Le Rapport annuel sur la sécurité des données (DBIR) 2026 de Verizon Cela marque un véritable tournant dans les modes opératoires des violations : l'exploitation des vulnérabilités est désormais le principal point d'entrée, à l'origine de 31% des violations. Le vol d'identifiants a reculé à 13%, tandis que le phishing représentait 16%. La réponse concrète est sans appel. Si vous continuez à considérer l'application des correctifs comme une simple formalité administrative, vous défendez le modèle de violation d'hier.
Rapport DBIR 2026 de Verizon : la hiérarchie des violations de données a changé
Verizon a publié son 19e rapport annuel sur les enquêtes relatives aux fuites de données le 19 mai 2026, en s'appuyant sur les incidents recensés entre le 1er novembre 2024 et le 31 octobre 2025. L'ensemble de données est d'une ampleur inhabituelle : plus de 31 000 incidents de sécurité et plus de 22 000 violations confirmées.
SecurityWeek a indiqué que le précédent rapport DBIR recensait 12 195 violations confirmées ; le chiffre de 2026 est donc près du double par rapport à l'année précédente. Cette évolution peut s'expliquer en partie par les modalités de signalement et la couverture des partenaires, mais la tendance générale reste difficile à ignorer.
La conclusion principale est simple. Pour la première fois en 19 ans d’existence du DBIR, l’exploitation des failles logicielles a dépassé l’utilisation frauduleuse des identifiants en tant que principal point d’entrée des violations de sécurité. Les vulnérabilités ont représenté 31% des violations en 2026, tandis que l'utilisation frauduleuse d'identifiants en a représenté 13% et le phishing 16%.
Cela ne signifie pas pour autant que les mots de passe ont perdu de leur importance. Cela signifie simplement que les pirates n’ont plus besoin d’attendre qu’un utilisateur commette une erreur, puisqu’un logiciel vulnérable leur offre un accès plus rapide. Si vos systèmes connectés à Internet ne sont pas à jour, vos contrôles d’identité risquent de protéger la mauvaise porte.
| Facteur de violation DBIR 2026 | Chiffre pour 2026 | Ce que cela signifie pour les défenseurs |
|---|---|---|
| Exploitation d'une vulnérabilité | 31% de violations | Principale voie d'accès initiale ; la latence des correctifs constitue désormais un risque au niveau de la carte. |
| Hameçonnage | 16% de violations | Cela reste un point d'accès majeur, notamment sur les appareils mobiles et les canaux de collaboration. |
| Abus de pouvoir | 13% de violations | Elle n'occupe plus la première place dans le rapport DBIR, mais reste néanmoins importante et est souvent associée à d'autres tactiques. |
| Facteur humain | 62% de violations | Les personnes continuent d'être impliquées par le biais d'erreurs, d'attaques d'ingénierie sociale, de l'utilisation d'identifiants et de retards opérationnels. |
| Intervention d'un tiers | 48% de violations | Les risques liés aux fournisseurs et l'accès des partenaires ne représentent qu'environ la moitié du problème. |
| Implication des ransomwares | 48% de violations confirmées | L'extorsion reste liée à l'accès initial, en particulier aux systèmes exposés et aux procédures de restauration insuffisantes. |
Pourquoi les failles de sécurité ont pris le pas sur les mots de passe volés
Un mot de passe volé est utile, mais une faille connue dans un produit largement déployé peut s'avérer encore plus efficace. Elle permet en effet d'agir à grande échelle. Dès qu'une preuve de concept, un scanner ou un exploit fonctionnel est disponible, les pirates peuvent cibler des milliers de cibles au lieu de duper un employé à la fois.
Le Rapport annuel sur la sécurité des données (DBIR) 2026 de Verizon indique que les cybercriminels utilisent l'IA pour accélérer l'exploitation des failles connues, réduisant ainsi les délais de réaction des systèmes de défense de plusieurs mois à quelques heures. Verizon précise également que l'IA générative est utilisée à toutes les étapes d'une attaque, notamment pour repérer les failles de sécurité et créer des logiciels malveillants.
Si l'on compare ces chiffres aux données de 2026 concernant les correctifs, le décalage est flagrant. Le délai médian nécessaire pour corriger entièrement les vulnérabilités est passé de 32 à 43 jours. Parallèlement, Verizon a recensé environ 527,3 millions de cas de vulnérabilités en 2025, contre environ 68,7 millions en 2022.
