PRAGMA — The Signal #009
Votre EDR vous protège. Jusqu'à ce qu'il vous rende aveugle.
Le 24 février 2026, CrowdStrike a publié son Global Threat Report annuel : le temps moyen qu'un attaquant met pour passer d'un premier accès à un mouvement latéral est tombé à 29 minutes. C'est deux fois moins que le temps moyen qu'une équipe met pour ouvrir, lire et qualifier une alerte dans un outil de détection. Dans le même rapport : 82% des intrusions détectées en 2025 étaient malware-free — les attaquants se déplaçaient via des identifiants légitimes et des flux autorisés, là où les EDR regardent le moins. L'outil qui devait vous protéger vous a appris à regarder ailleurs.
1 / Ce qu’il fallait voir cette semaine
— 29 minutes pour compromettre un réseau. Des heures pour lire la notification.
Le 24 février 2026, CrowdStrike a publié son 2026 Global Threat Report, basé sur les observations de plus de 280 groupes d'attaquants suivis en temps réel. Le chiffre le plus commenté : le temps moyen d'intrusion eCrime est tombé à 29 minutes, soit 65% plus rapide qu'en 2024, avec le record absolu observé à 27 secondes. Dans une intrusion documentée, l'exfiltration de données a commencé quatre minutes après l'accès initial.
CE QUI S'EST PASSÉ
Les adversaires activés par l'IA ont augmenté leurs opérations de 89% en glissement annuel, utilisant l'IA pour la reconnaissance, le vol de credentials et l'évasion. Mais le signal structurant du rapport n'est pas la vitesse — c'est la méthode. En 2025, les attaquants opéraient via des identifiants valides, des flux d'identité approuvés et des intégrations SaaS légitimes. 82% des détections étaient malware-free. Les intrusions se déplaçaient via des canaux autorisés et des systèmes de confiance, où elles se fondaient dans l'activité normale.
CE QUE ÇA SIGNALE VRAIMENT
Ce chiffre de 82% est la lecture que les éditeurs d'EDR ne mettent pas en avant dans leurs plaquettes commerciales. Un outil de détection comportementale est conçu pour repérer des anomalies sur des exécutables, des processus, des scripts. Quand un attaquant se connecte avec vos propres credentials, accède à votre SharePoint via l'intégration Microsoft 365 approuvée, et exfiltre vos données via un outil SaaS déjà whitelisté — il passe entre les mailles, légalement, silencieusement. Les intrusions se déplacent désormais via des identités de confiance, des applications SaaS et des infrastructures cloud, en se fondant dans l'activité normale tout en comprimant le temps de réponse des défenseurs.
Parallèlement, l'ANSSI a publié son Panorama de la cybermenace 2025 le 11 mars 2026. Les PME, TPE et ETI restent la catégorie la plus touchée par les ransomwares, avec 48% des petites structures qui continuent d'être affectées. Les incidents liés à des exfiltrations de données ont bondi de 130 à 196 cas — une tendance que les outils EDR classiques ne détectent pas, précisément parce que l'exfiltration ne déclenche pas l'arrêt brutal d'un système.
« Ce qui doit vraiment nous inquiéter au-delà de l'espionnage, ce sont les activités de sabotage, de destruction et de déstabilisation au sens large », a prévenu Vincent Strubel, directeur général de l'ANSSI, le 11 mars 2026 au Campus Cyber.
CE QUE ÇA CHANGE POUR UNE PME
Le marché des Security Copilots — CrowdStrike Charlotte AI, SentinelOne Purple AI, Darktrace AI — vend une promesse d'autonomie : détecter, contenir, répondre sans RSSI à temps plein. La réalité documentée par le rapport CrowdStrike est la suivante : les attaques qui réussissent ne hackent pas l'outil de détection. Elles exploitent les angles morts de visibilité en se déplaçant fluidement entre identités, cloud et environnements virtuels tout en évitant les endpoints fortement surveillés.
