Les attaquants ne s'introduisent pas par effraction, ils se connectent : le basculement des menaces identitaires en 2026

Une phrase marquante résume les rapports d'incidents de 2026 : les attaquants ne se sont pas introduits par effraction, ils se sont connectés. Dans les grandes violations de données de cette année, le point d'entrée était très majoritairement une personne munie d'identifiants valides (un jeton SSO hameçonné, un appel d'ingénierie sociale au support technique, un mot de passe réutilisé), plutôt qu'une faille logicielle exploitée. L'identité est devenue le périmètre.

Pourquoi ce basculement s'est produit

Deux évolutions se sont conjuguées :

• Les identifiants sont abondants et bon marché. Des années de violations de données ont mis en circulation des milliards de combinaisons nom d'utilisateur et mot de passe, réutilisées à grande échelle via le credential stuffing.
• Les défenses se sont renforcées ailleurs. L'exploitation de failles logicielles étant devenue plus difficile et plus coûteuse, se connecter avec des identifiants légitimes est devenu la voie de moindre résistance.

Résultat : vos points d'authentification sont désormais la première ligne de défense.

Les attaques identitaires se déguisent en utilisateurs normaux

La difficulté, c'est qu'un attaquant connecté ressemble à un client. Il a le bon mot de passe, parfois même une invite MFA valide qu'il a hameçonnée. Ce qui diffère souvent, c'est le contexte, et le signal contextuel le plus fiable dont vous disposez à la connexion est l'adresse IP.

Une connexion est plus risquée lorsqu'elle provient :

• d'un VPN, d'un proxy ou d'un nœud de sortie Tor anonymisant qui masque l'origine ;
• d'un proxy résidentiel qui tourne sur de nombreux foyers (cas classique de credential stuffing) ;
• d'une adresse à faible réputation avec un historique d'abus, voir qu'est-ce que la réputation IP ;
• d'une localisation ou d'un réseau très incohérent avec l'historique du compte.

Défendre l'identité avec des signaux basés sur le risque

La méthode moderne est l'authentification basée sur le risque : ne pas challenger tout le monde, mais cibler les connexions risquées.

1. Évaluer chaque authentification. Vérifiez l'IP pour détecter les signaux d'anonymisation et de réputation via la vérification de réputation IP ou combinez-les en un score de fraude IP.
2. Renforcer la vérification en cas de risque. Déclenchez le MFA, une vérification par e-mail/téléphone ou un contrôle d'appareil lorsque le score dépasse un seuil.
3. Surveiller les sessions, pas seulement les connexions. Le vol de jeton signifie que le moment risqué peut survenir après l'authentification ; revérifiez le contexte lors des actions sensibles.
4. Limiter le taux de requêtes par compte et par appareil. Comme les attaquants font tourner leurs IP, ancrez les limites au compte et à l'empreinte de l'appareil.

Le MFA est nécessaire, mais pas suffisant

Le MFA bloque beaucoup d'attaques, mais 2026 a montré clairement que les attaquants hameçonnent les invites MFA et détournent des sessions actives. Ajouter des signaux de risque IP crée une friction précisément quand quelque chose semble anormal, ce qui permet de détecter le vol de jetons et le détournement de session qu'un simple contrôle mot de passe plus MFA laisserait passer. Pour le détail sur la prise de contrôle de compte, voir comment prévenir la prise de contrôle de compte avec la détection IP.

En résumé

Si les attaquants se connectent au lieu de s'introduire par effraction, c'est au niveau de la connexion qu'il faut se défendre. Traitez l'identité comme le périmètre : évaluez chaque authentification avec la réputation IP et les signaux d'anonymisation, renforcez la vérification en cas de risque, et ancrez les limites de débit aux comptes et aux appareils, pas seulement aux IP.

Source : analyse des incidents 2026 via le récapitulatif des violations de données de PrivacyGuides.