8 min de lecture<\/p>\n
Zero Trust \u00e9tait la promesse : ne faites confiance \u00e0 personne, v\u00e9rifiez tout, minimisez le rayon d\u2019action. Mais les attaquants se sont adapt\u00e9s. Ils ne s\u2019introduisent plus par effraction. Ils se connectent. Gr\u00e2ce \u00e0 des jetons de session vol\u00e9s, des e-mails de phishing g\u00e9n\u00e9r\u00e9s par l\u2019IA et des appels Deepfake, ils contournent aussi bien l\u2019authentification multifacteur (MFA) que les politiques Zero Trust. Cette faille a un nom : l\u2019\u00e9cart de s\u00e9curit\u00e9 des identit\u00e9s (Identity Security Gap).<\/strong><\/p>\n Les chiffres sont sans appel. Selon le rapport CyberArk Identity Security Landscape 2025, 87 % des organisations interrog\u00e9es ont subi au moins deux violations r\u00e9ussies bas\u00e9es sur l\u2019identit\u00e9 au cours des douze derniers mois. 91 % ont connu au moins un incident. Parall\u00e8lement, 87 % des grandes organisations utilisent d\u00e9j\u00e0 l\u2019authentification multifacteur (MFA).<\/p>\n Cela signifie que la majorit\u00e9 des entreprises sont compromises malgr\u00e9 l\u2019utilisation du MFA, non pas parce qu\u2019elles ne l\u2019ont pas mis en \u0153uvre. La question n\u2019est plus de savoir si le MFA est activ\u00e9. La question est d\u00e9sormais : que se passe-t-il une fois qu\u2019un attaquant a contourn\u00e9 le deuxi\u00e8me facteur ?<\/p>\n Obsidian Security a quantifi\u00e9 ce point : 84 % des comptes compromis observ\u00e9s par ses soins avaient MFA activ\u00e9<\/a>. Les attaquants n\u2019ont pas eu besoin de le craquer. Ils l\u2019ont contourn\u00e9.<\/p>\n Sources : CyberArk 2025, Obsidian Security, CrowdStrike GTR 2025<\/p>\n Zero Trust repose sur un principe fondamental : chaque acc\u00e8s est v\u00e9rifi\u00e9, ind\u00e9pendamment de l\u2019emplacement. Cela fonctionne contre les attaques bas\u00e9es sur le r\u00e9seau. Mais il pr\u00e9sente un point aveugle : lorsqu\u2019un attaquant dispose d\u2019un jeton de session l\u00e9gitime, le syst\u00e8me le per\u00e7oit comme un utilisateur authentifi\u00e9. Zero Trust ne peut pas distinguer si la personne derri\u00e8re le jeton est bien celle qu\u2019elle pr\u00e9tend \u00eatre.<\/p>\n Le vol de jetons de session<\/strong> est le contournement le plus efficace. Les logiciels malveillants Infostealer, tels que Lumma, Redline et Vidar, extraient directement les cookies de session du stockage du navigateur. Aucun mot de passe n\u2019est n\u00e9cessaire, aucun d\u00e9clenchement MFA. L\u2019attaquant importe le cookie dans son propre navigateur et est imm\u00e9diatement authentifi\u00e9. Microsoft met en garde, dans son Digital Defense Report 2025, contre le vol de cookies ESTSAUTHPERSISTENT dans les environnements Azure et Microsoft 365.<\/p>\n L\u2019ampleur est consid\u00e9rable : SpyCloud recense 17,3 milliards de cookies de session vol\u00e9s sur le Darknet. Chaque infection par un logiciel malveillant permet en moyenne de r\u00e9cup\u00e9rer 1 861 cookies et 44 identifiants. 548 millions d\u2019identifiants ont \u00e9t\u00e9 exfiltr\u00e9s uniquement en 2024 via des Infostealers.