D’après une étude Sophos, 71 % des organisations ont subi au moins une compromission liée aux identités l’année dernière

Sophos, un leader mondial de la cybersécurité, annonce  la publication de son rapport State of Identity Security 2026, une étude indépendante menée auprès de 5 000 responsables de l’informatique et de la cybersécurité dans 17 pays. D’après cette étude, 71 % des organisations ont été victimes d’au moins une compromission liée aux identités l’an dernier, et elles ont signalé en moyenne trois incidents distincts. Par ailleurs, les compromissions répétées ont atteint un niveau élevé, 5 % des organisations faisant même état de six incidents, voire plus. Les erreurs humaines et la mauvaise gestion des identités non humaines constituent la principale cause de ces attaques, un problème qui s’aggrave rapidement avec l’accélération des capacités d’IA agentique.

Deux tiers (67 %) des victimes de ransomwares ayant participé à cette étude déclarent que l’incident qu’elles ont subi provenait d’une attaque liée aux identités, établissant ainsi la compromission d’identité comme un vecteur de propagation majeur des ransomwares. Les chercheurs de Sophos X-Ops ont observé cette tendance de façon constante au cours de l’année écoulée. Les conséquences financières sont lourdes : le coût moyen de rétablissement a atteint 1,64 million de dollars, avec un coût médian de 750 000 dollars, et 73 % des organisations touchées ont fait face à des coûts d’au moins 250 000 dollars.

« L’identité est devenue la principale surface d’attaque de la cybersécurité moderne, et ces données montrent que la plupart des organisations perdent du terrain », confie Ross McKerchar, Chief Information Security Officer chez Sophos. « Le problème des identités non humaines est particulièrement urgent. Les agents IA se voient accorder des privilèges à une cadence que les équipes de sécurité sont incapables de suivre, et les organisations qui ne prennent pas les devants verront cet écart de plus en plus coûteux à combler. »

Les autres principales conclusions du rapport State of Identity Security 2026 sont :

• Le vol de données et le vol financier sont les premières conséquences des compromissions : 10 % des organisations ont signalé une compromission liée aux identités ayant eu un impact sur leurs activités au cours de l’année écoulée, les principales conséquences étant le vol de données (49 %), les ransomwares (48 %) et le vol financier (47 %).
• La visibilité demeure un point faible critique : seulement 24 % des organisations surveillent en permanence les tentatives de connexion inhabituelles, et plus de la moitié effectue des vérifications tous les trois mois ou moins.
• Les lacunes en matière de détection persistent : 14 % des organisations compromises n’ont pas été en mesure de détecter et de neutraliser leur attaque d’identité la plus significative avant qu’elle ne cause des dommages. En outre, les petites entreprises (100 à 250 employés) sont quasiment deux fois moins susceptibles de détecter les attaques que leurs homologues de taille moyenne.
• Les infrastructures critiques sont les plus exposées : les secteurs de l’énergie, du pétrole et du gaz, et des services publics (80 %), ainsi que les administrations publiques (78 %) ont affiché les taux de compromission les plus élevés de l’ensemble des secteurs étudiés.
• Les difficultés de mise en conformité élargissent le risque : les organisations qui considèrent les exigences de conformité comme très contraignantes affichent un taux de compromission de 82,4 %, soit 14 points de pourcentage de plus que celles qui rencontrent moins de difficultés en matière de conformité (68,3 %).

Les erreurs humaines, qui se produisent lorsque des employés sont incités à divulguer leurs identifiants, ont été citées dans près de 43 % des incidents. Les mauvaises pratiques de gestion des identités non humaines, telles que le stockage de clés API dans le code, l’utilisation d’identifiants statiques et la conservation de comptes de service orphelins, ont été citées dans 41 % des cas. Les organisations dont la gestion des identités non humaines est faible ont 22 % plus de risques d’être victimes d’un vol financier et dépensent environ 150 000 dollars de plus que la moyenne pour se remettre d’un incident.

Aujourd’hui, le problème de la gestion des identités non humaines s’aggrave. Les agents d’IA sont capables de déployer des sous-agents de façon autonome, chacun générant de nouveaux identifiants avec un accès étendu et persistant, et une supervision humaine irrégulière. Les cadres existants de gestion des identités n’ont pas été conçus à cette fin, et les organisations sont déjà à la traîne : seule une organisation sur trois effectue régulièrement une rotation ou un audit des comptes de service et des identités non humaines, et seulement 11 % le font de manière continue.

Recommandations pour réduire les risques liés aux identités

Pour réduire leur exposition aux attaques liées aux identités, les organisations doivent mettre en place une approche multi-niveaux couvrant à la fois les identités humaines et non humaines. Parmi les mesures essentielles figurent l’application de l’authentification multifacteur (MFA) pour tous les comptes utilisateurs, le respect du principe du moindre privilège pour les accès, ainsi que la désactivation ou la suppression rapide des identités inactives. 

Concernant les identités non humaines, les organisations doivent être en mesure de recenser et catégoriser toutes ces identités, de remplacer les identifiants de longue durée par des alternatives de courte durée, et de déployer des plateformes de gestion des secrets pour pouvoir gérer les identifiants des identités non humaines à grande échelle. Alors que l’IA agentique accélère la prolifération des identités non humaines, le déploiement de capacités de détection et de réponse aux menaces liées aux identités (Identity Threat Detection and Response, ITDR) et l’adoption d’un modèle de sécurité Zero Trust constituent des mesures de défense de plus en plus cruciales.

Méthodologie

Le rapport State of Identity Security 2026 est le résultat d’une étude indépendante menée au premier trimestre 2026 auprès de 5 000 responsables de l’informatique et de la cybersécurité dans 17 pays, dont les États-Unis, le Royaume-Uni, l’Allemagne, la France, l’Australie, le Japon, l’Inde et le Brésil. Les organisations interrogées comptent entre 100 et 5 000 employés et sont évoluent dans 14 secteurs d’activité. Pour accéder au rapport complet, veuillez consulter : https://www.sophos.com/en-us/resources/report/the-state-of-identity-security-2026