Un fournisseur cloud subit une panne, et ce sont des dizaines d’entreprises clientes qui perdent l’accès à leurs outils métier pendant plusieurs heures. Ce scénario, de plus en plus fréquent, illustre un virage majeur en cybersécurité : la menace ne vient plus uniquement d’une attaque directe, mais des dépendances numériques entre organisations. Les tendances cybersécurité de 2026 confirment que protéger son propre périmètre ne suffit plus.
Dépendances numériques et effet domino sur la résilience des entreprises
Le rapport Threat Landscape 2026 de l’ENISA, publié le 22 septembre 2026, place l’interconnexion des services et des fournisseurs au centre des risques. Une organisation peut être affectée sans avoir été directement ciblée, simplement parce qu’un prestataire ou une plateforme critique a été compromis.
Concrètement, imaginez une entreprise qui utilise un outil de facturation hébergé chez un prestataire cloud. Si ce prestataire subit un rançongiciel, l’entreprise ne peut plus émettre de factures, même si ses propres systèmes sont intacts. Une attaque sur un maillon touche toute la chaîne.
Cette réalité change la façon dont les équipes sécurité doivent travailler. Cartographier ses dépendances techniques (qui héberge quoi, qui a accès à quoi) devient aussi stratégique que de mettre à jour ses pare-feu. Les organisations qui suivent les actualités du site Cyber sPass retrouvent régulièrement ce type d’analyse appliquée aux cas concrets du moment.
L’ENISA confirme par ailleurs que les rançongiciels restent la menace à plus fort impact à court terme en Europe. Leur efficacité repose justement sur ces interdépendances : chiffrer les données d’un prestataire clé peut paralyser des dizaines de clients en aval.
Campagnes de manipulation assistées par l’IA : au-delà du phishing classique
Quand on parle d’IA et de cybersécurité, le phishing et les deepfakes viennent immédiatement à l’esprit. Mais un phénomène moins médiatisé prend une ampleur préoccupante : les campagnes de manipulation et d’ingérence étrangères (désignées par l’acronyme FIMI).
D’après l’ENISA, les campagnes européennes de ce type assistées par l’IA sont passées de 41 à 147 en un an, soit une hausse de 259 % des opérations d’influence manipulée. L’IA ne sert pas ici à voler un mot de passe. Elle génère du contenu crédible à grande échelle pour influencer l’opinion, déstabiliser des institutions ou semer la confusion autour d’événements sensibles.
Pourquoi est-ce un enjeu de cybersécurité et pas seulement de politique ? Parce que ces campagnes ciblent aussi les entreprises. Un faux communiqué de presse généré par IA, diffusé sur les réseaux sociaux, peut faire chuter un cours de bourse ou déclencher une panique chez les clients d’une marque. La frontière entre désinformation et attaque informatique s’estompe.
Phishing par flux d’autorisation : une technique qui contourne le mot de passe
Côté attaques directes, le phishing évolue aussi. Les techniques récentes de phishing par flux d’autorisation d’appareil permettent aux attaquants d’obtenir des jetons d’accès persistants sans jamais voler le mot de passe de la victime.
Le principe : l’utilisateur reçoit une fausse demande d’autorisation, semblable à celles que génèrent les applications légitimes. En validant cette demande, il accorde à l’attaquant un jeton qui reste actif même après un changement de mot de passe. L’authentification multifacteur classique ne bloque pas ce scénario, puisque l’attaquant n’a pas besoin du second facteur.
Pour les équipes informatiques, cela signifie qu’il faut surveiller les jetons actifs et les autorisations accordées aux appareils, pas uniquement les tentatives de connexion suspectes.
Conformité réglementaire en Europe : NIS2 et DORA changent les obligations
Deux réglementations européennes modifient concrètement ce que les entreprises doivent faire en matière de sécurité informatique :
- La directive NIS2 élargit le périmètre des organisations concernées par des obligations de cybersécurité. Des secteurs comme la gestion des déchets, l’agroalimentaire ou les services postaux sont désormais couverts, alors qu’ils ne l’étaient pas auparavant.
- Le règlement DORA impose aux acteurs financiers (banques, assureurs, prestataires de services de paiement) des exigences précises de résilience opérationnelle numérique, incluant des tests de pénétration réguliers et une gestion formalisée des risques liés aux prestataires tiers.
- L’EU AI Act ajoute une couche supplémentaire pour les systèmes d’IA considérés comme à haut risque, avec des obligations de documentation, de supervision humaine et de gestion des incidents.
La conformité n’est plus un sujet réservé aux grandes entreprises. Une PME qui fournit des services numériques à un acteur financier peut se retrouver soumise indirectement aux exigences de DORA via son contrat de prestation.
Mesures concrètes de protection pour les organisations en 2026
Face à ces évolutions, certaines actions se démarquent par leur efficacité. Elles ne demandent pas toutes un budget conséquent, mais elles exigent une vraie décision de la direction.
Cartographier ses dépendances critiques
Lister chaque prestataire, chaque service cloud, chaque interconnexion avec un partenaire. Pour chacun, évaluer ce qui se passe si ce maillon tombe. Les entreprises qui connaissent leurs dépendances réagissent plus vite en cas d’incident.
Surveiller les autorisations et les jetons actifs
Le mot de passe seul ne protège plus. Il faut auditer régulièrement les jetons OAuth actifs, les autorisations accordées aux applications tierces et les appareils connectés aux comptes professionnels. Une session oubliée sur un appareil non maîtrisé peut devenir une porte d’entrée silencieuse.
Former au-delà du phishing par email
Les formations de sensibilisation doivent intégrer les nouvelles formes de manipulation : fausses demandes d’autorisation, deepfakes audio lors d’appels téléphoniques, campagnes de désinformation ciblant l’entreprise. Un collaborateur averti repère aussi les manipulations qui ne passent pas par un email.
Les menaces cybersécurité de 2026 partagent un trait commun : elles exploitent la confiance. Confiance dans un prestataire, confiance dans une voix familière au téléphone, confiance dans une demande d’autorisation d’apparence légitime. Renforcer la sécurité des données et la résilience des organisations passe désormais par une remise en question systématique de cette confiance accordée par défaut.