Voici le calcul concret que la plupart des résumés omettent : 527,3 millions, c'est environ 7,7 fois le chiffre de 2022. Même si votre équipe de correction avait progressé de 20% au cours de cette période, elle pourrait tout de même être en train de perdre beaucoup de terrain, car le volume des failles identifiées a augmenté bien plus rapidement.
IBM X-Force est parvenu à une conclusion similaire en abordant la question sous un angle différent, en constatant que de nombreuses attaques ne nécessitent absolument pas d'identifiants de connexion ; ce schéma est abordé dans cette analyse de Pourquoi certaines vulnérabilités ne nécessitent pas l'utilisation d'identifiants volés. Des ensembles de données différents, mais le même message dérangeant.
Quelle sera la principale cause des fuites de données en 2026 ?
Selon le Rapport annuel sur la sécurité des données (DBIR) 2026 de Verizon, l'exploitation des vulnérabilités est le principal point d'entrée des violations de données en 2026, avec 31% de violations. Le phishing arrive en deuxième position avec 16%, et l'utilisation abusive d'identifiants se situe à 13%.
Il faut toutefois faire attention à l'utilisation du terme « cause ». Les violations de sécurité sont rarement dues à une seule cause. Un périphérique de périphérie vulnérable peut permettre l'accès, un compte de service peu sécurisé peut faciliter les déplacements au sein du système, et une erreur humaine lors d'une validation peut aider l'attaquant à tirer profit de la situation.
Les chiffres de Verizon concernant le facteur humain le confirment : des personnes étaient impliquées dans 62% des incidents de sécurité. L’ingénierie sociale représentait 16% des incidents, et les simulations d’attaques par hameçonnage ou d’attaques sociales ciblant les appareils mobiles affichaient un taux de réussite médian supérieur de 40% à celui de e-mail. Le mobile n'est plus un canal secondaire.
Honnêtement, l'approche traditionnelle consistant à privilégier la formation semble aujourd'hui insuffisante. La sensibilisation est utile, mais elle ne permettra pas de corriger une passerelle VPN, de désactiver un panneau d'administration exposé ou de réparer un système fournisseur que vous ne surveillez pas.
Comment les pirates informatiques exploitent-ils aujourd'hui les failles de sécurité ?
En général, les pirates n’ont pas besoin d’une faille « zero-day » digne d’un film d’action. Le schéma le plus courant est plus banal, mais aussi plus destructeur : repérer une ressource exposée, l’associer à une vulnérabilité connue, tester si elle peut être exploitée, puis automatiser les étapes suivantes. C’est la banalité qui l’emporte à grande échelle.
Le Rapport annuel sur la sécurité des données (DBIR) 2026 de Verizon relie ce processus à l'IA générative. SC Media a rapporté que Verizon s'était associé à Anthropic pour étudier 793 acteurs malveillants distincts entre mars 2025 et février 2026. Anthropic a classé 99% des acteurs malveillants observés comme présentant un risque moyen ou faible en fonction du niveau de sophistication et de la fréquence d'utilisation de l'IA, tandis que 1% présentaient un risque élevé ou critique.
Cela peut sembler rassurant. Mais ce n'est pas tout à fait le cas. L'utilisation d'une IA peu sophistiquée peut tout de même permettre à des pirates informatiques lambda d'accélérer leurs opérations de reconnaissance, de traduction, de rédaction de messages de hameçonnage, de modification de code et de tri des vulnérabilités.
SC Media a également indiqué que les méthodes d’accès initial assistées par des modèles de langage de grande envergure (LLM) se répartissaient comme suit : hameçonnage (44%), exploitation de vulnérabilités (32%) et utilisation abusive d’identifiants (21%). SecurityWeek a indiqué que, en moyenne, les acteurs malveillants avaient étudié ou utilisé l’assistance de l’IA dans 15 techniques répertoriées, certains en utilisant même 40 ou 50.
Pour un exemple concret de vitesse et automation l'évolution de l'économie des ransomwares, voir l'analyse de JadePuffer et le rythme des attaques piloté par l'IA. Les détails varient, mais la leçon opérationnelle à en tirer est la même : la lenteur des files d'attente internes devient un atout pour les pirates.
