De l’intrusion au mouvement latéral en 27 secondes : comment les attaques accélérées par l’IA dépassent les défenseurs humains

L’indicateur de vitesse qui devrait terrifier chaque RSSI

Depuis des années, l’industrie de la cybersécurité suit le « temps de propagation » (breakout time) comme un indicateur critique — l’intervalle entre l’accès initial d’un attaquant à un système et son mouvement latéral vers d’autres actifs au sein du réseau. C’est, par essence, la fenêtre dont dispose un défenseur pour détecter, investiguer et contenir une brèche avant qu’elle ne devienne une catastrophe.

Cette fenêtre se referme brutalement. Le rapport Global Threat Report 2026 de CrowdStrike, publié en février 2026, révèle que le temps de propagation moyen des intrusions eCrime s’est comprimé à 29 minutes en 2025, soit une accélération de 65 % par rapport à 2024. La tendance est implacable : le temps de propagation moyen était de 84 minutes en 2022, est descendu à 62 minutes en 2023, a chuté encore à 48 minutes en 2024, et atteint désormais 29 minutes. Mais la moyenne masque le point de données véritablement alarmant : le temps de propagation le plus rapide enregistré a été de 27 secondes. Pas 27 minutes — 27 secondes entre le point d’ancrage initial et le mouvement latéral.

Séparément, le rapport Global Incident Response 2026 de Unit 42 (Palo Alto Networks) a constaté que dans le quart le plus rapide des incidents investigués, les attaquants sont passés de l’accès initial à l’exfiltration de données en seulement 72 minutes — une accélération quadruple par rapport aux 285 minutes de l’année précédente pour la même cohorte. Sur l’ensemble des incidents, le délai médian avant exfiltration était de deux jours, mais dans un cas sur cinq, les données ont été dérobées dans la première heure.

Ces chiffres représentent l’avant-garde d’un changement structurel dans le paysage des menaces, alimenté par l’adoption par les attaquants de l’automatisation, de l’outillage assisté par l’IA et d’infrastructures pré-déployées. Les implications pour la stratégie défensive sont profondes : le modèle traditionnel de détection et de réponse pilotées par l’humain atteint ses limites opérationnelles.

Les facteurs de l’accélération

Plusieurs facteurs convergents expliquent pourquoi les attaquants agissent plus vite que jamais.

Infrastructure d’attaque pré-déployée

Les acteurs de la menace modernes ne partent pas de zéro pour chaque intrusion. Les groupes sophistiqués maintiennent des bibliothèques de kits d’exploitation pré-compilés, des infrastructures de commandement et contrôle (C2) pré-configurées, et des scripts automatisés déployables en quelques secondes après l’obtention de l’accès initial. Le temps de propagation de 27 secondes a été réalisé par un acteur ayant automatisé l’intégralité de la séquence post-exploitation — collecte d’identifiants, escalade de privilèges et mouvement latéral — dans un seul flux de travail scripté s’exécutant dès le lancement de la charge utile initiale.

Reconnaissance et exploitation assistées par l’IA

Les acteurs de la menace utilisent de plus en plus des outils d’IA pour accélérer la phase de reconnaissance — cartographie des topologies réseau, identification des cibles à haute valeur et sélection des chemins optimaux de mouvement latéral. Le rapport 2026 de CrowdStrike a constaté que les attaques utilisant l’IA ont augmenté de 89 % en glissement annuel, les adversaires utilisant l’IA comme arme dans la reconnaissance, le vol d’identifiants et l’évasion. Bien que les outils spécifiques utilisés par les groupes criminels restent quelque peu opaques, les chercheurs en sécurité ont démontré que les LLM disponibles commercialement peuvent significativement accélérer des tâches comme l’analyse des structures Active Directory, l’identification de services mal configurés et la génération de code d’exploitation personnalisé pour des environnements cibles spécifiques.

