Le paysage des menaces en 2026 : ce que dit l'ENISA

En 2025, les incidents recensés par l'ENISA dans l'Union européenne sont d'abord des attaques par déni de service (51,3 %) et des accès non autorisés (39,5 %), le hameçonnage étant la technique d'ingénierie sociale dominante. L'ingénierie sociale consiste à manipuler une personne pour obtenir un accès ou une information, plutôt qu'à attaquer une machine. Cette leçon ouvre le module sur les menaces courantes. Elle s'appuie sur un rapport public, l'ENISA Threat Landscape 2026 : elle en retient les grandes familles, attribue chaque chiffre à sa source, et montre comment le lire sans lui faire dire plus qu'il ne dit. Elle s'adresse à toute personne qui débute en cybersécurité, sans prérequis technique.

Ce que vous allez apprendre

Un panorama sert à choisir par où commencer. Concrètement, vous saurez :

• Situer l'ENISA et son rapport annuel, et dire ce qu'il mesure.
• Citer les grandes familles de menaces de 2025, chiffres attribués à leur source.
• Distinguer les trois grandes catégories d'acteurs que retient l'ENISA derrière ces incidents.
• Interpréter un pourcentage de menace en sachant ce qu'il compte et ce qu'il ignore.
• Retrouver dans le module la leçon qui traite chaque famille.

Qu'est-ce que l'ENISA Threat Landscape ?

L'ENISA (European Union Agency for Cybersecurity, l'agence de l'Union européenne pour la cybersécurité) publie chaque année un état des lieux des menaces qui touchent l'Europe : l'ENISA Threat Landscape. L'édition 2026 a été publiée le 22 septembre 2026 et couvre la période du 1er janvier au 31 décembre 2025. C'est le panorama public le plus récent à l'échelle de l'Union au moment où cette leçon est écrite.

Pour cette édition, les analystes ont collecté et examiné 8 257 incidents, tirés surtout de sources ouvertes (presse, rapports d'éditeurs, alertes d'autorités) et d'informations anonymisées transmises par des États membres. Le rapport distingue quatre ensembles : trois catégories d'acteurs, la cybercriminalité, les menaces liées à des États et le hacktivisme, puis la manipulation de l'information venue de l'étranger, nommée FIMI (Foreign Information Manipulation and Interference). Cette dernière relève de la désinformation et non de l'intrusion informatique : le module la cite sans l'enseigner.

Que montrent les chiffres de 2025 ?

Les données ci-dessous sont celles du rapport, et chaque pourcentage est une part des cas recensés par l'ENISA, pas une mesure de la réalité entière. Le tableau les regroupe par question posée : quoi, comment, qui, où. Un vecteur est le chemin par lequel une attaque entre : une faille exploitée, un message piégé, un mot de passe volé.

Question	Constat de l'ENISA pour 2025
Quels types d'incidents ?	Déni de service 51,3 %, accès non autorisés 39,5 %
Comment l'ingénierie sociale entre-t-elle ?	Phishing 77,8 % des cas, courrier indésirable piégé (malspam) 13 %
Comment l'accès non autorisé se fait-il ?	Vecteur identifié pour une petite minorité d'accès (5,2 % cité par le rapport) ; dans ceux-là, faille exploitée 60,4 %, erreur de configuration ou exposition accidentelle 20,7 %
Quelle motivation ?	Idéologique 57,3 %, financière 29,3 %, espionnage 5,9 %
Quels secteurs ?	Administration publique 31,8 %, services aux entreprises 8,5 %, transport 8 %, industrie 6,9 %, finance 5,6 %

Glissez pour voir

Ce tableau se lit en deux temps. Le déni de service distribué (DDoS, Distributed Denial of Service) consiste à saturer un service avec un flot de requêtes pour le rendre indisponible : il est très visible et facile à revendiquer, donc très compté. Les menaces à fort impact financier, comme le rançongiciel, sont moins nombreuses mais plus marquantes : l'ENISA indique que les activités à but lucratif, rançongiciel en tête (47,3 % des revendications à but lucratif), restent les incidents les plus marquants à court terme.

Quelles familles de menaces le rapport met-il en avant ?

Le rapport regroupe les acteurs en trois catégories (la FIMI mise à part, qui relève de l'influence) ; la leçon sur les acteurs et leurs motivations, plus fine, en distingue cinq familles (cybercriminels, hacktivistes, États, initiés, script kiddies). Les cybercriminels cherchent de l'argent : rançongiciels, fuites de données, hameçonnage et fraude. Les hacktivistes (militants qui attaquent pour une cause) mènent surtout des campagnes de déni de service contre des services publics. Les acteurs liés à des États pratiquent l'espionnage, avec une attention particulière du rapport pour les administrations et le transport.

