Cybersécurité : Cloudflare observe un basculement des cyberattaques vers le vol d'identifiants et l'IA

Les cybercriminels cherchent de plus en plus à se connecter aux systèmes avec des identités légitimes plutôt qu’à forcer directement leurs défenses. C’est l’un des principaux constats du premier rapport 2026 de Cloudflare consacré aux menaces, publié le 3 mars à partir des observations de son équipe Cloudforce One et des données collectées sur son réseau mondial.

Cloudflare indique bloquer en moyenne plus de 230 milliards de menaces chaque jour. Selon le groupe, l’intelligence artificielle facilite désormais certaines phases des attaques, tandis que les campagnes DDoS atteignent des niveaux inédits et que les techniques ciblant les identités, le courrier électronique ou les accès légitimes continuent de progresser.

L’IA abaisse la barrière technique pour les attaquants

Les observations de Cloudforce One montrent une utilisation croissante des grands modèles de langage pour cartographier des réseaux, rechercher des vulnérabilités ou produire des contenus falsifiés plus crédibles.

Cloudflare cite notamment le suivi d’un acteur ayant utilisé l’IA pour localiser des données à forte valeur dans le cadre d’une attaque contre une chaîne d’approvisionnement, avec des conséquences sur plusieurs centaines d’environnements professionnels.

Cette évolution contribue, selon le rapport, à rendre accessibles des techniques qui nécessitaient auparavant davantage de ressources ou de compétences spécialisées.

Des identités professionnelles utilisées comme portes d’entrée

Le rapport met également l’accent sur les attaques visant directement les identités. Des agents nord-coréens auraient notamment utilisé des deepfakes générés par intelligence artificielle et de faux documents pour contourner des processus de recrutement et intégrer des entreprises occidentales.

Cloudflare décrit également le recours à des « fermes à ordinateurs portables » situées aux États-Unis afin de masquer la localisation réelle de ces personnes. Pour les entreprises, l’enjeu ne porte donc plus uniquement sur la protection de leur périmètre informatique, mais aussi sur la vérification de l’identité et des droits des personnes disposant déjà d’un accès.

Des attaques DDoS jusqu’à 31,4 Tbit/s

Les attaques par déni de service distribué poursuivent parallèlement leur montée en puissance. Cloudflare indique avoir observé un record de 31,4 Tbit/s et cite notamment le botnet Aisuru parmi les infrastructures capables de générer des volumes extrêmement importants.

Face à des attaques pouvant se déclencher et atteindre leur pic très rapidement, le groupe estime que les mécanismes de défense doivent être de plus en plus automatisés, les délais devenant trop courts pour permettre une intervention humaine classique.

Les infrastructures américaines ciblées par des acteurs liés à la Chine

Cloudforce One relève également une évolution des tactiques attribuées à des groupes soutenus par l’État chinois, parmi lesquels Salt Typhoon et Linen Typhoon. Selon le rapport, leurs opérations se concentrent davantage sur les télécommunications, les administrations et les services informatiques nord-américains.

Cloudflare évoque un passage de l’espionnage traditionnel vers une stratégie de « prépositionnement persistant », consistant à maintenir une présence dans des infrastructures critiques afin de pouvoir éventuellement mener d’autres opérations ultérieurement.

Le groupe appelle ainsi les organisations à compléter leurs dispositifs de sécurité traditionnels par une surveillance plus poussée des identités, des comportements et des menaces émergentes. Le rapport Cloudflare 2026 sur les menaces détaille les tendances observées à partir des milliers de milliards de signaux réseau analysés par Cloudforce One.