L’écosystème des courtiers d’accès

Le marché des courtiers d’accès initial (Initial Access Brokers) s’est transformé en une chaîne d’approvisionnement sophistiquée où des groupes spécialisés se concentrent exclusivement sur l’obtention de points d’ancrage initiaux — par hameçonnage, bourrage d’identifiants, exploitation de vulnérabilités ou achat d’identifiants volés — puis revendent cet accès à des opérateurs spécialisés dans le mouvement latéral et l’exfiltration de données. CrowdStrike a observé une hausse de 50 % en glissement annuel des annonces de courtiers d’accès. Cette division du travail signifie qu’au moment où la « propagation » commence, l’équipe attaquante a souvent déjà été briefée sur l’architecture de l’environnement cible, ce qui accélère considérablement leur progression.

Attaques basées sur l’identité

Le rapport 2026 de CrowdStrike souligne que 82 % des détections en 2025 étaient sans malware — les attaquants se sont appuyés sur des identifiants volés, le détournement de jetons de session, l’ingénierie sociale et l’abus d’outils d’accès à distance légitimes plutôt que le déploiement de malware traditionnel. Le chiffre de l’année précédente était de 79 %. Les attaques basées sur l’identité sont intrinsèquement plus rapides car elles contournent les mécanismes de détection sur les terminaux. Un attaquant utilisant des identifiants légitimes pour s’authentifier sur un contrôleur de domaine est identique à un administrateur autorisé, et le « mouvement latéral » consiste simplement à se connecter à un autre système avec des identifiants valides. Il n’y a pas de malware à détecter, pas d’exploit à signaler, et pas d’exécution binaire anormale pour déclencher des alertes.

Le rapport 2026 de Unit 42 corrobore cette tendance, constatant que les faiblesses d’identité ont joué un rôle matériel dans près de 90 % de ses enquêtes.

L’écart de réponse du SOC

L’accélération de la vitesse des attaquants a exposé un décalage fondamental avec le tempo opérationnel de la plupart des Centres d’opérations de sécurité (SOC). Le flux de travail SOC traditionnel — tri des alertes, investigation, escalade, autorisation de réponse, action de confinement — a été conçu pour un paysage de menaces où les défenseurs disposaient d’heures ou de jours pour réagir. Quand le temps de propagation se mesure en minutes ou en secondes, ce flux de travail s’effondre.

Considérons le calcul. Un analyste SOC de niveau 1 typique reçoit une alerte de sécurité et commence le tri initial. Le temps de tri moyen dans l’industrie est de 15 à 20 minutes par alerte, en tenant compte de la collecte de contexte, de la corrélation des journaux et de l’évaluation initiale. Si l’alerte est escaladée au niveau 2 pour une investigation plus approfondie, ajoutez 20 à 30 minutes supplémentaires. Le temps qu’un analyste humain ait confirmé que l’alerte représente une véritable intrusion et initié les procédures de confinement, l’attaquant a bénéficié de 30 à 50 minutes d’accès sans entrave — plus que suffisant pour atteindre ses objectifs dans le paysage actuel des menaces.

Le problème est aggravé par le volume d’alertes. L’enquête SOC 2025 du SANS a révélé que 66 % des équipes de sécurité ne parviennent pas à suivre le volume d’alertes entrantes, et plus de la moitié signalent les faux positifs comme un obstacle opérationnel majeur. Les analystes se noient dans le bruit, et la charge cognitive liée à la distinction entre menaces réelles et fausses alarmes ralentit davantage les temps de réponse. Le coût humain est significatif : 70 % des analystes SOC ayant cinq ans d’expérience ou moins quittent le poste dans les trois ans.

Même les organisations disposant de programmes de sécurité matures et de SOC bien dotés en personnel sont en difficulté. Le problème n’est pas l’incompétence ou le manque d’investissement — c’est un décalage structurel entre le tempo opérationnel humain et les attaques à vitesse machine.

L’accélération de l’exfiltration de données

Alors que le temps de propagation mesure la vitesse du mouvement latéral, l’indicateur d’exfiltration de données raconte une histoire plus complète de l’impact des attaques. La constatation de Unit 42 selon laquelle le quart le plus rapide des incidents a atteint l’exfiltration dans les 72 minutes suivant la compromission initiale — et qu’un cas sur cinq a vu les données dérobées dans la première heure — signifie que dans une part significative des incidents, les données avaient déjà été volées avant même que la plupart des processus de réponse aux incidents ne commencent.