Pour la cybercriminalité, l'ENISA retient trois menaces clés : la fraude et l'usurpation d'identité, les fuites de données et les rançongiciels. Dans le détail, le rapport note le recours croissant à ClickFix, un faux message d'erreur qui pousse la victime à lancer elle-même une commande, et au smishing (hameçonnage par SMS). Pour les rançongiciels, l'ENISA a analysé les techniques publiquement documentées des groupes les plus actifs : l'exfiltration (la copie de données vers l'extérieur) arrive en tête (73,3 %), devant le chiffrement (13,7 %). Ces parts comptent des techniques ATT&CK documentées, pas des attaques. Elle y lit un glissement vers le chantage à la publication des données, détaillé dans la leçon sur le rançongiciel.

Comment lire un chiffre de menace sans se tromper ?

Un pourcentage de menace dépend d'abord de ce qu'on compte. L'ENISA le précise elle-même : ses sources sont ouvertes et volontaires, donc incomplètes, et un déni de service ou un rançongiciel, que leurs auteurs revendiquent, sont plus visibles qu'une opération d'espionnage, documentée parfois des mois ou des années après les faits. Une menace très présente dans les chiffres n'est donc pas forcément la plus grave.

Trois précautions évitent les contresens. Comparez ce qui se compare : « 60,4 % des accès passent par une faille » porte sur la petite minorité d'accès (5,2 % cité par le rapport) dont le vecteur est connu, pas sur tous les accès. Distinguez fréquence et impact : le déni de service domine en nombre, le rançongiciel en dégâts. Enfin, ne rapprochez pas deux rapports sans vérifier leur méthode : la leçon sur l'exploitation confronte ainsi trois mesures qui semblent se contredire et ne répondent pas à la même question. Pour repérer ces sources, juger leur fiabilité et les recouper, voir le renseignement sur la menace.

Que dit le rapport de l'intelligence artificielle ?

L'ENISA constate que l'intelligence artificielle est déjà intégrée à des activités malveillantes, côté cybercriminels comme côté États. Son usage le mieux établi reste l'accélération de techniques existantes : rédiger des messages d'hameçonnage plus soignés, personnaliser des arnaques, produire du code. Le rapport cite aussi des vidéos truquées (deepfakes) servant à imiter un contact de confiance.

Pour l'avenir, l'agence estime probable que l'IA baisse la barrière d'entrée aux attaques et qu'elle soit impliquée dans davantage de phases de la kill chain. Ces éléments sont des évaluations de l'ENISA (« probable »), pas des faits mesurés : le rapport le formule ainsi, et cette leçon aussi.

Que couvre ce module ?

Le module compte sept leçons et suit l'ordre du parcours, du logiciel malveillant au renseignement sur la menace. Après ce panorama, il commence par les logiciels malveillants : ce qu'est un malware et comment il se combine. Il passe à l'ingénierie sociale et à la fraude : hameçonnage, fraude au virement, ClickFix et smishing. Il poursuit avec le rançongiciel, la plus marquante des menaces à but lucratif, qui rejoue toute la kill chain (le déroulé d'une intrusion en phases, vu dans le module précédent).

Les attaques sur les identifiants et le réseau viennent ensuite : vol d'identifiants et de sessions, fatigue de la double authentification, homme du milieu et déni de service, celui qui domine les chiffres de l'ENISA. Les fuites de données et erreurs de configuration couvrent les stockages exposés, les secrets publiés et la menace interne. Le renseignement sur la menace clôt le module : il apprend à suivre ces évolutions soi-même et à recouper des sources. Les leçons s'appuient sur le vocabulaire posé plus tôt : menace, risque, vulnérabilité et le référentiel MITRE ATT&CK.

À retenir

1. L'ENISA Threat Landscape 2026, publié le 22 septembre 2026, analyse 8 257 incidents survenus du 1er janvier au 31 décembre 2025.

2. Déni de service (51,3 %) et accès non autorisés (39,5 %) dominent ; le phishing compte pour 77,8 % de l'ingénierie sociale.

3. Fraude, fuites de données et rançongiciels sont les menaces criminelles clés, avec ClickFix et smishing en hausse.

4. L'ENISA regroupe les acteurs en trois catégories : cybercriminels, hacktivistes et acteurs liés à des États, aux motivations et aux méthodes distinctes. La leçon sur les acteurs en distingue cinq.

5. Un chiffre dépend de ce qu'on compte : sources ouvertes donc incomplètes, vecteur connu pour une petite minorité d'accès seulement (5,2 % cité).

6. L'IA accélère des techniques existantes et pourrait abaisser la barrière d'entrée : ce sont des évaluations de l'ENISA, pas des mesures.

Contrôle de connaissances

Six questions tirées sur huit : ce que mesure l'ENISA, les types d'incidents, les motivations et la bonne lecture d'un chiffre.

Contrôle de connaissances

Validez vos connaissances avec ce quiz interactif

6 questions

6 min.

70% requis

Informations

• Le chronomètre démarre au clic sur Démarrer
• Questions à choix multiples, vrai/faux et réponses courtes
• Vous pouvez naviguer entre les questions
• Les résultats détaillés sont affichés à la fin

Démarrer le quiz

Lance le quiz et démarre le chronomètre

×

📖 Voir la documentation →