<\/p>\n Le phishing AiTM (Adversary-in-the-Middle)<\/strong> constitue le deuxi\u00e8me vecteur principal. Les attaquants s\u2019interposent comme un proxy transparent entre l\u2019utilisateur et le service. L\u2019utilisateur voit la v\u00e9ritable page de connexion, saisit ses identifiants et passe l\u2019\u00e9tape MFA. Mais le proxy intercepte le jeton de session. Microsoft a observ\u00e9, en 2024, plus de 10 000 attaques AiTM par mois contre des utilisateurs Microsoft 365. Des outils comme Tycoon 2FA, EvilProxy et Evilginx industrialisent ce processus. Au mois de juin 2025, 88 % de toutes les attaques AiTM \u00e9taient bas\u00e9es sur un proxy.<\/p>\n \n\u00ab La compromission des identifiants est la cause la plus fr\u00e9quente des violations de donn\u00e9es. Pourtant, l\u2019importance de la gestion des identit\u00e9s et des acc\u00e8s (IAM) pour atteindre les objectifs de cybers\u00e9curit\u00e9 est souvent sous-estim\u00e9e. \u00bb Outre les contournements techniques, un vecteur d\u2019attaque s\u2019accro\u00eet, qui ne peut \u00eatre r\u00e9solu par la technologie seule. Selon le CrowdStrike Global Threat Report 2025, le vishing (phishing par appel vocal)<\/a> a augment\u00e9 de 442 % entre le premier et le second semestre 2024. Cette croissance est aliment\u00e9e par la synth\u00e8se vocale g\u00e9n\u00e9r\u00e9e par l\u2019IA : trois secondes d\u2019audio suffisent pour cr\u00e9er un clone vocal avec 85 % de ressemblance.<\/p>\n CrowdStrike documente \u00e9galement que les e-mails de phishing g\u00e9n\u00e9r\u00e9s par l\u2019IA atteignent un taux de clics de 54 %. Pour les e-mails de phishing r\u00e9dig\u00e9s par des humains, ce taux est de 12 %. L\u2019industrialisation de l\u2019ing\u00e9nierie sociale par l\u2019IA g\u00e9n\u00e9rative transforme fondamentalement le paysage des menaces.<\/p>\n Pour les \u00e9quipes de s\u00e9curit\u00e9 informatique, cela signifie que les formations contre le phishing n\u2019ont qu\u2019un effet limit\u00e9 lorsque la qualit\u00e9 des attaques a quadrupl\u00e9. Les contr\u00f4les techniques<\/a> doivent compenser l\u2019ing\u00e9nierie sociale, et non simplement la compl\u00e9ter.<\/p>\n La plupart des strat\u00e9gies de s\u00e9curit\u00e9 des identit\u00e9s se concentrent sur les utilisateurs humains. Pourtant, le CyberArk Machine Identity Report 2025 r\u00e9v\u00e8le que les identit\u00e9s machines (comptes de service, cl\u00e9s API, certificats, identit\u00e9s de charge de travail) d\u00e9passent les identit\u00e9s humaines dans un rapport de 82 pour 1. Pr\u00e8s de la moiti\u00e9 d\u2019entre elles disposent d\u2019acc\u00e8s sensibles ou privil\u00e9gi\u00e9s.<\/p>\n Parall\u00e8lement, 68 % des organisations n\u2019ont mis en \u0153uvre aucun contr\u00f4le de s\u00e9curit\u00e9 des identit\u00e9s pour leurs syst\u00e8mes d\u2019intelligence artificielle (IA). 47 % ne parviennent pas \u00e0 s\u00e9curiser l\u2019utilisation non autoris\u00e9e (Shadow-AI) de l\u2019IA. Dans un monde o\u00f9 les agents IA acc\u00e8dent de plus en plus de mani\u00e8re autonome aux syst\u00e8mes, chaque identit\u00e9 machine non contr\u00f4l\u00e9e devient une porte d\u2019entr\u00e9e potentielle.<\/p>\n Identity Threat Detection and Response (ITDR) comble la faille laiss\u00e9e ouverte par Zero Trust. Alors que Zero Trust r\u00e9gule l\u2019acc\u00e8s, l\u2019ITDR surveille le comportement apr\u00e8s l\u2019authentification. Gartner a forg\u00e9 ce terme apr\u00e8s avoir constat\u00e9 que l\u2019hygi\u00e8ne classique de la gestion des identit\u00e9s et des acc\u00e8s (IAM), comme le PAM et la gouvernance des identit\u00e9s, ne suffisait plus.