Quand l'attaquant se connecte : identités et accès en PME

« Les attaquants ne cassent plus les systèmes pour rentrer. Ils se loguent. » C’est le titre d’un article de L’Usine Digitale sur la doctrine cyber d’Airbus, repéré le 14 septembre 2026. D’après l’extrait diffusé, le groupe repense sa défense autour du zero trust, des identités et de sa chaîne d’approvisionnement.

Précision : nous n’avons pas pu lire cet article, le site bloque la consultation automatisée. Nous ignorons qui s’y exprime et quelles mesures y figurent, et n’en prêtons donc aucune à Airbus. Ce que nous avons vérifié tient en deux prises de parole du groupe et deux rapports qui permettent de juger la formule.

Ce qu’Airbus a dit, et où

En mars 2026, Pascal Andrei, directeur de la sûreté (CSO) d’Airbus, répondait à Help Net Security. Les grands donneurs d’ordres ayant durci leur périmètre, les angles morts ont selon lui « migré profondément dans les sous-traitants de rang inférieur » (notre traduction), que des attaquants utilisent comme points de rebond. Sa réponse est organisationnelle : rapprocher sûreté, achats et métiers pour fixer ce que le groupe exige de ses fournisseurs.

Le 10 septembre 2026, aux Universités d’été de la cybersécurité et du cloud de confiance, à Station F, Séverine Meunier, directrice de campagne stratégique Défense et Sécurité chez Airbus Defence and Space, prévenait sur le plateau d’IT for Business qu’il faudrait gérer « des milliers, voire des millions d’identités non humaines » : des identités machines capables d’accéder aux données et de déclencher des actions.

Deux voix, deux sujets : les fournisseurs, les identités. C’est cohérent avec le titre. Ça ne le démontre pas.

Une formule à moitié juste

Le rapport annuel de Verizon sur les violations de données (DBIR 2026, publié en mai, incidents du 1er novembre 2024 au 31 octobre 2025) corrige utilement le slogan. Premier point d’entrée des violations étudiées : l’exploitation de vulnérabilités, à 31 %, contre 20 % un an plus tôt. L’abus d’identifiants recule à 13 %, contre 22 %.

Une partie de cette baisse tient à la méthode : le rapport isole cette année le prétexte (la manipulation de la victime en direct, au téléphone par exemple), qui recoupe souvent l’abus d’identifiants. À méthode constante, celui-ci serait à 16 %. Et si l’on compte les identifiants volés à n’importe quelle étape de l’attaque, pas seulement à l’entrée, ils restent en tête avec 39 %.

Les attaquants entrent donc souvent par une faille. Ensuite, ils se connectent.

Les deux chantiers vont ensemble. Le même rapport relève que 26 % seulement des vulnérabilités que l’agence américaine CISA recense comme activement exploitées ont été entièrement corrigées en 2025, avec un délai médian de 43 jours.

Ce que l’ANSSI a constaté en France

Le Panorama de la cybermenace 2025 de l’ANSSI, publié le 11 mars 2026, décrit ces mécanismes sur des cas français. Dans de nombreux incidents, les attaquants se sont introduits par des comptes VPN dépourvus d’authentification forte, du simple compte utilisateur au compte d’un prestataire, avant de déployer un rançongiciel.

L’agence relate aussi la compromission d’un prestataire de nombreuses entités françaises : avec des authentifiants volés et les interconnexions existantes, l’attaquant s’est propagé chez plusieurs clients. Entre janvier et juin 2025, elle a observé des rançongiciels chez plusieurs industriels de la chaîne d’approvisionnement de la défense, dont des fabricants liés à l’aéronautique, et y voit une raison d’identifier les sous-traitants essentiels pour les aider à se sécuriser.

