DBIR 2026 : 96 % des victimes de rançongiciel sont des PME, et après ?

Le Data Breach Investigations Report de Verizon, publié le 25 mai 2026, reste la référence annuelle la plus citée du secteur, et pour cause : il repose sur l'analyse de dizaines de milliers d'incidents réels. L'édition 2026 apporte deux enseignements qui devraient recadrer les priorités de toute PME. Le premier concerne l'accès initial, le second concerne le rançongiciel. Ensemble, ils dessinent une feuille de route claire.

Enseignement numéro un : la vulnérabilité passe devant l'identifiant volé

Pour la première fois dans l'histoire du rapport, l'exploitation de vulnérabilités devient le vecteur d'accès initial le plus courant, atteignant 31 pour cent des intrusions, en hausse de 55 pour cent par rapport à l'année précédente. C'est un basculement de fond. Pendant des années, le message dominant était que le vol d'identifiants, par hameçonnage ou par réutilisation de mots de passe, constituait la porte d'entrée principale. Ce n'est plus le cas. Les attaquants privilégient désormais l'exploitation de failles logicielles.

Cette bascule s'accompagne d'un constat sur l'accès distant. L'analyse des offres des courtiers d'accès initial montre que 44 pour cent des types de connexion vendus concernent des VPN et 35 pour cent des applications de bureau à distance. Autrement dit, les équipements de bordure, VPN et accès distants, sont à la fois la cible la plus exploitée et la marchandise la plus vendue sur le marché de l'accès. Les articles précédents de ce blog sur SonicWall, Check Point ou SimpleHelp ne sont pas des cas isolés : ils sont la tendance elle-même.

Enseignement numéro deux : le rançongiciel est un problème de PME

Le rançongiciel était présent dans 48 pour cent de l'ensemble des compromissions analysées. Et surtout, les petites et moyennes entreprises représentent environ 96 pour cent des victimes de rançongiciel pour lesquelles la taille de l'organisation est connue. Ce chiffre mérite qu'on s'y arrête. Il contredit l'idée reçue selon laquelle le rançongiciel viserait d'abord les grands groupes. La réalité est que la majorité des campagnes sont opportunistes : elles ciblent les organisations aux identifiants volés, aux vulnérabilités non corrigées ou aux ressources de sécurité limitées. C'est le profil type d'une PME, pas d'un grand compte doté d'un centre opérationnel de sécurité.

Traduire ces chiffres en actions concrètes

Un rapport ne vaut que par ce qu'on en fait. Voici comment une PME peut traduire ces deux enseignements en priorités opérationnelles, dans l'ordre.

Premièrement, la gestion de l'exposition prend le pas sur la seule gestion des vulnérabilités. Puisque l'exploitation de failles est le premier vecteur, et que les équipements de bordure sont en tête, la priorité absolue est de savoir ce que vous exposez sur Internet et d'appliquer les correctifs sur ces équipements en premier. Un VPN ou un pare-feu non corrigé est aujourd'hui statistiquement votre plus grand risque.

Deuxièmement, prioriser par l'exploitation réelle, pas par le score théorique. Toutes les vulnérabilités ne se valent pas. Celles qui figurent au catalogue des vulnérabilités activement exploitées de la CISA, ou dont le score EPSS de probabilité d'exploitation est élevé, doivent être traitées avant les autres, quel que soit leur score CVSS brut. Corriger dans l'ordre de la menace réelle, pas dans l'ordre du catalogue.

Troisièmement, se doter d'indicateurs de menace frais. Puisque les campagnes sont opportunistes et rapides, disposer d'un flux d'indicateurs à jour, adresses IP, domaines et empreintes associés aux campagnes en cours, permet de bloquer ou de détecter une attaque avant qu'elle n'aboutisse. C'est particulièrement vrai pour une PME sans équipe dédiée, qui ne peut pas mener sa propre veille en continu.

Le point aveugle des PME : l'accès distant

Le fil conducteur du rapport, pour une petite structure, est que l'accès distant est devenu le champ de bataille principal. Un employé en télétravail, un prestataire qui se connecte à distance, un serveur d'accès exposé : chacun de ces points est à la fois indispensable au fonctionnement et convoité par les attaquants. La mesure la plus rentable n'est donc pas nécessairement le dernier outil de sécurité à la mode, mais la discipline de corriger vite les équipements de bordure et de surveiller ce qui s'y connecte.

Les enseignements du DBIR 2026 ne sont pas une fatalité pour les PME, ils sont une liste de priorités. La détection et le blocage d'attaques opportunistes reposent sur des indicateurs qualifiés et actualisés. C'est ce que fournit le feed IOC ThreatClaw : un flux d'indicateurs prêt à alimenter votre pare-feu ou votre SIEM, pour transformer les constats d'un rapport annuel en défense quotidienne.