DBIR 2026 : les 5 enseignements du rapport Verizon sur les cyberattaques

Verizon vient de publier son Data Breach Investigations Report (DBIR) 2026, basé sur l’analyse de 32 000 incidents de sécurité dans le monde. Les résultats sont sans appel : l’élément humain reste le facteur n°1, l’IA générative turbocharge les attaques, et le Shadow AI devient un risque majeur. Voici les 5 enseignements clés.

Enseignement 1 : 62% des breaches impliquent l’élément humain

Le rapport confirme que 62% des violations de données impliquent un facteur humain. Ce chiffre, stable depuis plusieurs années (60% en 2025), regroupe plusieurs menaces :

Reutilisation de mots de passe : les credentials volés lors de fuites précédentes sont tries en masse contre d’autres services. Le credential stuffing reste le vecteur le plus rentable pour les attaquants.

Susceptibilite au phishing : 44% des vecteurs d’accès initial assistes par l’IA sont du phishing. L’IA générative permet de créer des campagnes d’notre guide pour repérer l’hameçonnage de qualité professionnelle, dans 50+ langues, en quelques secondes.

Deception par IA : les attaquants utilisent l’IA générative sur une mediane de 15 techniques distinctes dans leurs campagnes. Certains en utilisent jusqu’a 50.

Enseignement 2 : l’IA générative turbocharge les attaques

Le DBIR 2026 est le premier rapport a mesurer l’impact de l’IA générative sur les cyberattaques. Les chiffres sont marquants :

Les attaquants utilisent l’IA sur une median de 15 techniques distinctes par campagne, avec des pointes a 40-50 techniques. Le phishing represente 44% des vecteurs d’accès initial assistes par l’IA, la categorie la plus importante.

Donnée rassurante : l’assistance par IA n’a pas (encore) augmenté le taux de succès des attaques de manière mesurable. Mais l’IA abaisse le coût d’entrée : des acteurs moins compétents peuvent lancer des attaques sophistiquées.

Le pretexting (construction de scénarios fabriqués pour manipuler la cible) devient un vecteur d’accès au ransomware. L’attaquant est présent en temps réel dans la conversation, ajustant son histoire en fonction des reponses.

Enseignement 3 : le Shadow AI, risque insider majeur

45% des employés utilisent régulièrement l’IA sur leurs équipements professionnels, et 67% le font via des comptes non-entreprise. C’est le phénomène du Shadow AI : l’usage non contrôlé d’outils d’IA qui expose les données sensibles de l’entreprise.

Les employés collent des données confidentielles dans ChatGPT, copient du code proprietaire dans des assistants de codage IA, et partagent des fichiers sensibles avec des modèles d’IA publics. Les plateformes d’IA collectent ces données pour l’entraînement de leurs modèles.

Le DBIR recommande aux entreprises de gouverner l’usage de l’IA plutot que de l’interdire. Une politique claire, des outils approuves et une surveillance des flux de données vers les plateformes d’IA sont necessaires.

Enseignements 4 et 5 : les failles et la réponse

Enseignement 4 : Les failles logicielles devancent le vol d’identifiants comme vecteur d’attaque initial pour la première fois. Les vulnérabilités non-patchées dans les applications web, les VPN et les services cloud sont exploitées massivement.

Enseignement 5 : La defense en profondeur reste la stratégie la plus efficace. Les entreprises qui combinent détection comportementale, formation des employés, gestion des identités et surveillance des données ont des taux de breach inferieurs de 35%.

Le DBIR souligne que les contrôles techniques seuls ne suffisent pas. La formation continue, les simulations de phishing et la surveillance du comportement des utilisateurs sont tout aussi critiques que les pare-feu et les antivirus.

Questions fréquentes

Quiz : Avez-vous retenu le DBIR 2026