La capacité d'attaque est devenue un produit de série. Les effets ne se sont pas répartis également.
Le basculement de 2024 n'est pas une nouvelle technique d'attaque, c'est l'industrialisation de celles qui existaient, et le risque résiduel s'est déplacé vers la chaîne d'approvisionnement, vers l'identité machine, et vers la périphérie d'accès distant.
- Publié le
- 25 mars 2025
- Période couverte
- 1 janvier 2025 – 31 mars 2025
- Clôture documentaire
- 25 mars 2025
Perspective de direction
Six conclusions qui comptent pour l'année qui vient
L'écart de sophistication s'est refermé, et un écart de résilience s'est ouvert à sa place
Huntress constate que l'écart de sophistication entre les attaques visant les grandes entreprises et les petites a pratiquement disparu, les attaquants standardisant désormais sur toutes les tailles de cible des méthodes éprouvées sur les grands comptes. Le Forum économique mondial en mesure la conséquence : 35 % des petites organisations jugent leur résilience insuffisante, sept fois plus qu'en 2022, tandis que la part des grandes disant la même chose a presque diminué de moitié. Les petites organisations ne sont pas devenues mauvaises en sécurité. La barre est montée au niveau grand compte, partout à la fois.
Cet écart de résilience est le risque de chaîne d'approvisionnement, vu de l'autre bout
54 % des grandes organisations désignent la chaîne d'approvisionnement comme le premier obstacle à leur propre résilience. La population qu'elles décrivent est exactement celle dont la résilience s'est dégradée. Le risque n'a pas tant augmenté qu'il n'a migré : les grandes entreprises ont durci leur propre périmètre, et le résiduel a reparu dans leur portefeuille de fournisseurs.
Les forces de l'ordre ont démantelé des marques de rançongiciel, pas de la capacité
Le démantèlement de LockBit et la sortie frauduleuse d'AlphV ont produit un creux mesurable au T2 et au début du T3 2024. Le T4 a ensuite été le trimestre le plus actif jamais enregistré : 1 667 victimes publiées, en hausse de 49 % sur un an, revendiquées par 61 groupes nommés distincts. Quarante nouveaux groupes sont apparus dans l'année, le double de 2023.
La présence d'un outil de détection ne prédit plus l'absence d'incident
91 % des systèmes touchés par un incident disposaient déjà d'un EDR. 79 % des détections ne comportaient aucun logiciel malveillant. Chez Expel, l'EDR a été la source d'alerte initiale pour 25 % des incidents seulement. La question « avons-nous de la détection sur les postes » a trouvé sa réponse à l'échelle du marché, et ce n'est plus elle qui sépare les résultats.
Les organisations industrialisent un processus de vulnérabilités que les attaques quittent
Plus de 39 000 CVE ont été publiées en 2024, en hausse de 40 %, soit 378 par jour en moyenne. Sur la même période, le nombre de CVE confirmées comme exploitées par des rançongiciels est passé de 40 à 24. Pendant ce temps, les incidents fondés sur l'identité atteignaient 68 % du total et l'abus des services distants externes représentait 45 % des accès initiaux réussis.
Pour une organisation industrielle canadienne, trois constats décrivent une seule exposition
L'Amérique du Nord a absorbé 58 % des attaques par rançongiciel contre l'industrie dans le monde. Le manufacturier a concentré plus de la moitié des victimes industrielles, soit 1 171 attaques. Et le Centre canadien pour la cybersécurité désigne le rançongiciel comme la première menace criminelle pesant sur les infrastructures essentielles du Canada. Un manufacturier canadien de taille intermédiaire n'est pas à côté de cette tendance : il en est la cible type.
Le trimestre en chiffres
48 min
Délai moyen avant mouvement latéral
Rapporté indépendamment par CrowdStrike et ReliaQuest sur des populations différentes. Un confinement qui se mesure en heures est structurellement trop lent.
68 %
Part des incidents fondés sur l'identité
En hausse de quatre points sur un an, tandis que les incidents sur les postes reculent à 22 %. L'identité n'est pas une surface parmi d'autres : c'est le cas majoritaire.
1 667
Victimes de rançongiciel publiées au T4 2024, en hausse de 49 % sur un an
Le trimestre le plus actif jamais enregistré, arrivant après le creux post-LockBit. C'est la reprise, et non le démantèlement, qui constitue le résultat.
