Cybersécurité en 2026 : 5 tendances majeures à anticiper

L’intelligence artificielle transforme les méthodes des attaquants, mais elle n’a pas fait disparaître les techniques plus anciennes. Les campagnes de phishing, les vols d’identifiants, l’exploitation de systèmes non corrigés et les rançongiciels restent au cœur de la menace.

L’évolution la plus importante vient de leur industrialisation. Un attaquant peut automatiser la rédaction de messages crédibles, exploiter un accès acheté à un intermédiaire ou rebondir depuis un prestataire compromis. Une seule faiblesse peut alors affecter plusieurs organisations liées par les mêmes logiciels, services cloud ou fournisseurs.

La cybersécurité ne consiste donc plus seulement à empêcher toute intrusion. Les entreprises doivent aussi être capables de détecter rapidement un incident, d’en limiter la propagation et de poursuivre leurs activités pendant la remise en état de leurs systèmes.

Cinq tendances méritent une attention particulière en 2026.

Tendance	Risque principal	Réponse prioritaire
IA et ingénierie sociale	Messages et usurpations plus convaincants	Vérifier les demandes sensibles par un second canal
Attaques contre les identités	Vol de mots de passe, sessions et accès cloud	Généraliser l’authentification résistante au phishing
Rançongiciels et dépendances	Interruption d’activité et propagation par un fournisseur	Segmenter, sauvegarder et préparer la gestion de crise
IoT, mobiles et systèmes industriels	Équipements exposés ou insuffisamment maintenus	Inventorier, mettre à jour et isoler les appareils
Cryptographie post-quantique	Données chiffrées aujourd’hui mais exploitables demain	Cartographier les usages cryptographiques et planifier la migration

1. L’IA renforce surtout l’ingénierie sociale

L’intelligence artificielle générative peut aider des attaquants à produire rapidement des courriels, des messages vocaux, des images et des documents adaptés à leur cible.

Elle réduit notamment les erreurs de langue qui permettaient autrefois de repérer facilement certaines campagnes de phishing. Un message peut reprendre le vocabulaire d’une entreprise, imiter la manière d’écrire d’un responsable ou s’appuyer sur des informations publiées sur les réseaux sociaux.

Les usages malveillants comprennent notamment :

La rédaction de courriels de phishing plus crédibles ;
La traduction rapide d’une campagne dans plusieurs langues ;
La création de faux profils et de faux documents ;
L’imitation de la voix d’un dirigeant ou d’un proche ;
La personnalisation de scénarios d’escroquerie ;
L’assistance à la recherche de vulnérabilités ;
La modification de programmes malveillants existants.

L’IA ne transforme pas automatiquement un attaquant inexpérimenté en expert capable de compromettre n’importe quel système. Elle facilite surtout la préparation, la personnalisation et le déploiement à grande échelle de techniques déjà connues.

Les deepfakes renforcent les scénarios de fraude

Un appel vidéo ou un message vocal ne suffit plus toujours à confirmer l’identité d’un interlocuteur. Une imitation imparfaite peut devenir convaincante lorsqu’elle est associée à une situation urgente : virement exceptionnel, modification d’un compte bancaire, transmission d’un code ou demande de document confidentiel.

Les entreprises doivent donc éviter de fonder une procédure sensible sur la seule reconnaissance d’un visage ou d’une voix.

Une demande inhabituelle doit être vérifiée à l’aide d’un autre canal connu :

Rappeler le demandeur sur un numéro déjà enregistré ;
Obtenir une seconde validation ;
Vérifier la demande dans un outil interne ;
Utiliser un mot ou une procédure d’authentification convenus ;
Refuser les changements de coordonnées bancaires effectués uniquement par courriel.

La sensibilisation doit également éviter un message trompeur : il n’existe pas de méthode visuelle infaillible permettant à chaque salarié de reconnaître tous les contenus générés par IA. Les procédures de vérification restent plus fiables que la recherche d’un détail suspect dans une vidéo.

Les systèmes d’IA deviennent eux-mêmes des cibles

L’intégration de modèles génératifs dans les entreprises crée parallèlement de nouveaux risques.

Un assistant relié à des documents internes, à une messagerie ou à des outils métiers peut être trompé par une instruction malveillante dissimulée dans une page, un fichier ou un courriel. Il peut également révéler une information confidentielle si ses autorisations sont trop larges.