L’accélération de la vitesse d’exfiltration reflète plusieurs tendances. Les attaquants sont devenus plus ciblés dans leur collecte de données, utilisant des outils automatisés pour identifier et préparer rapidement les données à haute valeur plutôt que de tenter une exfiltration en masse susceptible de déclencher les contrôles de prévention contre la perte de données. Les techniques modernes d’exfiltration exploitent également des services cloud légitimes — téléchargeant les données vers des comptes de stockage cloud contrôlés par l’attaquant via des API qui ressemblent au trafic commercial normal. Unit 42 a constaté que 23 % des incidents impliquaient des attaquants exploitant des applications SaaS tierces comme canaux d’exfiltration.

L’accélération de l’exfiltration reflète également la prévalence croissante des attaques axées d’abord sur le vol de données. Unit 42 a rapporté que l’extorsion basée sur le chiffrement a diminué de 15 % par rapport à l’année précédente, car davantage d’attaquants passent directement au vol de données et à la perturbation en sautant le chiffrement. Les données sont exfiltrées avant tout déploiement de rançongiciel, garantissant à l’attaquant un levier même si la victime peut restaurer à partir de sauvegardes.

Pour les organisations soumises à des obligations de notification de violation — ce qui inclut désormais la plupart des entreprises opérant dans des secteurs réglementés ou des juridictions dotées de lois complètes sur la protection des données — la vitesse d’exfiltration a des implications réglementaires. Si les données sont volées dans la première heure, l’ensemble du calendrier de l’incident se comprime : détection, investigation, notification et remédiation opèrent tous sous des délais raccourcis.

Repenser la défense face aux menaces à vitesse machine

S’adapter à cette nouvelle réalité nécessite des changements fondamentaux dans la manière dont les organisations abordent la détection et la réponse, et non des améliorations incrémentales des processus existants.

Détection et réponse automatisées

L’adaptation la plus critique est le passage d’une réponse initiale pilotée par l’humain à une réponse pilotée par la machine. Quand le temps de propagation se mesure en secondes, la première ligne de défense doit être constituée de systèmes automatisés capables de détecter un comportement anormal et d’initier des actions de confinement sans attendre l’analyse humaine. Cela signifie des réponses automatisées pré-autorisées — isoler les terminaux compromis, révoquer les sessions suspectes, bloquer les tentatives de mouvement latéral — qui s’exécutent dans les secondes suivant la détection.

C’est un changement culturel significatif pour de nombreuses organisations. Le confinement automatisé comporte le risque que des faux positifs perturbent les opérations légitimes, et la crainte que « la machine coupe l’ordinateur du PDG pendant une réunion du conseil d’administration » a historiquement empêché les organisations de déployer une automatisation agressive. Mais le calcul du risque a changé : le coût d’un retard de 30 minutes dans le confinement dépasse désormais le coût d’une perturbation occasionnelle par faux positif. L’enquête SOC 2025 du SANS a constaté que si 64 % des équipes disposent de mécanismes de réponse automatisée, moins d’un quart ont entièrement automatisé leurs processus.

Sécurité centrée sur l’identité

Avec 82 % des intrusions exploitant des techniques basées sur l’identité, le périmètre s’est définitivement déplacé de la frontière du réseau vers la couche d’identité. Les organisations ont besoin d’une authentification et d’une autorisation continues — non pas seulement la vérification de l’identité à la connexion, mais la surveillance du comportement des sessions authentifiées pour détecter des anomalies suggérant une compromission d’identifiants. Cela inclut la détection de scénarios de voyage impossible, de schémas d’accès inhabituels, de séquences d’escalade de privilèges et de réutilisation de jetons de session depuis différentes adresses source.

Architecture de présomption de compromission

Les données sur la vitesse plaident fortement en faveur d’architectures de « présomption de compromission » (assume breach) qui limitent la valeur de tout identifiant ou terminal compromis isolément. La micro-segmentation, l’accès réseau Zero Trust, l’élévation de privilèges juste-à-temps et la journalisation d’audit exhaustive contribuent tous à un environnement où l’accès initial d’un attaquant ne se traduit pas automatiquement par un large mouvement au sein du réseau. La constatation de Unit 42 selon laquelle les erreurs de configuration ou les lacunes dans la couverture de sécurité ont matériellement facilité l’attaque dans plus de 90 % des incidents investigués souligne que l’hygiène de sécurité de base reste fondamentale.

