Panorama de la cybermenace 2025

Qu’est-ce que le panorama de la cybermenace

Comme chaque année, l’ANSSI (Agence nationale de la sécurité des systèmes d’information) vient de publier son panorama de la cybermenace. Il s’agit d’un rapport contenant la description des menaces auxquelles a dû faire face l’ANSSI pendant l’année 2025. Il permet d’avoir une vision de la situation actuelle en termes d’attaques, de cibles, d’outils et de risques présents et à venir.

Je vous propose dans cet article de vous faire un résumé des points qui me semblent importants et qui ont attiré mon attention. Il ne s’agit pas d’un résumé exhaustif et je vous invite, si vous avez le temps, à lire le rapport et/ou à écouter l’excellent podcast de NoLimitSecu sur le sujet.

Généralités sur l’année 2025

La fusion entre les différents attaquants continue en 2025. Les acteurs étatiques et cybercriminels partagent de plus en plus leurs outils et organisations, rendant compliquée leur identification et augmentant leur efficacité.

Le nombre d’événements de cybersécurité traités par l’ANSSI reste stable par rapport à l’année précédente, qui avait connu un record avec la tenue des JO de 2024. Ce nombre est porté à 1 366.

Le nombre d’attaques par rançongiciel connaît une faible baisse, mais les opérations d’exfiltration de données ont fortement augmenté.

En 2025, quatre secteurs d’activité concentrent 76 % des 1366 incidents portés à la connaissance de l’ANSSI :

• L’éducation et la recherche (34 %)
• Les ministères et les collectivités territoriales (24 %)
• La santé (10 %)
• Les télécommunications (9 %).

EXTORSION DE FONDS, ESPIONNAGE ET DÉSTABILISATION

Les attaques par rançongiciels continuent d’avoir lieu, les cibles principales sont :

• Entreprises de taille intermédiaire à très petite
• Établissements de soins
• Établissements d’enseignement français

Le graphique suivant, disponible p.10 du rapport, nous montre cette répartition ainsi que son évolution par rapport à 2024.

Les cybercriminels, bien qu’utilisant toujours des rançongiciels pour faire de l’extorsion de fonds, utilisent de plus en plus le chantage à la publication de données ne nécessitant pas d’encrypter les informations. Les informations peuvent ensuite être vendues à des tiers à des fins de compromission ultérieure.

L’utilisation d’infostealers tend à se développer. Après installation d’un malware sur un poste ou un ensemble de postes, celui-ci va remonter les informations à l’attaquant, qui peut les collecter de façon périodique.

Les acteurs étatiques sont toujours présents dans le paysage de la cybermenace, en grande majorité russes et chinois. Il a été noté l’utilisation de rançongiciels par des groupes chinois, ce qui est une tendance nouvelle, ainsi que des attaques par la chaîne d’approvisionnement afin de récupérer des informations sensibles.

Exemple d’attaques par des groupes étatiques:

• En mars 2025, des membres de l’ONG française Reporters Sans Frontières (RSF) auraient été la cible de courriels d’hameçonnage. Les investigations menées par l’ONG et l’éditeur de sécurité Sekoïa ont permis d’associer ce ciblage au MOA réputé lié à l’État russe Callisto.
• En mai 2025, deux agences gouvernementales néerlandaises (AIVD et MIVD) ont fait état dans une publication de l’identification d’un nouveau MOA potentiellement aligné sur les intérêts de l’État russe, baptisé Laundry Bear.

La menace liée aux cyberactivistes est toujours présente. Le but de tels groupes est de faire parler d’eux. Ils utilisent des techniques simples et à faible coût. L’ANSSI note toujours l’utilisation d’attaques par déni de service (DDoS), la défiguration de sites internet ou l’exfiltration de données.

La nouveauté vient du fait que ces groupes s’en prennent à de petits sites industriels, tels que des micro-installations d’énergies renouvelables, exposant des interfaces de contrôle faiblement sécurisées. Il est rapporté par l’ANSSI des attaques par des groupes d’activistes russes sur des sites liés au secteur de l’eau en France et en Europe.

