Identifiants volés : la porte que les attaquants utilisent le plus
La plupart des attaques ne commencent pas par une technique spectaculaire. Elles commencent par quelqu'un qui se connecte.
Publié le 16.10.2026
33 %
des violations dans les PME impliquaient des identifiants volés (Verizon DBIR 2025, données mondiales)
> 1/3
des PME suisses réutilisent leurs mots de passe d'un service à l'autre (FHNW, 2024)
73
cas de compromission de messagerie d'entreprise au second semestre 2025, contre 49 un an plus tôt
Les identifiants, point d'entrée
Dans le rapport 2025 de Verizon, des identifiants volés étaient impliqués dans 33 % des violations touchant de petites et moyennes organisations, et un rançongiciel dans 88 % d'entre elles. Ce sont des données mondiales, pas suisses, mais elles rejoignent ce que décrivent les autorités suisses.
Le même schéma en Suisse
L'étude de la FHNW relève que plus d'un tiers des PME réutilisent leurs mots de passe sur plusieurs services et que les gestionnaires de mots de passe restent peu utilisés. Au premier semestre 2026, le BACS a observé davantage d'hameçonnage Microsoft 365 visant à prendre le contrôle de boîtes mail professionnelles, parfois en se faisant passer pour le support informatique ou un dirigeant.
Une question d'accès, pas seulement de technologie
Qui a accès à quoi, si l'authentification multifacteur est activée, ce qui se passe quand quelqu'un change de rôle ou quitte l'entreprise : ce sont des questions d'identités et d'accès. Elles sont surtout organisationnelles, et c'est là qu'une petite entreprise peut agir en premier. Le BACS recommande l'authentification multifacteur et des systèmes à jour.
La gestion des identités et des accès n'est pas réservée aux grands groupes. Un tour d'horizon court de « qui peut accéder à quoi » est un bon premier pas.
Sources
- Verizon · 2025 DBIR, SMB snapshot · 2025
- KMU-Portal (SECO) · FHNW Cyberstudie 2024 · 27.11.2024
- BACS / NCSC · Semi-Annual Report 2026/1 · 24.08.2026
- KMU-Portal (SECO) · BACS Halbjahresbericht 2025/2 · 06.05.2026
Nous résumons, nous ne reproduisons pas. Sources consultées le 16.10.2026. Ces textes informent : ils ne constituent pas un avis juridique, et un chiffre moyen ne prédit pas ce qui arrivera à une entreprise donnée.