Pour une PME sans SOC interne, cela produit un angle mort double : l'EDR ne voit pas les mouvements via des comptes légitimes, et le temps d'intrusion, désormais de 29 minutes, est le signal le plus clair de combien la fenêtre d'intervention s'est rétrécie. Les adversaires passent de l'accès initial au mouvement latéral en quelques minutes. Pendant ce temps, une alerte generée à 2h du matin sera lue — ou ignorée — à 9h.
2 / Le mythe à démonter
— Un EDR actif n'est pas un réseau protégé
Le mythe est précis et répandu : déployer un EDR ou un outil de cybersécurité IA, c'est avoir résolu le problème de la détection. La réalité documentée dit le contraire.
Les organisations reçoivent en moyenne 2 992 alertes de sécurité par jour, et 63% restent sans traitement (Vectra AI 2026). Cet écart entre ce qui est signalé et ce qui est investigué est précisément là où les brèches commencent.
Selon le SANS 2025 Detection and Response Survey, 73% des équipes de sécurité citent les faux positifs comme leur principal défi de détection. 76% des organisations citent la fatigue d'alerte comme une préoccupation SOC majeure (Cybersecurity Insiders 2025).
Le mécanisme de défaillance est documenté : face au volume, les équipes — ou les dirigeants de PME qui jouent ce rôle à temps partiel — créent des règles d'exception de plus en plus larges. Chaque règle "ignore" est un couloir potentiel pour un attaquant. Le SANS 2025 SOC Survey confirme que 66% des équipes ne peuvent pas suivre le rythme des volumes d'alertes entrants. La réponse opérationnelle naturelle est la suppression silencieuse.
Selon le 2025 Unit 42 Global Incident Response Report, basé sur 700 enquêtes réelles dans 49 pays, la fatigue d'alerte reste une vulnérabilité critique exploitée par les attaquants : 13% des incidents d'ingénierie sociale ont été retracés à des alertes ignorées ou non traitées.
Ce mythe coûte en silence : la PME paie l'abonnement EDR, affiche une couverture technique dans son audit ISO 27001, et laisse passer l'attaque qui compte — non pas parce que l'outil a échoué, mais parce que personne n'a défini ce que "traiter une alerte" signifie opérationnellement.
3 / L’outil de la semaine
— Auditer ses règles d'exception avant de payer un outil de plus
La méthode tient en trois étapes, applicables cette semaine, sans budget supplémentaire.
Étape 1 — Cartographier les règles « ignore » des 90 derniers jours. Ouvrez la console de votre EDR ou SIEM et listez chaque règle d'exception créée depuis 90 jours. Chaque règle "trop bruyant, on supprime" est un trou documenté dans votre couverture. Ce n'est pas un audit coûteux : c'est un export de configuration.
Étape 2 — Créer un tableau de décision hebdomadaire sur les 5 alertes les plus fréquentes. Plutôt que de supprimer une alerte récurrente, consignez la décision : faux positif confirmé (avec justification), vrai positif géré, ou à investiguer. Une décision tracée est auditable. Une suppression silencieuse ne l'est pas.
Étape 3 — Tester mensuellement que votre outil détecte au moins les techniques d'attaque de base. Atomic Red Team est une bibliothèque de tests mappée au framework MITRE ATT&CK, utilisable par n'importe quelle équipe de sécurité pour tester son environnement de façon rapide, portable et reproductible. Chaque test est conçu pour s'exécuter en moins de cinq minutes, avec des commandes de configuration et de nettoyage intégrées. L'outil est open source, disponible sur GitHub. La limite est réelle : ces tests supposent un minimum de compétences techniques pour être interprétés. Sans quelqu'un capable de lire les résultats, l'exercice reste formel.
Le radar de la semaine
Cinq signaux, et ce qu'ils déclenchent vraiment.