Les risques concernent notamment :

L’injection d’instructions malveillantes ;
La fuite de données saisies dans un service externe ;
La compromission d’un modèle ou d’un composant logiciel ;
L’utilisation d’informations erronées pour déclencher une action ;
L’accès excessif de l’assistant aux ressources de l’entreprise ;
La dépendance à des fournisseurs et modèles tiers.

Un agent capable d’agir doit disposer de permissions limitées, de journaux d’activité et de validations humaines pour les opérations importantes. Cette exigence est particulièrement forte lorsqu’il peut manipuler des fonds, comme l’explique notre dossier consacré aux agents IA appliqués aux cryptomonnaies.

La priorité consiste donc moins à détecter chaque contenu artificiel qu’à empêcher qu’une simple demande puisse déclencher seule une opération sensible.

2. L’identité devient le principal périmètre de sécurité

L’ancien dossier mettait en avant le « vol d’identité inversé », expression peu courante qui décrivait en réalité la création d’identités synthétiques à partir de données réelles et fictives.

Cette fraude existe, notamment dans les services financiers, mais elle ne représente pas à elle seule la tendance la plus importante pour l’ensemble des organisations. Le risque le plus transversal concerne la compromission des identités numériques.

Les entreprises dépendent de plus en plus :

Des comptes cloud ;
Des messageries ;
Des outils collaboratifs ;
Des applications accessibles à distance ;
Des prestataires externes ;
Des comptes disposant de droits d’administration.

Un attaquant n’a pas toujours besoin d’installer un programme malveillant sur le réseau. Il peut voler un mot de passe, récupérer un cookie de session ou pousser un utilisateur à valider une demande d’authentification.

Une fois connecté avec un compte légitime, il devient plus difficile à distinguer d’un salarié.

Le mot de passe n’est qu’une partie du problème

L’authentification multifacteur améliore fortement la sécurité, mais toutes ses formes ne présentent pas la même résistance.

Les codes reçus par SMS ou saisis sur un faux site peuvent être interceptés. Les notifications envoyées sur un téléphone peuvent être validées par fatigue ou par erreur si l’attaquant les déclenche à répétition.

Les méthodes les plus résistantes au phishing reposent sur une liaison cryptographique avec le service légitime, comme les clés de sécurité physiques ou les passkeys compatibles avec les standards appropriés.

La protection des identités doit également comprendre :

La suppression rapide des comptes inutilisés ;
Des droits limités aux besoins réels ;
Des comptes administrateurs séparés ;
Une surveillance des connexions inhabituelles ;
Une réauthentification pour les opérations sensibles ;
La révocation des sessions après un incident ;
Un contrôle régulier des accès accordés aux prestataires.

Les infostealers visent les sessions déjà ouvertes

Certains programmes malveillants cherchent à récupérer les mots de passe stockés, les portefeuilles de cryptomonnaies, les données du navigateur et les cookies de session.

Le vol d’une session active peut parfois permettre de contourner l’étape de connexion et son second facteur d’authentification. Changer uniquement le mot de passe ne suffit alors pas toujours : il faut aussi révoquer les sessions et examiner l’appareil compromis.

Une organisation doit donc traiter la compromission d’un poste comme un incident concernant potentiellement plusieurs services utilisés depuis ce poste.

Les processus humains restent déterminants

Une sécurité technique solide peut être contournée par une procédure administrative trop faible.

Un attaquant peut se faire passer pour un salarié ayant perdu son téléphone, demander une réinitialisation au support ou tenter de faire modifier l’adresse associée à un compte.

Les procédures de récupération doivent être au moins aussi robustes que l’authentification habituelle. Un compte protégé par une clé physique perd une grande partie de son intérêt si une simple conversation suffit à réinitialiser son accès.

La sécurité des identités repose donc autant sur la gestion des droits et des sessions que sur le mot de passe choisi par l’utilisateur.

3. Les rançongiciels exploitent les dépendances numériques

Le rançongiciel ne consiste plus seulement à chiffrer les fichiers d’une entreprise et à demander une rançon.

Les attaquants peuvent également voler les données avant de bloquer les systèmes, menacer de les publier, contacter les clients ou perturber directement les opérations. Même lorsque les sauvegardes permettent de restaurer les serveurs, la fuite d’informations et l’arrêt de l’activité peuvent produire des conséquences durables.

