Un nouveau rapport de la société de renseignement sur les menaces Flashpoint révèle que les criminels utilisent désormais l'intelligence artificielle dans leurs opérations quotidiennes, bien au-delà du stade expérimental.
Le rapport Global Threat Intelligence 2026 : édition de mi-année couvre les six premiers mois de l’année. Les analystes de Flashpoint ont analysé 3,9 pétaoctets de matériel, la plupart provenant de forums illicites, de canaux cryptés et d'infrastructures liées aux attaquants. Des boîtes à outils d'IA criminelle sont apparues dans plus de 22 millions de publications.
Une grande partie de l’outillage a depuis disparu de la vue du public. Les criminels utilisent des modèles de langage personnalisés, sans les garde-fous de sécurité, sur les infrastructures privées qu'ils contrôlent. Les utilisations incluent le profilage de cibles, les scripts d'évasion de logiciels malveillants, le contenu de phishing et la génération d'exploits. Flashpoint a déclaré que cela rend l'activité beaucoup plus difficile à repérer de l'extérieur, laissant les défenseurs avec un manque de visibilité.
Josh Lefkowitz, co-fondateur et directeur général de Flashpoint, a déclaré que l'IA « réduit le temps entre l'opportunité et l'exploitation ». Les outils qui nécessitaient autrefois une réelle expertise pour être développés en nécessitent désormais beaucoup moins, a-t-il déclaré.
Le malware Infostealer a infecté 7,4 millions d’hôtes dans le monde au cours des six mois. La récolte s'est élevée à 1,7 milliard d'informations d'identification et d'artefacts d'identité. Vidar, StealC et Lumma étaient en tête, vendant des produits d'abonnement qui récupèrent discrètement les jetons de session de navigateur actifs sur les machines infectées. Les attaquants qui détiennent un jeton de session en direct n'ont pas besoin du mot de passe.
Près d’une divulgation de vulnérabilité sur cinq est désormais accompagnée d’un code d’exploitation fonctionnel. La moitié a donné lieu à 21 667 divulgations au total. Le code d’exploitation était public pour 4 015. Flashpoint en a enregistré 6 808 avant qu’ils n’atteignent la base de données nationale sur les vulnérabilités. Plus de 34 % des vulnérabilités ont été jugées critiques ou élevées sur l'échelle CVSS, et Flashpoint a déclaré que ce volume a empêché les équipes de sécurité de travailler sur une file d'attente de correctifs triée uniquement par gravité.
Les victimes vérifiées de ransomware ont augmenté de 45 % par rapport au premier semestre 2025 pour atteindre 6 256, dont 2 669 ont été suivies dans les secteurs manufacturiers américains à 18 %. En tête de liste se trouvait Qilin avec 901 victimes, suivi d'Akira, 0APT, The Gentlemen et Dragon Force. Parmi eux, les cinq premiers représentent 44% de l'activité.
Les revenus des rançons ont quand même chuté. Le total des paiements en chaîne a chuté d'environ 8 % à 820 millions de dollars, sur la base des données de Chainalysis Inc. citées dans le rapport. La part des victimes qui ont payé a chuté à 28 %, ce que Flashpoint a qualifié de possible plus bas historique. Les outils d'accès automatisés ont fait baisser le prix moyen de l'accès initial vendu sur les marchés criminels de 69 %, à 439 $.
Le rapport relie le conflit militaire au Moyen-Orient à une augmentation des cyberopérations alignées sur les États au cours de cette période. Les cibles comprenaient les chaînes d’approvisionnement, les institutions financières et les systèmes de contrôle industriel. Flashpoint a identifié plusieurs familles d'essuie-glaces utilisées dans ces campagnes, certains outils étant liés au groupe Handala Hack et à APT39.
« Les données du premier semestre 2026 suggèrent que la cybercriminalité continue de fonctionner comme une économie de services, avec une spécialisation à chaque étape », a déclaré Ian Gray, vice-président du renseignement chez Flashpoint, avant la publication du rapport. « Il reste important de perturber les campagnes individuelles, mais comprendre les relations entre ces écosystèmes d’acteurs fournit un indicateur beaucoup plus solide de la direction que prendront ensuite les menaces. »
