA est à la fois un outil et une vulnérabilité. Les relations de confiance entre les systèmes sont utilisées comme arme. Et la vitesse des attaques s’accélère au-delà des limites des modèles de défense traditionnels.

Les organisations qui continuent à s’appuyer sur les approches de sécurité traditionnelles sont de plus en plus exposées. Le passage à une sécurité basée sur l’identité, à des architectures de confiance zéro et à des défenses conscientes de l’IA n’est plus optionnel.

Pour une analyse plus approfondie des acteurs menaçants, des méthodologies d’attaque et des recommandations stratégiques, le rapport complet, L’état de la cybercriminalité 2026 : Menaces émergentes et prévisions par KELA, fournit une vue complète de l’évolution du paysage de la cybercriminalité et de la direction qu’il prendra ensuite.