Les moyens d’accès initiaux comprennent notamment :

Les courriels de phishing ;
Les identifiants compromis ;
Les services exposés sur Internet ;
Les systèmes non corrigés ;
Les accès distants mal protégés ;
Les comptes de prestataires ;
Les logiciels et dépendances compromis.

Une attaque contre un fournisseur peut toucher plusieurs clients

Les entreprises utilisent des logiciels, des hébergeurs, des services cloud et des prestataires ayant eux-mêmes accès à leurs systèmes.

Cette interconnexion apporte de nombreux gains opérationnels, mais elle permet également à un incident de se propager. Un attaquant peut cibler un fournisseur moins protégé afin d’atteindre plusieurs organisations à travers un accès, une mise à jour ou une dépendance commune.

Il ne suffit donc plus d’évaluer uniquement sa propre sécurité. Les contrats et relations fournisseurs doivent préciser :

Les accès réellement nécessaires ;
Les mesures d’authentification ;
Les procédures de notification d’incident ;
Les délais de correction ;
La journalisation disponible ;
Les conditions de sortie du service ;
La récupération et l’effacement des données.

Les organisations ne peuvent pas contrôler tous les systèmes de leurs fournisseurs. Elles peuvent en revanche limiter les conséquences d’une compromission en réduisant les droits accordés et en évitant qu’un seul prestataire constitue un point de défaillance total.

Les infrastructures essentielles restent particulièrement exposées

Les administrations, les transports, les services de santé, la finance, l’industrie et les infrastructures numériques constituent des cibles à forte valeur.

Une attaque peut y provoquer des conséquences qui dépassent la seule perte de données : interruption d’un service, perturbation logistique, impossibilité de produire ou indisponibilité d’un équipement essentiel.

Les systèmes industriels présentent une difficulté particulière. Certaines machines restent en fonctionnement pendant de longues périodes et ne peuvent pas être mises à jour aussi facilement qu’un ordinateur de bureau.

La numérisation des usines et l’utilisation croissante de jumeaux numériques augmentent également les échanges entre les environnements informatiques et opérationnels. Notre dossier sur les technologies du métavers industriel montre pourquoi cette continuité numérique doit être accompagnée d’une segmentation et d’un contrôle rigoureux des accès.

La résilience compte autant que la prévention

Aucune organisation ne peut garantir qu’elle bloquera toutes les attaques.

Elle doit donc préparer la continuité et la reprise :

Sauvegardes déconnectées ou protégées contre l’altération ;
Tests réguliers de restauration ;
Segmentation des réseaux ;
Procédures utilisables lorsque la messagerie est indisponible ;
Inventaire des services prioritaires ;
Coordonnées de crise conservées hors ligne ;
Exercices associant direction, métiers, informatique et communication ;
Scénarios prévoyant la compromission d’un prestataire.

Une sauvegarde dont la restauration n’a jamais été testée ne constitue pas une garantie suffisante. Il faut également connaître le temps nécessaire pour reconstruire les services et l’ordre dans lequel ils doivent être remis en fonctionnement.

L’objectif n’est plus uniquement d’empêcher l’intrusion, mais d’éviter qu’un incident local ne provoque l’arrêt durable de toute l’organisation.

4. Les objets connectés, mobiles et équipements industriels élargissent la surface d’attaque

L’Internet des objets ne constitue pas une menace nouvelle. Ce qui évolue est le nombre d’appareils connectés aux réseaux et leur présence dans des environnements sensibles.

Caméras, capteurs, imprimantes, systèmes de contrôle d’accès, équipements médicaux, machines industrielles et objets domestiques peuvent tous contenir des logiciels vulnérables.

Les faiblesses les plus courantes comprennent :

Des mots de passe par défaut ;
Des interfaces d’administration exposées ;
Des mises à jour absentes ou difficiles à installer ;
Des protocoles anciens ;
Une durée de support insuffisante ;
Des services inutiles laissés actifs ;
Une connexion directe au réseau principal.

Un appareil compromis peut être utilisé pour espionner son environnement, pénétrer plus profondément dans le système d’information ou rejoindre un réseau d’appareils servant à lancer des attaques par déni de service.

