Rapport Microsoft 2026 : l’hameçonnage pèse 23 % des intrusions
Selon le Digital Defense Report 2026 de Microsoft, l’hameçonnage passe de 7 % à 23 % des intrusions et les administrations sont les plus visées.
L’essentiel
- Le rapport annuel de Microsoft sur les cybermenaces, publié le 1er octobre 2026, couvre la période de juillet 2025 à juin 2026.
- L’hameçonnage représente 23 % des intrusions observées en 2026, contre 7 % en 2025. Les administrations sont le secteur le plus touché.
- Microsoft observe l’IA à de nombreuses étapes des attaques et recommande de garder la main sur les outils et agents IA utilisés en interne.
L’hameçonnage change d’échelle
Microsoft a publié le 1er octobre 2026 son Digital Defense Report, un rapport annuel sur les cybermenaces observées par ses équipes entre juillet 2025 et juin 2026. Les chiffres sont mondiaux.
Premier signal : l’hameçonnage, ces faux messages qui imitent un interlocuteur de confiance, représente 23 % des intrusions observées en 2026, contre 7 % l’année précédente. Plus largement, 73,3 % des tentatives d’accès initial reposaient sur l’un de ces leviers : un utilisateur qui exécute lui-même un fichier ou une commande, des comptes valides détournés par l’attaquant, de la manipulation psychologique (ingénierie sociale) ou de l’hameçonnage. Microsoft dit aussi avoir détecté plus de 46 millions d’attaques par usurpation d’identité dans des courriels professionnels.
Une technique illustre cette tendance : ClickFix, où la victime est amenée à exécuter elle-même sur son ordinateur une commande fournie par l’attaquant. Entre février et début mai 2026, Microsoft a vu ce type de commande exécuté sur plus de 1,1 million d’appareils distincts, soit une multiplication par huit environ.
Les administrations en première ligne
Les administrations et services publics sont le secteur le plus touché : 27 % de l’activité observée en 2026, contre 17 % en 2025. Le rapport note aussi que le délai entre la découverte d’une faille et son exploitation peut tomber bien en dessous de 24 heures.
Dans son billet adressé aux gouvernements, Microsoft recommande de se préparer à des crises plus rapides, de prévoir qu’un incident se propage aux fournisseurs et partenaires, de s’entraîner régulièrement à la gestion de crise et de mutualiser certains services pour aider les administrations locales.
L’IA accélère les attaques, et doit être encadrée en interne
Microsoft observe l’IA utilisée pour chercher des failles, repérer les cibles, mener des campagnes d’hameçonnage, développer des logiciels malveillants et agir après l’intrusion. Chez les attaquants les plus aguerris, l’IA ramène parfois à quelques secondes des séquences d’attaque qui demandaient auparavant plusieurs jours. Le rapport nuance toutefois : derrière la plupart des intrusions complexes, il y a encore des humains aux commandes.
Autre point d’attention : un agent IA qui dispose de plus de droits que nécessaire devient lui-même une voie d’accès possible vers les données ou les applications. Les recommandations de Microsoft vont dans le même sens pour les personnes et pour les agents :
- protéger les identités avec des clés d’accès (passkeys) et une authentification multifacteur résistante à l’hameçonnage
- n’accorder que les droits strictement nécessaires (principe du moindre privilège)
- garder visibilité et contrôle sur les applications et agents IA utilisés, y compris ceux qui n’ont pas été formellement approuvés
- repérer et corriger vite les systèmes exposés sur Internet
Pour votre entreprise
Ce que ça change pour une entreprise en Guadeloupe
Ce rapport est mondial et ne détaille pas les Antilles. Mais deux de ses constats parlent directement aux structures de Guadeloupe.
D’abord, les collectivités. Communes, intercommunalités et établissements publics appartiennent au secteur le plus visé, et les plus petites n’ont pas toujours d’équipe de sécurité dédiée. La piste de services mutualisés évoquée par Microsoft a du sens à l’échelle d’un territoire. Des élus antillais ont d’ailleurs déjà été imités par des vidéos truquées, comme nous le racontions dans notre article sur les deepfakes. Notre page formation IA pour les collectivités présente l’approche pour les agents publics.
Ensuite, l’IA utilisée sans cadre : des salariés qui branchent un assistant ou un agent IA sur la messagerie ou les fichiers de l’entreprise sans que personne le sache. Une charte IA d’entreprise permet de fixer qui utilise quoi, avec quelles données. Et si vous envisagez de confier des tâches à un agent, le parcours Agents IA et automatisations traite de la sécurité, des données et de la supervision humaine.
Les priorités, même pour une petite équipe :
- activer l’authentification forte partout, et passer aux clés d’accès quand vos outils le proposent
- ne jamais exécuter une commande ou un « correctif » réclamé par une page web ou un message
- dresser la liste des outils IA utilisés dans l’équipe et des accès qu’ils ont reçus
- donner à chaque compte, humain ou agent, uniquement les droits dont il a besoin
Mise en pratique
À tester en 10 minutes
Faire l’inventaire de vos outils IA
- Demandez à chaque membre de l’équipe quels outils IA il utilise pour le travail, y compris les versions gratuites.
- Pour chaque outil, notez qui l’utilise, pour quelles tâches et avec quelles données.
- Repérez ceux qui sont connectés à des comptes de l’entreprise (messagerie, agenda, stockage de fichiers).
- Retirez les accès qui ne servent plus et décidez, outil par outil, de ce qui est autorisé.
Sources
- Preparing governments for an era of interconnected cyber risk (nouvel onglet) · Microsoft On the Issues,
- 2026 Microsoft Digital Defense Report (nouvel onglet) · Microsoft Security Insider,
- Microsoft Digital Defense 2026 Report Highlights New Cybersecurity Challenges Amid Rapid AI Adoption (nouvel onglet) · Microsoft Source Asia,