CrowdStrike alerte sur des cyberattaques plus furtives, accélérées par l'IA - Le Monde Informatique

Comptes compromis, IA générative, cloud et chaînes logicielles, les attaquants exploitent désormais les écosystèmes numériques de confiance pour rester invisibles et accélérer leurs opérations.

L’époque où une attaque informatique se repérait principalement grâce à un malware semble révolue. Selon le Threat Hunting Report 2026 de CrowdStrike, les cybercriminels misent désormais sur des approches plus discrètes. Ils exploitent des comptes légitimes, des applications SaaS ou des infrastructures cloud pour se fondre dans l’activité normale des entreprises. Le rapport décrit un changement profond des modes opératoires. Les attaquants ne cherchent plus uniquement à déposer du code malveillant dans les systèmes. Ils détournent aussi les outils existants et les identités numériques déjà utilisées par les collaborateurs. Une évolution qui rend les attaques plus difficiles à détecter et complique la tâche des équipes de sécurité. L’un des principaux enseignements du rapport concerne la montée en puissance de l’IA dans les opérations offensives. Selon CrowdStrike, le nombre d’attaques impliquant des capacités IA a progressé de 89 %. Les attaquants utilisent ces outils pour automatiser la reconnaissance, cibler plus efficacement leurs victimes et accélérer les opérations d’intrusion. 

L’IA ouvre également un nouveau front de risque pour les entreprises. Plus de 90 entreprises auraient déjà été confrontées au détournement d’outils IA légitimes. Les attaquants exploitent notamment des techniques d’injection de prompts pour manipuler les modèles, contourner leurs protections ou extraire des informations sensibles. Cette accélération se retrouve aussi dans l’exploitation des vulnérabilités. Les groupes malveillants peuvent désormais analyser plus rapidement les failles publiées, générer des preuves de concept (PoC) et préparer leurs scénarios d’attaque. Entre janvier et juin 2026, 88 % des exploitations de vulnérabilités disposant d’un PoC public observées par CrowdStrike auraient été réalisées dans les 48 heures suivant sa publication. Certains groupes liés à la Chine seraient même passés à l’action en moins de 24 heures après la divulgation d’une vulnérabilité critique affectant une application web. Pour les équipes de défense, cette accélération réduit considérablement le temps disponible pour appliquer des correctifs et sécuriser les systèmes exposés.

La chaîne logicielle devient une cible stratégique

Les chaînes d’approvisionnement logicielles occupent également une place croissante dans les stratégies des attaquants. Les environnements de développement, les pipelines CI/CD, les registres de paquets, les extensions IDE et les dépendances open source sont devenus des points d’entrée privilégiés. Le gestionnaire de paquets npm (Node Package Manager) concentre une grande partie des menaces visant les registres logiciels malveillants. CrowdStrike estime qu’il représente 87 % des attaques observées sur ce type de plateforme au premier semestre 2026. Deux groupes illustrent cette tendance : STARDUST CHOLLIMA et ALTERED SPIDER. Ce dernier aurait notamment compromis plus de 300 dépendances logicielles en une seule journée, permettant la récupération d’identifiants avant une progression vers des environnements cloud. Avec l’intégration croissante de l’IA dans les cycles de développement, CrowdStrike estime que les écosystèmes IA pourraient devenir un nouveau terrain majeur de confrontation autour de la sécurité des chaînes logicielles.

Les secteurs technologiques et financiers sous pression

Pour la neuvième année consécutive, le secteur technologique reste la principale cible des cyberattaques. CrowdStrike observe une progression de 5 % des intrusions visant ces entreprises, qui concentrent des données stratégiques et occupent une position centrale dans les chaînes numériques mondiales. Les organisations technologiques représentent également des cibles de choix pour les attaquants cherchant à atteindre indirectement leurs clients ou partenaires. Les campagnes observées dans ce secteur proviennent à la fois d’acteurs étatiques et de groupes criminels : 59 % des intrusions seraient attribuées à des groupes liés à des États-nations, contre 41 % à des acteurs eCrime.

Le secteur financier connaît lui aussi une progression significative, avec une hausse de 11 % des intrusions. Il attire autant les cybercriminels motivés par des gains financiers directs que les groupes étatiques intéressés par les données sensibles et les infrastructures financières. Autre évolution notable, le secteur académique enregistre la plus forte progression des intrusions, avec une hausse de 17 % sur un an.

Cloud et identités, les nouveaux fronts de bataille

Cette pression sur les secteurs stratégiques s’accompagne d’un déplacement du terrain d’attaque vers les infrastructures essentielles au fonctionnement des entreprises. Les environnements cloud et les identités numériques deviennent ainsi des cibles privilégiées. CrowdStrike fait état d’une hausse de 171 % des activités cybercriminelles visant les infrastructures cloud. Les attaquants combinent plusieurs méthodes, comme le vol d’identifiants, le cryptominage, le détournement de modèles de langage ou encore la récupération d’actifs numériques. Le rapport souligne également la progression du vishing, ou hameçonnage vocal, dont le volume aurait doublé au premier semestre 2026.