1. Visa et OpenAI connectent ChatGPT au paiement autonome
Visa et OpenAI ont annoncé leur collaboration le 10 juin 2026 pour intégrer les paiements Visa dans les expériences de commerce agentique d'OpenAI. Des agents ChatGPT pourront effectuer des achats et finaliser des transactions pour les utilisateurs, sous des limites de dépenses et des règles marchands définies par l'utilisateur, avec la tokenisation, l'autorisation et la surveillance antifraude de Visa. Pour une PME e-commerce, cela signifie qu'un agent IA tiers devient acheteur chez elle — avec ses propres règles de priorité, pas les vôtres.
2. Le gouvernement américain coupe l'accès aux modèles Anthropic les plus puissants
Le 12 juin 2026, le gouvernement américain a ordonné à Anthropic de couper l'accès de ressortissants étrangers à ses deux modèles les plus puissants, invoquant des préoccupations de "jailbreaking". Anthropic a désactivé l'accès aux deux modèles pour l'ensemble de ses clients. La directive, invoquant des autorités de sécurité nationale, demandait la suspension de l'accès à Fable 5 et Mythos 5 pour tout ressortissant étranger, y compris les employés d'Anthropic à l'étranger. Premier stress-test grandeur nature de la dépendance européenne aux modèles d'IA américains : toute organisation ayant intégré ces modèles en production a découvert ce que "fournisseur unique" signifie en pratique.
3. L'AI Act entre en application complète le 2 août 2026
L'AI Act est entré en vigueur le 1er août 2024, avec une application progressive : interdictions depuis février 2025, obligations GPAI depuis août 2025, et application complète le 2 août 2026. Les amendes peuvent atteindre 35 millions d'euros ou 7% du chiffre d'affaires mondial. Moins de 30% des PME européennes ont entamé une démarche de conformité. Dans six semaines, les règles de transparence et les obligations pour les systèmes IA à haut risque deviennent pleinement opposables — pour les entreprises qui utilisent l'IA en RH, scoring client ou accès aux services.
4. 55% des TPE-PME françaises utilisent une IA générative fin 2025
Selon l'étude de conjoncture Bpifrance Le Lab publiée en janvier 2026, 55% des TPE-PME françaises déclarent utiliser une IA générative fin 2025, contre 31% un an plus tôt. L'adoption a doublé en douze mois — sans que les processus de gouvernance ou de supervision aient suivi le même rythme, ce que l'échéance AI Act du 2 août va rendre visible.
5. 82% des attaques utilisent l'IA côté offensif, +89% en un an
Les adversaires activés par l'IA ont augmenté leurs opérations de 89% en glissement annuel, weaponisant l'IA pour la reconnaissance, le vol de credentials et l'évasion — pendant que les équipes défensives débattent encore de quel outil IA acheter pour leur propre camp. 42% des vulnérabilités ont été exploitées avant leur divulgation publique. L'asymétrie de vitesse entre attaquant et défenseur ne se résout pas avec un abonnement supplémentaire.
— Ce qui me frappe, cette semaine, c'est que le vrai problème n'est pas technique. J'ai parlé à des dirigeants de PME qui ont un EDR, un antivirus nouvelle génération, parfois même un Security Copilot — et aucun n'avait regardé leurs règles d'exception depuis six mois. L'outil tourne, les alertes s'accumulent, et quelqu'un a cliqué sur "désactiver cette règle" il y a trois mois parce que ça dérangeait le comptable. Ce n'est pas un problème de budget cybersécurité. C'est un problème de gouvernance minimale que personne n'a formalisé. La vraie question à poser n'est pas "avons-nous un outil ?" mais "qui, dans notre équipe, décide qu'une alerte est fausse — et est-ce que cette décision laisse une trace ?"
Ouvrez votre console EDR cette semaine et listez les règles d'exception créées depuis 90 jours : si vous en trouvez plus de dix sans justification documentée, vous avez votre vrai diagnostic de sécurité — avant d'acheter quoi que ce soit d'autre.
— PRAGMA