<\/p>\n L\u2019ITDR corr\u00e9le en temps r\u00e9el les journaux d\u2019authentification, les signaux des appareils et le contexte utilisateur. Lorsqu\u2019un utilisateur se connecte depuis Munich et qu\u2019une session est activ\u00e9e cinq minutes plus tard depuis Bucarest, l\u2019ITDR d\u00e9tecte l\u2019incoh\u00e9rence. Lorsqu\u2019un compte de service acc\u00e8de soudainement \u00e0 des ressources qu\u2019il n\u2019a jamais sollicit\u00e9es auparavant, l\u2019ITDR d\u00e9clenche une alerte.<\/p>\n Microsoft a pr\u00e9sent\u00e9 sa strat\u00e9gie ITDR en juillet 2025, int\u00e9gr\u00e9e \u00e0 Microsoft Entra. Cette approche combine la protection des jetons, l\u2019\u00e9valuation des acc\u00e8s conditionnels et la d\u00e9tection continue d\u2019anomalies. Pour les entreprises de la r\u00e9gion DACH qui utilisent d\u00e9j\u00e0 Microsoft 365, c\u2019est l\u2019entr\u00e9e la plus rapide dans l\u2019ITDR.<\/p>\n 1. Prioriser la protection des jetons de session.<\/strong> Mise en \u0153uvre du Token Binding et des politiques d\u2019acc\u00e8s conditionnel qui lient les jetons aux appareils. Dur\u00e9es de vie courtes des jetons (maximum 8 heures pour les syst\u00e8mes sensibles). Activation de l\u2019\u00e9valuation continue de l\u2019acc\u00e8s (CAE) lorsque cela est disponible.<\/p>\n 2. D\u00e9ployer des cl\u00e9s d\u2019acc\u00e8s (Passkeys).<\/strong> Les Passkeys (FIDO2) sont actuellement le seul m\u00e9canisme d\u2019authentification r\u00e9sistant au phishing. Selon la FIDO Alliance, 47 % des entreprises avaient d\u00e9j\u00e0 d\u00e9ploy\u00e9 des Passkeys d\u2019entreprise en 2025. Point critique : \u00e9liminer tous les m\u00e9canismes de secours vuln\u00e9rables au phishing (SMS, \u00ab mot de passe oubli\u00e9 \u00bb), sinon le m\u00e9canisme de secours compromet la s\u00e9curit\u00e9.<\/p>\n 3. Inventorier les identit\u00e9s machines.<\/strong> R\u00e9pertorier les comptes de service, les cl\u00e9s API et les certificats. V\u00e9rifier les droits d\u2019acc\u00e8s privil\u00e9gi\u00e9s. Mettre en place la rotation et la gestion du cycle de vie. 82 identit\u00e9s machines par humain signifie que c\u2019est l\u00e0 que r\u00e9side le risque le plus \u00e9lev\u00e9.<\/p>\n 4. Mettre en \u0153uvre l\u2019ITDR.<\/strong> D\u00e9ploiement d\u2019une d\u00e9tection d\u2019anomalies bas\u00e9e sur le comportement pour les identit\u00e9s Active Directory<\/a> et les identit\u00e9s cloud. Corr\u00e9lation des journaux d\u2019authentification sur tous les fournisseurs d\u2019identit\u00e9. R\u00e9vocation automatique des sessions en cas de comportement suspect.<\/p>\n 5. Moderniser la d\u00e9fense contre l\u2019ing\u00e9nierie sociale.<\/strong> Avec une augmentation de 442 % du vishing, les formations standard ne suffisent plus. Mesures techniques : v\u00e9rification hors bande (out-of-band) pour les demandes sensibles, d\u00e9tection automatique des Deepfakes lors des appels vid\u00e9o, politiques de rappel pour toutes les transactions financi\u00e8res d\u00e9passant un seuil d\u00e9fini.<\/p>\n Zero Trust a transform\u00e9 la s\u00e9curit\u00e9 r\u00e9seau. Mais il a laiss\u00e9 une faille : l\u2019identit\u00e9 elle-m\u00eame. Si 87 % des organisations subissent des violations bas\u00e9es sur l\u2019identit\u00e9 malgr\u00e9 l\u2019utilisation du MFA et de Zero Trust, alors la s\u00e9curit\u00e9 des identit\u00e9s n\u2019est pas une priorit\u00e9 parmi d\u2019autres. C\u2019est la<\/strong> priorit\u00e9.