Deux logiciels ont causé 63,5 % des violations par vulnérabilité. C'est le vrai constat de l'année.
En mars, nous soutenions que le risque tiers a deux formes, la faiblesse et la concentration, et que l'assurance qualité ne traite que la première. Voici la seconde, mesurée, et plus grande que nous ne l'attendions.
- Publié le
- 16 décembre 2025
- Période couverte
- 1 octobre 2025 – 31 décembre 2025
- Clôture documentaire
- 16 décembre 2025
Perspective de direction
Six conclusions qui referment la première année
Le tiers est désormais la voie d'attaque principale, pas une voie secondaire
35,5 % de toutes les violations de 2024 provenaient d'une compromission de tiers, en hausse de 6,5 points sur un an, et les auteurs jugent le chiffre prudent. Plus frappant encore : 41,4 % des attaques par rançongiciel commencent chez un tiers. La chaîne d'approvisionnement n'est pas un risque parallèle au rançongiciel, c'est la voie majoritaire pour y entrer.
C'est la concentration, non la faiblesse des fournisseurs, qui a produit le plus grand effet de l'année
Deux produits de transfert de fichiers ont produit 63,5 % des violations par vulnérabilité. Aucun questionnaire, audit ou certification n'aurait changé l'issue pour les organisations touchées, parce que la défaillance n'était pas dans la diligence de leur fournisseur. Elle était dans le fait que tout le monde dépendait du même logiciel en même temps.
L'exfiltration est devenue la norme, pas une variante
Microsoft observe une collecte de données dans 80 % de ses interventions réactives. En septembre, nous annoncions que l'extorsion par vol seul deviendrait majoritaire. Elle est désormais la norme des incidents en général. La question s'est inversée : il ne s'agit plus de savoir si une intrusion a comporté un vol, mais si vous pouvez établir qu'il n'y en a pas eu.
L'attaque identitaire la plus élémentaire fonctionne toujours, parce que le contrôle le plus élémentaire manque
Plus de 97 % des attaques sur l'identité sont de la pulvérisation de mots de passe ou de la force brute, et l'authentification multifacteur moderne bloque plus de 99 % des tentatives d'accès non autorisées. L'écart entre ces deux chiffres n'est pas un problème de technologie mais de déploiement, et le combler reste l'action au meilleur rendement pour la plupart des organisations de taille intermédiaire.
L'infonuagique est devenue une cible de destruction, pas seulement de vol
Microsoft enregistre une hausse de 87 % des campagnes visant à perturber les environnements clients Azure. Un locataire infonuagique détruit ne produit pas un événement de divulgation ; il produit une interruption que l'organisation ne peut pas résoudre depuis son centre de données, puisqu'il n'y en a pas.
Les lectures régionales divergent fortement, et la divergence est instructive
L'ENISA rapporte l'hameçonnage comme premier vecteur d'intrusion dans l'UE à 60 %, alors que la télémétrie mondiale le montre en recul depuis trois ans. Les deux sont exacts : l'ENISA compte des incidents enregistrés dominés par l'administration publique et le déni de service hacktiviste, la télémétrie mondiale compte des violations confirmées. Adoptez les référentiels européens ; n'importez pas leurs priorités de menace sans correction.
Le trimestre en chiffres
63,5 %
Violations par vulnérabilité causées par deux exploits de transfert de fichiers
La mesure la plus nette du risque de concentration que nous ayons vue. La diligence sur vos propres fournisseurs n'aurait rien changé.
35,5 %
Violations provenant d'un tiers, en hausse de 6,5 points
Décrit comme un décompte prudent. Résout une question reportée deux trimestres, et dépasse les 30 % que nous annoncions.
41,4 %
Attaques par rançongiciel commençant chez un tiers
Deux sur cinq. La plupart des organisations mènent le rançongiciel et le risque tiers comme deux programmes à responsables séparés.
80 %
Interventions réactives montrant une collecte de données
L'exfiltration a cessé d'être une variante de l'intrusion pour en devenir une caractéristique. Tout incident est un événement de divulgation potentiel.