Sur la double authentification, deux constats. Des attaquants la contournent en bombardant la victime de demandes jusqu’à ce qu’elle accepte, ou en détournant sa ligne téléphonique. Et si le poste de l’utilisateur est compromis, rappelle l’ANSSI, elle n’arrête pas l’attaquant, qui emprunte la session légitime. L’agence note aussi le recours récurrent aux logiciels voleurs d’informations (infostealers), qui collectent les identifiants enregistrés dans le navigateur, et jusqu’aux cookies de session.

La place de l’IA

Le DBIR 2026 exploite des données fournies par Anthropic : l’attaquant médian a demandé l’aide d’une IA pour 15 techniques d’attaque distinctes, et l’hameçonnage pèse 44 % des techniques d’accès initial assistées. Verizon tempère aussitôt. Dans ses propres incidents, la part de l’hameçonnage comme point d’entrée a à peine bougé en quelques années, signe possible que l’IA n’en augmente pas le taux de réussite contre les organisations étudiées.

L’autre versant vous concerne. Chaque assistant branché sur votre messagerie ou votre CRM reçoit un compte ou un jeton : une identité non humaine de plus, à traiter comme les autres. Nous avons détaillé quels droits donner à un agent IA.

Ce qu’une PME peut verrouiller

Pas besoin d’une doctrine. Une liste suffit.

Inventoriez les comptes accessibles depuis l’extérieur : VPN, messagerie, consoles d’administration, logiciels métier en ligne. Fermez ceux des anciens salariés et prestataires. Un compte oublié ne déclenche aucune alerte le jour où il resert.
Séparez les comptes d’administration des comptes du quotidien. Un administrateur qui lit ses courriels avec ses droits offre les deux à qui piège le courriel.
Exigez la double authentification sur tout accès exposé, résistante à l’hameçonnage pour les comptes sensibles. La CISA place les méthodes FIDO/WebAuthn (clés de sécurité physiques notamment) au sommet de son classement, et rappelle que les notifications à valider se prêtent au bombardement, les SMS au détournement de ligne. Commencez par les administrateurs et la direction.
Donnez aux prestataires des comptes nominatifs, protégés, limités dans le temps et journalisés. Jamais le compte administrateur partagé « pour dépanner ». Écrivez-le dans le contrat, comme pour les fuites qui passent par un prestataire.
Regardez les connexions. Les principales suites bureautiques en ligne conservent un journal : pays inhabituel, nouvel appareil d’authentification, règle de transfert de courriels apparue sans raison. Désignez qui reçoit ces alertes et sait quoi en faire.
Proscrivez l’enregistrement des mots de passe professionnels dans un navigateur personnel. L’ANSSI relève l’absence de cloisonnement entre usages personnels et professionnels face aux infostealers.
Appliquez les correctifs de vos équipements exposés, VPN en tête : chez Verizon, près d’une violation sur trois commence par une faille exploitée.

Nous revenons dans un article distinct sur l’affaire ShinyHunters et les passkeys de Microsoft 365.

Reconnaître la fausse page de connexion ou le faux appel du support est l’objet de notre formation Cybersécurité pour tous ; nos autres parcours figurent sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Une question à poser dès demain à votre prestataire informatique : combien de comptes ont des droits d’administrateur chez nous, et à qui appartiennent-ils ? S’il répond de mémoire, la liste n’existe pas.

Sources

L’Usine Digitale, « “Les attaquants ne cassent plus les systèmes pour rentrer. Ils se loguent” : Airbus revoit en profondeur sa doctrine cyber », repéré par alerte le 14 septembre 2026. Non lu (accès bloqué) : seuls le titre et l’extrait de l’alerte sont utilisés.
Help Net Security, entretien avec Pascal Andrei, CSO d’Airbus, 10 mars 2026.
IT for Business, « UECC 2026 : La Grande Emission Live », 10 septembre 2026.
Verizon, 2026 Data Breach Investigations Report, mai 2026.
ANSSI / CERT-FR, Panorama de la cybermenace 2025, CERTFR-2026-CTI-002, 11 mars 2026.
CISA, Implementing Phishing-Resistant MFA, octobre 2022.