<\/p>\n La technologie existe. Le Token Binding, les Passkeys, l\u2019ITDR et la gestion des identit\u00e9s machines sont disponibles. Ce qui manque, c\u2019est la prise de conscience que la s\u00e9curisation des identit\u00e9s m\u00e9rite autant d\u2019attention que celle du r\u00e9seau. Celui qui croit encore aujourd\u2019hui que le MFA suffit n\u2019a pas compris le paysage des menaces de 2026.<\/p>\n Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n L\u2019\u00e9cart entre ce que Zero Trust et le MFA prot\u00e8gent (l\u2019acc\u00e8s r\u00e9seau) et ce que les attaquants exploitent r\u00e9ellement (les identit\u00e9s vol\u00e9es et les jetons de session). 84 % des comptes compromis avaient le MFA activ\u00e9. Les attaquants le contournent au lieu de le cracker.<\/p>\n<\/details>\n Les attaquants utilisent le vol de jetons de session (logiciels malveillants Infostealer), le phishing AiTM (proxies transparents) et l\u2019ing\u00e9nierie sociale (vishing assist\u00e9 par l\u2019IA). Ces trois m\u00e9thodes contournent le MFA, car elles interceptent le jeton apr\u00e8s une authentification r\u00e9ussie ou am\u00e8nent l\u2019utilisateur \u00e0 le divulguer.<\/p>\n<\/details>\n Identity Threat Detection and Response. Une approche d\u00e9finie par Gartner qui effectue une analyse comportementale apr\u00e8s l\u2019authentification. L\u2019ITDR d\u00e9tecte l\u2019usage abusif d\u2019une session l\u00e9gitime, par exemple via des vitesses de d\u00e9placement impossibles, des sch\u00e9mas d\u2019acc\u00e8s atypiques ou une escalade soudaine de privil\u00e8ges.<\/p>\n<\/details>\n Les identit\u00e9s machines (comptes de service, cl\u00e9s API, certificats) d\u00e9passent les identit\u00e9s humaines dans un rapport de 82 pour 1. Pr\u00e8s de la moiti\u00e9 disposent d\u2019acc\u00e8s privil\u00e9gi\u00e9s. 68 % des organisations n\u2019ont pas mis en \u0153uvre de contr\u00f4les de s\u00e9curit\u00e9 sp\u00e9cifiques pour les identit\u00e9s machines.<\/p>\n<\/details>\n Activer la protection des jetons de session (Token Binding, dur\u00e9es courtes, CAE). D\u00e9ployer une authentification r\u00e9sistante au phishing (Passkeys\/FIDO2) et \u00e9liminer tous les m\u00e9canismes de secours vuln\u00e9rables au phishing. Inventorier les identit\u00e9s machines. Puis mettre en \u0153uvre l\u2019ITDR comme couche de surveillance continue.<\/p>\n<\/details>\nL’essentiel<\/h2>\n
\n
L\u2019illusion de la s\u00e9curit\u00e9<\/h2>\n
Comment les attaquants contournent Zero Trust<\/h2>\n
\nGartner, cit\u00e9 dans le CyberArk CISO Guide 2026<\/cite>\n<\/p><\/blockquote>\nLe vecteur humain : +442 % de vishing<\/h2>\n
Le point aveugle : les identit\u00e9s machines<\/h2>\n
ITDR : la couche manquante<\/h2>\n
Ce que les \u00e9quipes de s\u00e9curit\u00e9 informatique doivent faire maintenant<\/h2>\n
Conclusion : l\u2019identit\u00e9 est la nouvelle fronti\u00e8re<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Qu\u2019est-ce que l\u2019\u00e9cart de s\u00e9curit\u00e9 des identit\u00e9s (Identity Security Gap) ?<\/strong><\/summary>\n
Pourquoi le MFA n\u2019offre-t-il plus une protection fiable ?<\/strong><\/summary>\n
Qu\u2019est-ce que l\u2019ITDR ?<\/strong><\/summary>\n
Quel danger repr\u00e9sentent les identit\u00e9s machines ?<\/strong><\/summary>\n
Que devraient faire les entreprises en premier ?<\/strong><\/summary>\n
Lectures recommand\u00e9es par la r\u00e9daction<\/h2>\n
\n