Le déficit en matière de correctifs que personne ne peut faire externaliser
L'indicateur le plus préoccupant pour 2026 n'est peut-être pas le chiffre de 31% correspondant au nombre de points d'entrée. Il pourrait s'agir plutôt de la correction des vulnérabilités. Les organisations ont entièrement corrigé 26% de vulnérabilités connues et exploitées répertoriées par la CISA, contre 38% l'année précédente, tandis que le délai médian de correction complète est passé de 32 à 43 jours.
SC Media a indiqué que 56% de vulnérabilités KEV avaient été au moins partiellement corrigées en 2026. Le nombre de failles KEV n’ayant pas été corrigées du tout est passé de 12% à 16% d’une année sur l’autre. Les corrections partielles valent mieux que rien, mais elles sont aussi source d’une fausse sécurité.
L'un des écueils dont on parle rarement est la dépendance vis-à-vis des correctifs. Une équipe peut appliquer un correctif à l'application tout en laissant la bibliothèque vulnérable dans une image de base de conteneur, sur un hôte de préproduction oublié ou dans un appareil géré par un fournisseur. Le ticket est clôturé. La vulnérabilité persiste.
Utilisez le DBIR comme levier pour mettre en place une routine plus concise et plus rigoureuse :
- Privilégiez les ressources exposées à Internet, en particulier les VPN, les pare-feu, les systèmes d'accès à distance, l'infrastructure d'identité et les consoles de gestion.
- Il convient de distinguer les éléments CISA KEV des tâches courantes liées au carnet de commandes basées sur le CVSS, car l'existence d'une exploitation connue modifie la priorité.
- Suivez l'ensemble du processus de résolution, et pas seulement la clôture des tickets, y compris les conteneurs, les sauvegardes, les images et les instances tierces.
- Mesurez la durée d'exposition en jours, puis mettez en place une procédure d'exception pour tout dossier restant en suspens après un délai fixe.
- Testez les contrôles de compensation, car les pare-feu de segmentation et les pare-feu d'applications web perdent souvent en efficacité après leur déploiement.
Les équipes Cloud et DevOps sont particulièrement mises à contribution dans ce domaine, car les ressources apparaissent et disparaissent rapidement. Si vous êtes en train de choisir des outils, cet aperçu de plateformes de sécurité cloud destinées aux équipes DevOps d'entreprise constitue un complément utile à l'alerte du DBIR concernant la gestion des correctifs.
Les tiers, les ransomwares et le problème de l'IA
Le Rapport annuel sur la sécurité des données (DBIR) 2026 de Verizon indique que l'implication de tiers a été constatée dans 48% des incidents de sécurité, soit une hausse de 60% par rapport à l'année précédente. Cela représente près de la moitié des incidents confirmés impliquant un fournisseur, un partenaire, un prestataire de services, une dépendance logicielle ou une relation opérationnelle externe.
Les ransomwares ont également été impliqués dans 48% de violations confirmées, contre 44% l'année précédente. Le montant médian des rançons versées est passé sous la barre des $140 000 en 2026, et 31% de victimes de ransomware ont payé. Une baisse du montant médian des rançons ne signifie pas pour autant une diminution des préjudices subis par les entreprises.
On peut toutefois avancer un contre-argument : si moins de victimes cèdent, peut-être que la pression exercée par les ransomwares s'atténue. Je ne miserais pas mon plan de reprise sur cette hypothèse. La baisse des montants versés peut s'expliquer par des négociations, des changements au niveau des assurances, la présence de victimes de plus petite envergure dans l'échantillon, de meilleures sauvegardes ou encore par le fait que les attaquants répartissent leurs activités sur un plus grand nombre de cibles.
L'IA soulève un autre problème de gouvernance. Verizon a indiqué que l'utilisation par les employés d'une « IA parallèle » non approuvée avait triplé, passant de 15% à 45%, et SecurityWeek a rapporté que 67% d'utilisateurs avaient accédé à des services d'IA depuis des appareils d'entreprise en utilisant des comptes non professionnels. Des requêtes sensibles, des extraits de code, des journaux et des identifiants peuvent fuir vers des systèmes que les équipes de sécurité ne gèrent pas.
Les pirates testent également des flux de travail basés sur des agents. Si vous souhaitez en savoir plus sur la manière dont ce risque va au-delà des chatbots, lisez cette explication sur des agents d’IA militarisés par des hackers. Dans la pratique, ce contrôle ne consiste pas en une interdiction générale ; il s’agit plutôt de visibilité, d’outils approuvés et de limites strictes quant aux données pouvant être collées ou connectées.
