Cyberattaques : l’IA et le cloud accélèrent les assauts

Les cybercriminels ont changé de méthode, et cela complique sérieusement la défense. Dans son Threat Hunting Report 2026, CrowdStrike décrit des attaques qui s’appuient moins sur du malware visible que sur des comptes compromis, des applications SaaS et des infrastructures cloud. Le rapport, fondé sur des observations entre juillet 2025 et juin 2026, montre aussi une montée nette de l’IA dans les opérations offensives. Résultat : les intrusions se fondent davantage dans l’activité normale des entreprises, avec des délais de réaction plus courts pour les défenseurs.

Des intrusions plus discrètes, donc plus pénibles à bloquer

Le cœur du constat est assez simple : les attaquants cherchent désormais à ressembler à des utilisateurs ordinaires. CrowdStrike explique qu’ils exploitent des identités numériques déjà en place, plutôt que de déposer systématiquement du code malveillant. Cette approche brouille les signaux classiques de détection. Elle oblige les équipes sécurité à surveiller autant les accès, les usages cloud et les outils collaboratifs que les fichiers suspects. Pas très élégant, mais terriblement efficace pour les assaillants.

Le rapport souligne aussi un changement dans la temporalité des attaques. Entre janvier et juin 2026, 88 % des exploitations de vulnérabilités disposant d’un PoC public observées par CrowdStrike auraient eu lieu dans les 48 heures suivant la publication du correctif ou de la preuve de concept. Dans certains cas, des groupes liés à la Chine seraient même passés à l’action en moins de 24 heures après la divulgation d’une faille critique [à vérifier]. Pour les entreprises, le temps laissé pour patcher se réduit à vue d’œil.

L’IA sert désormais aussi à attaquer

Selon CrowdStrike, le nombre d’attaques impliquant des capacités IA a progressé de 89 %. Les cybercriminels s’en servent pour automatiser la reconnaissance, cibler plus vite leurs victimes et accélérer la phase d’intrusion. Le rapport signale aussi plus de 90 entreprises déjà confrontées au détournement d’outils IA légitimes. Les techniques évoquées vont de l’injection de prompts à la tentative d’extraction d’informations sensibles. En clair, l’IA n’est plus seulement un sujet de productivité ; elle devient aussi un outil d’attaque.

Cette bascule touche également les environnements de développement. CrowdStrike décrit une accélération de l’analyse des failles publiques, de la génération de preuves de concept et de la préparation des scénarios d’attaque. Les chaînes logicielles, souvent considérées comme un sujet de fond un peu aride, montent ainsi sur le devant de la scène sécurité. Les pirates aiment les accès indirects ; les dépendances logicielles leur offrent justement une porte discrète.

La chaîne logicielle et le cloud dans le viseur

Les environnements de développement, les pipelines CI/CD, les registres de paquets, les extensions IDE et les dépendances open source deviennent des points d’entrée privilégiés. CrowdStrike estime que npm concentre 87 % des attaques observées sur les registres logiciels malveillants au premier semestre 2026. Le rapport cite aussi les groupes STARDUST CHOLLIMA et ALTERED SPIDER. Ce dernier aurait compromis plus de 300 dépendances logicielles en une seule journée, avec à la clé une récupération d’identifiants puis une progression vers le cloud.

Le cloud reste de son côté un terrain de pression en forte hausse. CrowdStrike fait état d’une progression de 171 % des activités cybercriminelles visant ces infrastructures. Les méthodes recensées vont du vol d’identifiants au cryptominage, en passant par le détournement de modèles de langage et la récupération d’actifs numériques. Le vishing, ou hameçonnage vocal, a lui aussi doublé au premier semestre 2026 selon le rapport, signe que l’attaque technique et l’attaque sociale avancent souvent ensemble.

Finance, tech et académique sous tension

Le secteur technologique reste la première cible pour la neuvième année consécutive, avec une hausse de 5 % des intrusions observées par CrowdStrike. Les entreprises tech concentrent des données stratégiques et occupent une place centrale dans les chaînes numériques mondiales, ce qui en fait aussi des points d’entrée vers leurs clients et partenaires. Le rapport indique que 59 % des intrusions dans ce secteur seraient attribuées à des groupes liés à des États-nations, contre 41 % à des acteurs eCrime.

La finance suit la même trajectoire, avec une hausse de 11 % des intrusions. Là encore, les motivations se mélangent : gain financier direct, accès à des données sensibles, ou intérêt pour les infrastructures elles-mêmes. Le secteur académique enregistre de son côté la plus forte progression, à +17 % sur un an. Ces chiffres montrent un déplacement clair : les attaquants visent les lieux où circulent les identités, les données et les dépendances critiques, pas seulement les machines les plus visibles.