91 %
Systèmes touchés par un incident qui disposaient déjà d'un EDR
Télémétrie marché intermédiaire. La couverture de détection a cessé d'être le facteur distinctif, alors même que l'outil fonctionne de façon démontrable.
45 %
Accès initiaux réussis par les services distants externes
Portails VPN, RDP et VDI. Les annonces de courtiers d'accès proposant du VPN ont bondi de 250 % en un an. La surface la moins inventoriée du marché intermédiaire.
85 %
Violations impliquant un compte de service compromis
Identité machine, non humaine. Les comptes de service échappent au multifacteur, sont rarement renouvelés et sur-privilégiés par accumulation.
39 000 contre 24
CVE publiées en 2024, face aux CVE confirmées exploitées par un rançongiciel
La publication progresse de 40 % pendant que les CVE liées à un rançongiciel reculent de 42,5 %. Les deux séries évoluent en sens inverse.
1 171
Attaques par rançongiciel contre le manufacturier, plus de la moitié des victimes industrielles
Corroboré depuis un jeu de données distinct : 67 % de tous les groupes suivis ont revendiqué au moins une victime manufacturière.
L'ordre du jour du conseil
Cinq questions auxquelles votre conseil devrait savoir répondre ce trimestre
Elles découlent directement des constats ci-dessus. L'édition complète porte, pour chacune, la preuve qui la motive et l'action priorisée qui y répond.
Pouvons-nous produire, depuis l'extérieur de notre réseau, la liste de tous les services d'accès distant joignables sur Internet que nous exploitons, et confirmer l'authentification multifacteur et les certificats d'appareil sur chacun ?
45 % des accès initiaux réussis.
Qui, nommément, répond de chaque compte de service de notre environnement, et qu'advient-il d'un compte dont le responsable a quitté l'organisation ?
85 % des violations impliquent un compte de service compromis.
Qu'est-ce que notre centre de services a le droit de refuser ?
Vishing +442 % ; 14 % des entrées réussies.
Lesquels de nos fournisseurs relèvent d'un problème de faiblesse et lesquels d'un problème de concentration, et les gérons-nous différemment ?
54 % des grandes organisations en font leur premier obstacle ; concentration érigée en tendance nationale distincte.
Si un attaquant copiait tout et ne chiffrait rien, qui déciderait de ce que nous divulguons, et dans quel délai ?
La bascule documentée vers l'extorsion sans chiffrement.
Envie de voir ce qui a changé ce trimestre, le radar des tendances, le point de vue FortaRisks et ce que nous surveillons ensuite ?
La perspective de direction ci-dessus ouvre le rapport. L'édition complète porte l'analyse et les recommandations qui en découlent.
Ce que l'édition complète ajoute
- Ce qui a changé ce trimestre, et ce qui n'en a que l'air
- Radar des tendances : direction, maturité et impact d'affaires
- Le point de vue FortaRisks, quatre convictions
- Regard vers l'avant, 3 à 6 mois, avec les degrés de confiance
- Le paysage des menaces, les développements en détail
- L'exposition par secteur, OT et manufacturier détaillés
- Les recommandations priorisées, par thème et par risque traité
- L'action priorisée qui répond à chaque question ci-dessus, la base documentaire et la méthode
24 pages · 9 sources · téléchargement immédiat, sans attente
Comment cette édition est bâtie
Cette édition s'appuie sur les rapports exécutifs et annuels publiés par les plus grandes firmes de conseil, de recherche et de cybersécurité jusqu'à la date de clôture, lus au regard de l'analyse de FortaRisks Research et de notre propre renseignement sur les cybermenaces. Neuf sources primaires l'alimentent. Les éditions annuelles de référence couvrant l'année 2024 complète n'étaient pas encore parues à la clôture du trimestre : elles sont volontairement absentes ici et alimenteront l'édition de juin 2025.
Chaque chiffre de cette page figure dans l'édition complète avec sa source, sa période de données et ses limites méthodologiques. Une source n'est admise que si sa date de publication précède la clôture documentaire : une édition historique ne s'appuie jamais sur une recherche qui n'existait pas encore. Lorsque deux jeux de données indépendants divergent, nous rapportons les deux plutôt que d'en retenir un. La lecture, la synthèse inter-sources et les conclusions sont celles de FortaRisks Research, éclairées par le renseignement sur les menaces que nous exploitons.
Voyez où se situe votre organisation dans ces chiffres
Le rapport dit ce qui se passe sur le marché. Une démo de trente minutes dit ce qui se passe sur votre surface d'attaque.