97 %
Attaques identitaires par pulvérisation ou force brute
Face à un multifacteur qui bloque plus de 99 % des accès non autorisés. L'attaque dominante est celle qu'un contrôle déployé neutralise déjà.
+87 %
Campagnes visant à perturber les environnements clients infonuagiques
L'infonuagique devient une cible de destruction. Les plans de continuité qui en font le palier résilient ont été écrits pour la panne matérielle.
4,5 %
Violations s'étendant à un quatrième niveau
Une défaillance fournisseur qui traverse deux couches contractuelles. Le graphe de dépendances est plus profond que le registre.
52,4 %
Taux de violation par un tiers dans le commerce et l'hôtellerie
L'énergie et les services publics suivent à 46,7 %. Plus de la moitié des violations d'un secteur arrivent désormais par quelqu'un d'autre.
L'ordre du jour du conseil
Cinq questions auxquelles votre conseil devrait savoir répondre ce trimestre
Elles découlent directement des constats ci-dessus. L'édition complète porte, pour chacune, la preuve qui la motive et l'action priorisée qui y répond.
Quels logiciels nos fournisseurs ont-ils en commun, et quel produit unique pourrait nous atteindre par plusieurs d'entre eux ?
Deux exploits, 63,5 % des violations par vulnérabilité.
Qui est responsable du recouvrement entre notre plan rançongiciel et notre programme tiers ?
41,4 % du rançongiciel commence chez un fournisseur.
Combien de comptes n'ont toujours pas d'authentification multifacteur, et à quelle date ?
97 % des attaques identitaires sont grossières.
Si notre locataire infonuagique était délibérément détruit plutôt que compromis, quel est le plan ?
Campagnes de perturbation infonuagique en hausse de 87 %.
Avons-nous une procédure pour notifier autorités et clients d'une violation survenue chez un fournisseur ?
35,5 % des violations proviennent d'un tiers.
Envie de voir ce qui a changé ce trimestre, le radar des tendances, le point de vue FortaRisks et ce que nous surveillons ensuite ?
La perspective de direction ci-dessus ouvre le rapport. L'édition complète porte l'analyse et les recommandations qui en découlent.
Ce que l'édition complète ajoute
- Ce qui a changé ce trimestre, et ce qui n'en a que l'air
- Radar des tendances : direction, maturité et impact d'affaires
- Le point de vue FortaRisks, quatre convictions
- Regard vers l'avant, 3 à 6 mois, avec les degrés de confiance
- Le paysage des menaces, les développements en détail
- L'exposition par secteur, OT et manufacturier détaillés
- Les recommandations priorisées, par thème et par risque traité
- L'action priorisée qui répond à chaque question ci-dessus, la base documentaire et la méthode
17 pages · 19 sources · téléchargement immédiat, sans attente
Comment cette édition est bâtie
Cette édition s'appuie sur les rapports exécutifs et annuels publiés par les plus grandes firmes de conseil, de recherche et de cybersécurité jusqu'à la date de clôture, lus au regard de l'analyse de FortaRisks Research et de notre propre renseignement sur les cybermenaces. Elle referme la première année complète de la série et note chaque prévision émise : quatorze faites, sept réalisées, deux partiellement, cinq non résolues ou pas encore démontrées. Nous publions le dénominateur autant que le numérateur.
Chaque chiffre de cette page figure dans l'édition complète avec sa source, sa période de données et ses limites méthodologiques. Une source n'est admise que si sa date de publication précède la clôture documentaire : une édition historique ne s'appuie jamais sur une recherche qui n'existait pas encore. Lorsque deux jeux de données indépendants divergent, nous rapportons les deux plutôt que d'en retenir un. La lecture, la synthèse inter-sources et les conclusions sont celles de FortaRisks Research, éclairées par le renseignement sur les menaces que nous exploitons.
Voyez où se situe votre organisation dans ces chiffres
Le rapport dit ce qui se passe sur le marché. Une démo de trente minutes dit ce qui se passe sur votre surface d'attaque.