ÉVOLUTIONS ET SUIVI DES CAPACITÉS DES ATTAQUANTS

Le recours croissant à des composants et services légitimes par les attaquants permet de dissimuler les actions parmi des flux qui ne sont pas caractérisés comme malveillants et de réduire le coût de maintien d’une infrastructure d’attaque. L’utilisation de capacités issues de l’intelligence artificielle permet également d’améliorer le niveau, la quantité, la diversité et l’efficacité des attaques. L’ANSSI a observé un usage de ces pratiques par l’ensemble des typologies d’acteurs offensifs, liés à des États ou acteurs cybercriminels.

les outils et services utilisés sont des outils d’accès à distance, des outils de stockage en ligne y compris dans le cloud, ou encore des services Web d’aide au développement ou à l’intégration. Ils sont employés dans le cadre d’attaques informatiques en raison de leur disponibilité, de leur facilité d’utilisation et de la difficulté de détection des usages malveillants qui peuvent en être faits.

Voici quelques exemples d’outils utilisés:

• Teamviewer
• VNC
• Google Drive
• Dropbox
• …

Le développement de l’IA en fait un outil de plus en plus utilisé dans le cadre d’attaques, permettant d’accélérer le développement d’outils ou de détecter des failles.

L’IA est aussi une nouvelle cible : certains groupes essaient de compromettre les modèles d’entraînement afin de fournir des résultats erronés et de diffuser de fausses informations à grande échelle.

L’ingénierie sociale a été massivement utilisée en 2025 avec des attaques du type:

• SIM-Swapping
• MFA Fatigue
• Usurpation d’identité
• Hameçonnage vocal

L’ANSSI a ainsi observé plusieurs cas d’arnaques au faux support informatique, incitant des employés à télécharger des solutions de RMM comme vecteur initial de compromission.

Plusieurs éditeurs remontent l’augmentation de l’utilisation d’attaques du type « Clickfix », qui consiste à inciter une victime à exécuter elle-même des commandes pour télécharger et exécuter un programme malveillant.

L’ANSSI éprouve des difficultés croissantes à l’imputation des attaques, du fait de l’utilisation d’outils disponibles publiquement, ransomware-as-a-service et malware-as-a-service (MaaS), elle a aussi repéré que des groupes cybercriminels usurpent l’identité d’autres groupes pour réaliser leurs actions.

En 2025, plusieurs groupes de cybercriminels ont été victimes de fuites de données et de rançongiciels, ce qui donne l’occasion de mieux connaître leur organisation. Ces fuites sont souvent liées à des dissensions au sein même des groupes.

CIBLAGE ET OPPORTUNITÉS D’ACCÈS

Les attaquants cherchent ou profitent d’opportunités pour mener leurs opérations. Certaines de ces opportunités sont offertes par le contexte global dans lequel évoluent leurs cibles (organisation d’événement, échéance électorale, conflit, etc.), d’autres relèvent davantage de l’environnement administratif (cadre légal favorable à la collecte de données ou de vulnérabilités). Le niveau de sécurisation des entités ciblées représente également un contexte qui peut être favorable dans les cas où les faiblesses techniques ou les mauvaises pratiques de sécurité sont structurelles.

Dans le cadre de ses missions, l’Agence effectue des audits de sécurité au profit d’administrations publiques, mais également d’opérateurs d’importance vitale (OIV), d’opérateurs de services essentiels (OSE) et de victimes d’incidents. Ces audits montrent régulièrement que des stratégies de sécurité inadéquates laissent des opportunités pour les attaquants, de par l’étendue des techniques, tactiques et procédures utilisées par ceux-ci. Plusieurs constats peuvent être établis, en particulier sur les réseaux bureautiques d’organismes dont le parc informatique est composé de dizaines ou centaines de milliers de postes.

Tout d’abord, peu d’audits globaux, permettant d’obtenir une vision globale du niveau de sécurité du SI bureautique, sont effectués. Des périmètres d’audit trop restreints risquent d’en faire perdre la pertinence. À titre d’exemple, les situations suivantes ont été rencontrées:

• L’audit d’une application sans inclure le fournisseur d’authentification (tel que l’Active Directory) utilisée par l’application
• L’audit d’une application sans le serveur sous jacent qui expose une interface non à jour et est exposée à l’ensemble du réseau bureautique.

De plus, les audits réalisés peuvent être des audits dits « redteam » où une grande partie de l’audit est consacrée à l’obtention d’un accès initial au sein du SI depuis Internet. Ce type de prestation, assez courant, est censé simuler l’attaque d’un MOA sur le système d’information. Si, de manière générale, un audit sur un SI n’est que rarement complet, une prestation dite de redteam est souvent encore plus parcellaire. En effet, le but étant prioritairement d’obtenir un accès au sein du SI pour se procurer l’information recherchée ou démontrer sa perméabilité, il n’y a pas de recherches exhaustives de l’ensemble des chemins de compromission possibles et des potentielles vulnérabilités existantes.