L’inventaire constitue la première protection

Une entreprise ne peut pas protéger un équipement dont elle ignore l’existence.

L’inventaire doit recenser :

Le modèle et le fabricant ;
La version du logiciel interne ;
La date de fin de support ;
Les services réseau utilisés ;
Le responsable de l’équipement ;
Les données traitées ;
Les systèmes avec lesquels il communique ;
Son niveau de criticité.

Les équipements non maintenus doivent être remplacés, isolés ou compensés par des contrôles supplémentaires.

La segmentation limite les déplacements de l’attaquant

Un objet connecté n’a généralement pas besoin d’accéder à l’ensemble des fichiers, postes de travail et serveurs de l’entreprise.

Le placer dans un réseau séparé permet de limiter ses communications aux services indispensables. Cette architecture réduit le risque qu’une caméra ou une imprimante compromise serve de point d’entrée vers des données plus sensibles.

La segmentation doit aussi concerner les systèmes industriels. Les échanges entre les réseaux bureautiques, les environnements de production et les prestataires de maintenance doivent être limités, contrôlés et journalisés.

Les appareils mobiles restent des cibles importantes

Les téléphones concentrent la messagerie, les outils d’authentification, les documents et de nombreuses applications professionnelles. Un appareil ancien ou non corrigé peut donc fournir un accès particulièrement intéressant.

Les entreprises doivent maintenir des règles concernant :

Les versions minimales autorisées ;
Le chiffrement de l’appareil ;
Le verrouillage de l’écran ;
L’installation des applications ;
La séparation entre données personnelles et professionnelles ;
L’effacement à distance ;
La révocation des accès en cas de perte.

L’utilisation personnelle et professionnelle d’un même terminal doit être encadrée en fonction de la sensibilité des données consultées.

La protection commence donc par une vision complète des équipements utilisés et des communications qu’ils sont réellement autorisés à établir.

5. La migration post-quantique devient un projet concret

Les ordinateurs quantiques actuels ne sont pas en mesure de casser à grande échelle les principaux systèmes cryptographiques utilisés sur Internet.

La menace ne doit donc pas être présentée comme une rupture imminente rendant soudainement toutes les communications lisibles. Elle justifie néanmoins une préparation dès maintenant, car la transformation des systèmes cryptographiques peut demander plusieurs années.

Une partie des chiffrements à clé publique utilisés aujourd’hui pourrait devenir vulnérable face à un ordinateur quantique suffisamment puissant. Cela concerne notamment des mécanismes servant à échanger des clés ou à produire des signatures numériques.

Le risque « collecter maintenant, déchiffrer plus tard »

Un attaquant peut copier aujourd’hui des données chiffrées dans l’espoir de les déchiffrer lorsqu’il disposera de capacités suffisantes.

Cette stratégie concerne surtout les informations qui doivent rester confidentielles pendant longtemps :

Données de santé ;
Secrets industriels ;
Communications diplomatiques ;
Informations militaires ;
Propriété intellectuelle ;
Archives financières ou juridiques sensibles.

Une donnée dont la valeur disparaît après quelques semaines présente un risque différent d’un document qui doit rester confidentiel pendant vingt ans.

Les premiers standards sont disponibles

Le NIST a finalisé en 2024 trois premiers standards post-quantiques destinés à l’établissement de clés et aux signatures numériques.

La transition ne consiste pas simplement à remplacer une ligne de code. Les algorithmes sont présents dans de nombreux éléments :

Navigateurs et serveurs ;
Certificats ;
Réseaux privés virtuels ;
Messageries ;
Équipements industriels ;
Cartes à puce ;
Logiciels métiers ;
Sauvegardes et archives ;
Produits fournis par des tiers.

Certaines applications anciennes ne pourront pas être modifiées facilement. D’autres dépendront du calendrier de leurs fournisseurs.

La première étape consiste à cartographier la cryptographie

Avant de migrer, l’organisation doit savoir où elle utilise des mécanismes cryptographiques et quelles données ils protègent.

Le travail peut commencer par :

Identifier les données nécessitant une confidentialité durable ;
Recenser les certificats, bibliothèques et protocoles utilisés ;
Repérer les systèmes difficiles à mettre à jour ;
Interroger les fournisseurs sur leur feuille de route ;
Tester les nouveaux standards dans des environnements maîtrisés ;
Prévoir une architecture suffisamment flexible pour changer d’algorithme.