Les entreprises qui développent leurs systèmes à l'aide de protocoles « modèle-contexte » présentent un risque supplémentaire, car les outils d'agent peuvent relier les systèmes internes de manière inattendue. Les recommandations concernant sécurisation des serveurs MCP Cela s'inscrit parfaitement dans le cadre de l'avertissement plus général formulé par le DBIR concernant les vecteurs d'attaque impliquant des tiers et assistés par l'IA.
Quels changements devriez-vous apporter après avoir lu le rapport DBIR ?
Le Rapport annuel sur la sécurité des données (DBIR) 2026 de Verizon Il faudrait rapprocher la gestion des vulnérabilités de la réponse aux incidents, plutôt que de la laisser reléguée au second plan dans le cadre de la conformité. Une réunion mensuelle consacrée aux correctifs est trop lente alors que, selon Verizon, les délais de défense passent de plusieurs mois à quelques heures.
Commencez par recenser les points d'exposition, et non par viser la perfection de votre inventaire. Vous devez savoir quels systèmes sont accessibles depuis Internet, lesquels gèrent l'authentification, lesquels sont gérés par des tiers et lesquels présentent des vulnérabilités connues ayant déjà fait l'objet d'exploits. Les bases de données d'actifs parfaites sont rares. Il est toutefois possible d'en créer qui soient utiles.
Les responsables de la sécurité devraient également cesser de considérer le phishing, les identifiants et les vulnérabilités comme des postes budgétaires distincts. En effet, ces éléments se combinent dans les attaques réelles. Un message de phishing sur mobile peut permettre de voler une authentification à plusieurs facteurs (MFA) jeton, un appareil vulnérable peut permettre d'obtenir un accès initial, et la réutilisation d'identifiants d'administrateur peut transformer cette prise de contrôle en attaque par ransomware.
Pour les entreprises en pleine croissance, l’ordre des étapes est important : il faut d’abord colmater les failles externes évidentes, puis formaliser les contrôles d’identité, et enfin perfectionner les mécanismes de détection et de réaction. L’équilibre varie en fonction des effectifs et de l’architecture, c’est pourquoi ce guide sur comment les priorités en matière de sécurité évoluent à mesure que les organisations se développent est un choix judicieux pour votre prochaine lecture.
Mon point de vue : l'indicateur clé pour 2026 n'est pas le « nombre de vulnérabilités corrigées », mais le « nombre de jours d'exposition à des risques d'exploitation sur les systèmes critiques ». Ce simple changement de perspective fait passer le débat de l'activité au risque.
FAQ
Qu'est-ce que le rapport DBIR 2026 de Verizon ?
Le rapport DBIR 2026 de Verizon est le 19e rapport annuel de Verizon sur les enquêtes relatives aux fuites de données, publié le 19 mai 2026. Il analyse les incidents survenus entre le 1er novembre 2024 et le 31 octobre 2025.
Quelle a été la principale conclusion du rapport DBIR 2026 ?
La principale conclusion est que l'exploitation des vulnérabilités est devenue, pour la première fois en 19 ans d'existence du rapport, le principal vecteur d'intrusion. Elle représentait 31% des intrusions.
Le vol de mots de passe représente-t-il toujours un risque majeur de violation de données ?
Oui. L'utilisation frauduleuse d'identifiants a représenté 13% des violations de sécurité en 2026 ; elle reste donc un problème important, même si elle n'occupe plus la première place. Une authentification multifactorielle (MFA) solide, une bonne gestion des mots de passe et la détection des menaces restent essentielles.
Dans quels délais les entreprises doivent-elles corriger les failles de sécurité connues qui font l'objet d'attaques ?
Le rapport DBIR montre pourquoi il vaut mieux agir rapidement : le délai médian de correction complète est passé à 43 jours en 2026, alors que les pirates utilisent l'IA pour réduire les fenêtres d'exploitation. Les vulnérabilités connues et exploitées doivent être traitées en urgence, en particulier sur les systèmes connectés à Internet.
Les attaques par ransomware ont-elles diminué selon le rapport DBIR 2026 de Verizon ?
Non. Les ransomwares ont été impliqués dans 48% de violations confirmées en 2026, contre 44% l'année précédente. Le montant médian des rançons versées est passé sous la barre des $140 000, mais la fréquence des incidents est restée très élevée.
FR 
EN 
ES