Ainsi, l’ANSSI recommande de réaliser des audits larges, qui ont pour objectif l’obtention d’une vision globale du niveau de sécurité de l’environnement et cherchent à identifier un maximum de moyens de compromission. Ceux-ci pourront être accompagnés le cas échéant d’activité de redteam ou d’évaluation de la détection d’intrusion mais constituent une brique essentielle d’une stratégie de sécurité réaliste et efficace.

Plusieurs États à travers le monde ont pu utiliser leur cadre juridique afin de faciliter ou réaliser des compromissions à l’encontre d’intérêts français, sans s’y limiter pour autant. Dans certains cas, les cadres réglementaires de ces pays peuvent imposer aux entreprises ou entités implantées sur leur territoire l’utilisation de logiciels spécifiques. En particulier, depuis plusieurs années, l’ANSSI observe des cas de logiciels imposés en Chine.

L’exploitation de vulnérabilités constitue encore cette année l’un des principaux vecteurs de compromission utilisés par les attaquants, qui ciblent notamment les équipements de bordure de SI (comme des pare-feu, serveurs mandataires, passerelle anti-spam etc.). Y réagir efficacement suppose une connaissance de leur cycle de vie et des enjeux associés. Les équipements de bordure restent des cibles privilégiées, d’autant plus quand ils sont largement répandus, offrant ainsi aux attaquants la possibilité d’un ciblage massif et opportuniste à même de leur fournir un accès initial ou de les enrôler dans des infrastructures d’anonymisation. Les environnements serveur et bureautique ont également été victimes d’importantes vulnérabilités exploitées. Cela témoigne de l’intérêt des attaquants pour les données directement accessibles depuis les équipements qu’ils compromettent, tant à des fins d’espionnage que d’extorsion.

L’exploitation de vulnérabilités jour-zéro de type XSS à l’encontre de clients webmail est une tendance importante observée en 2025, dans la continuité des années précédentes. Si le potentiel offensif de ce type de vulnérabilités est limité, notamment par l’impossibilité de persister sur la machine victime, il permet néanmoins différents effets intéressants pour un attaquant : vol de courriels ou de listes de contacts, récupération d’identifiants par une fausse page de connexion ou encore mise en place de filtres de redirection de courriels.

Les attaques par la chaine d’approvisionnement sont en plein développement (supply-chain attack) elles consistent à compromettre un tiers, comme un fournisseur de services logiciels ou un prestataire, afin decibler la victime finale. Cette technique est éprouvée et exploitée par plusieurs acteurs étatiques et cyber criminels depuis au moins 2016. Cette méthode présente un risque de propagation rapide d’une attaque qui peut parfois concerner un secteur d’activité entier ou une zone géographique précise notamment lorsque l’attaque cible un fournisseur de logiciels largement répandus ou une entreprise de service numérique (ESN) locale ou spécialisée dans un secteur d’activité particulier. Avec le développement de la sous-traitance, assortie d’une délégation de compétences au sein de certains secteurs d’activité, les entreprises peuvent ne plus maîtriser l’intégralité des équipements qu’elles incorporent dans leurs réseaux. Cette situation de fait affaiblit le niveau de sécurisation des environnements, et les attaquants peuvent exploiter cette moindre maîtrise pour réaliser leurs compromissions.

Ce qu’il faut retenir

• Les PME/TPE sont des cibles privilégiées de par leur faible niveau de sécurité
• Les frontières entre groupes étatiques et cybercriminels deviennent floues
• Les attaquants utilisent de plus en plus d’outils sur étagère
• Augmentation d’utilisation d’infostealer sur les ordinateurs du personnel
• Les rançongiciels sont en léger recul mais toujours très utilisés
• Forte augmentation des attaques par chaîne d’approvisionnement
• Les données sont la cible d’attaques afin de faire de l’extorsion et/ou de la revente à des groupes tiers
• L’État est la cible d’attaques dirigées par des États étrangers, notamment la Chine et la Russie

Ce qui est préconisé

• Réaliser des audits réguliers de son parc informatique
• Appliquer les bonnes pratiques proposées par l’ANSSI, un ensemble de guides est disponible sur le site
• Lister l’ensemble de ses fournisseurs et vérifier leur sécurité
• Sensibiliser le personnel, les attaques par ingenierie social reste un vecteur important de la menace