Cette capacité à remplacer plus facilement une méthode cryptographique est souvent appelée crypto-agilité.

Cryptographie post-quantique et cryptographie quantique sont différentes

La cryptographie post-quantique repose sur des algorithmes mathématiques destinés à fonctionner sur les ordinateurs classiques tout en résistant aux attaques quantiques connues.

La cryptographie quantique utilise, quant à elle, des propriétés de la physique quantique et exige des infrastructures spécialisées. Elle ne constitue pas un remplacement général et immédiat des logiciels de chiffrement actuels.

Pour la majorité des organisations, la priorité concerne la migration vers les standards post-quantiques utilisables dans les systèmes informatiques existants.

La menace reste future, mais l’inventaire des systèmes et la préparation de la transition doivent commencer bien avant l’apparition d’un ordinateur quantique suffisamment puissant.

Comment préparer son organisation aux menaces actuelles ?

La cybersécurité ne repose pas sur l’achat d’un outil unique, qu’il utilise ou non l’intelligence artificielle.

Les mesures les plus efficaces associent technologie, procédures et connaissance du fonctionnement réel de l’organisation.

Connaître ses actifs et ses dépendances

L’entreprise doit savoir quels services, données, comptes, équipements et prestataires sont indispensables à son activité.

Cet inventaire permet de concentrer les efforts sur les éléments dont l’indisponibilité ou la compromission provoquerait les conséquences les plus importantes.

Corriger en priorité les systèmes exposés

Toutes les vulnérabilités ne présentent pas le même risque.

Les services accessibles depuis Internet, les équipements utilisés par des administrateurs et les failles activement exploitées doivent être traités en priorité. Lorsqu’une correction immédiate est impossible, l’accès peut être restreint ou le service temporairement isolé.

Protéger les identités

L’authentification résistante au phishing, la limitation des droits, la surveillance des sessions et la suppression des comptes inutilisés réduisent fortement les possibilités offertes à un attaquant.

Segmenter les environnements

Un incident sur un poste utilisateur ne devrait pas donner automatiquement accès aux sauvegardes, aux systèmes industriels ou à l’ensemble des services cloud.

Préparer la crise

Les responsables doivent savoir qui décide, qui communique, comment contacter les équipes et quels services reconstruire en premier.

Ces procédures doivent être testées, et pas seulement conservées dans un document inaccessible lorsque le réseau est indisponible.

Former sans culpabiliser

Les utilisateurs constituent une cible fréquente, mais les présenter comme le « maillon faible » peut décourager le signalement des erreurs.

Une personne qui clique sur un lien suspect doit pouvoir le signaler immédiatement sans craindre une sanction automatique. Une alerte rapide peut empêcher un incident limité de devenir une compromission majeure.

La transformation numérique du travail multiplie les outils, les comptes et les échanges à distance. Elle exige donc que les règles de sécurité restent compréhensibles et compatibles avec les pratiques décrites dans notre dossier sur l’évolution numérique des modes de travail.

Une cybersécurité fondée sur la résilience

Les principales tendances de 2026 ne remplacent pas les menaces précédentes.

L’intelligence artificielle rend certaines manipulations plus convaincantes, mais le phishing reste du phishing. Les objets connectés augmentent la surface exposée, mais les mots de passe par défaut et l’absence de mises à jour restent des faiblesses connues.

La véritable évolution tient à l’interconnexion. Une identité compromise peut ouvrir plusieurs services cloud. Un fournisseur attaqué peut affecter de nombreux clients. Un équipement industriel connecté peut rapprocher les systèmes informatiques du monde physique.

La priorité consiste donc à réduire les conséquences possibles de chaque incident :

Limiter les autorisations ;
Séparer les environnements ;
Surveiller les accès ;
Sauvegarder les données ;
Préparer les équipes ;
Tester les procédures ;
Anticiper les transitions longues, comme la cryptographie post-quantique.

Une organisation cyber-résiliente n’est pas celle qui prétend ne jamais être attaquée. C’est celle qui connaît ses dépendances, détecte les comportements inhabituels et peut continuer à fonctionner lorsqu’une partie de son système est compromise.