Plans de réponse pré-autorisés

Les organisations devraient développer et pré-autoriser des plans de réponse pour les scénarios d’attaque courants, éliminant le goulot d’étranglement décisionnel qui ralentit la réponse humaine. Lorsqu’un système automatisé détecte un schéma d’attaque basé sur les identifiants, la réponse — terminaison de session, réinitialisation des identifiants, isolation du terminal — devrait s’exécuter immédiatement sous autorité prédéfinie, la revue humaine intervenant après le confinement plutôt qu’avant.

Simulation continue des menaces

Le seul moyen de valider que les mesures défensives peuvent rivaliser avec la vitesse des attaquants est un test continu. Les exercices de red team, les plateformes de simulation de brèches et d’attaques, et les exercices sur table axés sur les scénarios de réponse rapide aident tous les organisations à identifier les goulots d’étranglement dans leurs chaînes de détection et de réponse avant que de vrais attaquants ne les exploitent.

Le facteur humain : augmentation, pas remplacement

Malgré l’accent mis sur l’automatisation, l’objectif n’est pas de retirer les humains de l’équation sécuritaire mais de redéfinir leur rôle. Les systèmes automatisés gèrent les actions initiales de détection et de confinement qui doivent se produire en quelques secondes. Les analystes humains se concentrent sur les tâches nécessitant jugement, contexte et créativité : investiguer la cause profonde, évaluer l’étendue de la compromission, prendre des décisions stratégiques concernant la reprise, et adapter les défenses en fonction des leçons apprises.

Ce modèle — parfois appelé « humain sur la boucle » (human-on-the-loop) plutôt que « humain dans la boucle » (human-in-the-loop) — préserve la supervision humaine tout en reconnaissant que les temps de réaction humains ne peuvent rivaliser avec les attaques à vitesse machine. Le rôle de l’humain passe de gardien (autorisant chaque action de réponse) à superviseur (surveillant les réponses automatisées et intervenant quand le jugement est nécessaire).

Les implications en termes de talents sont significatives. Les analystes SOC dans ce modèle ont besoin de compétences différentes du tri d’alertes traditionnel — ils doivent comprendre la logique de réponse automatisée, affiner les algorithmes de détection, concevoir des plans de réponse, et investiguer des intrusions complexes à plusieurs étapes que les systèmes automatisés signalent mais ne peuvent pas résoudre entièrement. C’est un rôle à plus forte compétence et à plus fort impact, mais il nécessite une reconversion et une réorganisation que de nombreuses équipes de sécurité n’ont pas encore entreprises.

La course aux armements continue

Le temps de propagation de 27 secondes est une étape, pas un plancher. À mesure que les attaquants continuent d’adopter l’outillage assisté par l’IA et les chaînes d’attaque automatisées, les temps de propagation se comprimeront probablement davantage. Le défi des défenseurs n’est pas d’égaler la vitesse des attaquants dans une course linéaire — c’est une proposition perdante — mais de construire des architectures et des processus qui rendent la vitesse moins décisive.

Un environnement où chaque identifiant est limité en portée, chaque action est journalisée, chaque anomalie déclenche un confinement automatisé, et chaque scénario de reprise est répété est un environnement où un temps de propagation de 27 secondes importe moins car la liberté d’action de l’attaquant est contrainte à chaque étape. Y parvenir nécessite de l’investissement, un changement organisationnel, et la volonté d’accepter que le modèle défensif de la dernière décennie n’est plus adapté au paysage des menaces de 2026.

Sources et lectures complémentaires

• 2026 CrowdStrike Global Threat Report: AI Accelerates Adversaries and Reshapes the Attack Surface — CrowdStrike
• 2026 Unit 42 Global Incident Response Report: Attacks Now 4x Faster — Palo Alto Networks
• CrowdStrike 2026 Global Threat Report: Evasive Adversary Wields AI — CrowdStrike Blog
• SANS 2025 SOC Survey: SOCs in Slow Motion — SANS Institute / Torq
• Unit 42 Report: AI and Attack Surface Complexity Fuel Majority of Breaches — Palo Alto Networks
• CrowdStrike Says AI Is Officially Supercharging Cyber Attacks — IT Pro