Le Data Breach Investigations Report (DBIR) de Verizon est depuis longtemps considéré comme l’un des rapports de référence les plus importants du secteur de la cybersécurité. La version 2026 analyse plus de 31 000 incidents de sécurité et plus de 22 000 violations de données confirmées à travers le monde, des chiffres sans précédent.
La principale conclusion du rapport est que l’exploitation des vulnérabilités est devenue le vecteur d’accès initial le plus courant des attaques réussies. Les entreprises retiendront toutefois un autre enseignement particulièrement important : le facteur humain continue de gagner en importance, principalement en raison de formes toujours plus sophistiquées d’ingénierie sociale.
Les cybercriminels s’appuient de plus en plus sur des techniques de tromperie renforcées par l’IA, des canaux de communication mobiles et des usurpations d’identité crédibles, plutôt que sur de simples campagnes de spam par e-mail.
Le facteur humain reste le principal vecteur d’attaque
Selon Verizon, le facteur humain joue un rôle clé dans 62 % de l’ensemble des violations de données. L’ingénierie sociale demeure l’un des vecteurs d’attaque les plus répandus et est impliquée dans 16 % de toutes les violations de sécurité.
Alors que les attaques de phishing sont généralement menées de manière asynchrone par e-mail, les attaquants modernes privilégient de plus en plus des interactions directes, telles que les appels téléphoniques, les SMS, la messagerie instantanée ou les échanges continus par e-mail. Leur objectif est d’instaurer une relation de confiance et de manipuler les collaborateurs en temps réel.
L’ingénierie sociale mobile s’impose comme un modèle d’attaque efficace
Les chiffres concernant les vecteurs d’attaque mobiles sont particulièrement préoccupants. Selon le rapport Verizon, le taux de réussite médian des attaques d’ingénierie sociale sur mobile, telles que celles menées par appel vocal ou SMS, est environ 40 % plus élevé que celui des campagnes de phishing classiques menées exclusivement par e-mail.
Les communications mobiles créent un sentiment d’urgence plus fort, fournissent moins de contexte et réduisent considérablement l’attention portée aux indicateurs de sécurité. Les utilisateurs sont beaucoup moins enclins à vérifier l’expéditeur, les URL ou à remarquer des formulations inhabituelles sur leur smartphone.
De plus, les attaques modernes utilisent souvent plusieurs canaux en parallèle. Un scénario typique peut inclure :
- une prise de contact initiale par SMS ou via un chat Teams,
- un appel téléphonique ultérieur sous une fausse identité,
- puis un e-mail demandant des identifiants de connexion ou une validation MFA.
Par conséquent, les frontières entre le phishing traditionnel par e-mail, le vishing et la compromission de comptes deviennent de plus en plus floues.
L’IA permet à l’ingénierie sociale de passer à l’échelle
Le rapport montre également clairement que l’IA générative est désormais pleinement opérationnelle. Selon Verizon, les attaquants utilisent actuellement l’IA générative à pratiquement toutes les étapes de leurs attaques : de la sélection des cibles à la création de messages de phishing crédibles, au développement de logiciels malveillants et à l’automatisation des différentes phases de l’attaque, sans oublier la traduction et la localisation linguistique.
Ce qui est particulièrement préoccupant pour les entreprises, c’est que l’IA ne rend pas nécessairement les attaques plus sophistiquées sur le plan technique, mais qu’elle en augmente considérablement l’ampleur et le niveau de professionnalisme. Les e-mails de phishing mal rédigés et truffés de fautes d’orthographe disparaissent progressivement. Ils sont remplacés par de grands volumes de messages de haute qualité, convaincants sur le plan linguistique, soigneusement personnalisés et adaptés à leur contexte.
L’e-mail reste un point de départ majeur des attaques
Malgré l’émergence de nouveaux canaux de communication, l’e-mail demeure un point d’entrée essentiel pour les attaques. Dans le DBIR, le phishing figure toujours parmi les principaux vecteurs d’accès initial. Parallèlement, le rapport révèle que les identifiants volés interviennent encore dans 39 % de l’ensemble des violations.
Cela souligne une réalité fondamentale de la cyberdéfense moderne : aujourd’hui, les entreprises ne doivent pas seulement bloquer les logiciels malveillants, mais avant tout sécuriser les identités, les communications et les processus d’accès. C’est précisément là que les solutions modernes de sécurité des e-mails jouent un rôle essentiel.
Ce que les entreprises doivent désormais faire
Le DBIR confirme une nouvelle fois que les mesures de sécurité techniques et organisationnelles doivent fonctionner de manière complémentaire. Les entreprises sont donc invitées à :
1. Mettre en place une sécurité avancée des e-mails
Les filtres antispam traditionnels ne suffisent plus. Les entreprises ont besoin d’une protection plus complète :
- détection du phishing basée sur l’IA
- sandboxing des URL et des pièces jointes
- protection contre la compromission des e-mails professionnels (BEC)
- protection contre la compromission des comptes
- DMARC, SPF et DKIM
2. Protéger systématiquement les identités numériques
L’utilisation abusive des identifiants reste l’un des vecteurs d’attaque les plus importants. L’authentification multifacteur (MFA), les contrôles d’accès conditionnels et des procédures d’authentification robustes sont indispensables pour les entreprises.
3. Préparer les collaborateurs aux stratégies d’attaque modernes
Les formations de sensibilisation doivent désormais aller bien au-delà des e-mails de phishing traditionnels et couvrir également le vishing, les attaques par SMS, la fatigue MFA et les techniques d’ingénierie sociale au sein des outils collaboratifs.
4. Prendre en compte l’ensemble des canaux de communication
L’époque où les attaques malveillantes se limitaient aux e-mails est révolue. Les entreprises ont besoin de stratégies de sécurité adaptées à des environnements de communication hybrides comprenant :
- l’e-mail
- les plateformes collaboratives
- la messagerie mobile
- les communications vocales
Une ingénierie sociale plus sophistiquée, mais pas fondamentalement différente
Le Verizon DBIR 2026 montre clairement que, si le paysage des menaces continue d’évoluer, les principes fondamentaux des attaques réussies restent étonnamment constants.
Les attaquants cherchent toujours à exploiter les faiblesses humaines, la confiance et les identités afin d’obtenir des accès non autorisés. La différence est que leurs campagnes sont désormais beaucoup plus professionnelles, renforcées par l’IA et menées sur plusieurs canaux.
Pour les entreprises, cela signifie que, loin de devenir une problématique du passé, la sécurité des e-mails s’impose rapidement comme un élément central de la sécurité moderne des identités et des communications.
En d’autres termes, même si les technologies évoluent, les attaquants continuent de suivre une approche éprouvée : manipuler les personnes pour les amener à effectuer la mauvaise action.
