L’identité est devenue un point de départ essentiel pour enquêter sur un incident informatique. Le 7 août 2026, Unit 42 a indiqué que des faiblesses liées à l’identité étaient intervenues dans près de 90 % des incidents étudiés. Son rapport 2026 attribue aussi 65 % des activités d’accès initial à des techniques fondées sur l’identité.
Ces chiffres ne signifient pas que chaque incident commence par un mot de passe volé, ni que les contrôles d’identité expliquent toute l’attaque. Ils donnent cependant une priorité concrète au triage : une connexion inhabituelle, une invite d’authentification ou une interaction avec le service d’assistance doit être examinée avec ce qui s’est produit ensuite.
Commencez par retrouver la voie d’accès
Unit 42 cite le vol d’identifiants, la manipulation de l’authentification multifacteur, le détournement de session et l’ingénierie sociale parmi les techniques d’accès initial fondées sur l’identité. Ses enquêtes récentes comprennent également l’hameçonnage, les appels d’ingénierie sociale, les attaques par fatigue MFA, les comptes de tiers compromis et l’exploitation abusive des procédures du service d’assistance.
Ces voies se présentent différemment, mais elles conduisent à la même première question : quelle identité ou quelle procédure d’assistance a fourni une prise à l’attaquant ?
Regroupez les signaux autour de cette question. Examinez chaque connexion suspecte avec les invites d’authentification, l’activité du service d’assistance, les accès de tiers et les signalements d’hameçonnage ou de contact relevant de l’ingénierie sociale. L’objectif est de ne pas traiter séparément des événements qui peuvent décrire une seule intrusion.
La voie d’accès peut être claire ou rester incertaine. Consignez cette différence dès le début : un événement d’identité suspect ne prouve pas à lui seul qu’une persistance, une escalade de privilèges ou un mouvement latéral a suivi.
Suivez ce qui se passe après l’accès
Une intrusion peut ensuite comprendre l’établissement d’une persistance, l’élévation des privilèges et le déplacement latéral entre plusieurs environnements. Cet enchaînement donne un ordre de travail utile à l’enquête.
- Identifiez le premier événement d’accès crédible. Notez si la voie suspectée impliquait des identifiants, une manipulation de la MFA, une session détournée, un compte de tiers ou une procédure du service d’assistance.
- Vérifiez les changements liés à l’identité. Recherchez les signes montrant que l’accès s’est étendu ou est devenu plus difficile à révoquer, notamment lorsqu’une persistance ou une escalade de privilèges apparaît déjà dans l’enquête.
- Cartographiez chaque environnement touché. Unit 42 rapporte que 87 % des incidents de son rapport 2026 s’étendent à plusieurs surfaces d’attaque. Une analyse limitée à un seul environnement peut donc manquer une partie de la progression.
- Reliez l’activité à l’objectif probable. Unit 42 associe les compromissions d’identité au déploiement de rançongiciels, au vol de données, à la fraude financière et à la persistance à long terme. L’objectif suspecté aide à déterminer quelle activité en aval examiner en priorité.
- Réexaminez les signaux jugés peu prioritaires. Unit 42 indique qu’une activité malveillante peut déjà être présente dans les contrôles de sécurité d’une organisation tout en semblant négligeable lorsqu’elle est isolée et dépourvue de corrélation automatisée.
La voie d’accès peut être confirmée alors que l’objectif de l’attaquant reste incertain. Des changements de privilèges ultérieurs peuvent aussi être visibles sans prouver que chaque événement de mouvement suspecté appartient à la même intrusion. Chaque conclusion doit donc rester rattachée aux éléments qui la soutiennent.
Réunissez les signaux dans une même chronologie
Les analystes d’Unit 42 utilisent la plateforme Cortex SecOps pour réunir la télémétrie de sécurité dans une vue d’enquête unique. Le principe est transposable aux équipes qui travaillent avec les contrôles déjà en place : l’identité, l’authentification et les autres signaux de sécurité doivent être examinés ensemble lorsqu’un incident traverse plusieurs surfaces.
Créez une chronologie unique pour le compte, la session ou l’interaction avec le service d’assistance suspecté. Ajoutez les événements associés de chaque environnement touché et placez l’accès initial à côté des changements ultérieurs liés à l’identité, de l’activité sur les privilèges et des mouvements observés.
Si la chronologie ne montre pas comment l’événement d’accès se rattache à l’activité ultérieure, l’enquête reste incomplète. Cela ne prouve pas qu’une compromission a eu lieu, mais indique que les signaux disponibles ne permettent pas encore de clore le dossier.
L’automatisation peut améliorer la corrélation sans supprimer le besoin de jugement. Une séquence reliée est plus utile qu’une grande collection d’alertes sans lien, mais plusieurs explications peuvent subsister. Ne concluez pas à un chemin d’attaque complet tant que les différentes étapes ne sont pas reliées.
N’oubliez ni les personnes ni les comptes tiers
Unit 42 cite Muddled Libra, également connu sous le nom de Scattered Spider, comme exemple de groupe utilisant l’ingénierie sociale et l’abus d’identité. Une enquête sur l’identité ne peut donc pas se limiter aux enregistrements techniques d’authentification.
Les appels, les messages d’hameçonnage, les invites MFA, les comptes de tiers et les interactions avec le service d’assistance peuvent tous participer à la voie d’accès à un environnement. Lorsqu’un de ces canaux apparaît dans les éléments recueillis, examinez-le avec l’activité du compte au lieu de le traiter comme un incident distinct.
Une connexion ou une demande de réinitialisation peut sembler ordinaire lorsqu’elle est isolée. La prise obtenue par l’attaquant peut dépendre de l’interaction entre une personne, une procédure d’assistance et un mécanisme de contrôle de l’identité.
Sachez quand faire remonter le dossier
Faites remonter l’enquête lorsque les éléments montrent une progression reliée : une voie d’accès initial suivie d’une persistance, d’une escalade de privilèges ou d’un mouvement entre environnements. Une escalade est également justifiée lorsque l’activité touche plusieurs surfaces d’attaque ou correspond à un objectif qu’Unit 42 associe à la compromission d’identité, notamment le déploiement de rançongiciels, le vol de données, la fraude financière ou la persistance à long terme.
Unit 42 indique que son équipe de détection et réponse managées enquête en continu sur les activités suspectes, tandis que ses chasseurs de menaces recherchent de manière proactive les indicateurs de compromission d’identité qui n’ont pas encore déclenché d’alerte. Pour les organisations qui ne disposent pas d’une telle couverture continue, l’absence d’alerte signifie seulement qu’il n’y a pas encore de confirmation, et non qu’aucune compromission n’existe.
La décision dépend alors de l’état des éléments. Une chaîne confirmée doit être traitée comme un incident lié. Une lacune inexpliquée doit conduire à davantage de corrélation et à un examen des environnements concernés. Une anomalie isolée doit rester qualifiée de suspecte jusqu’à ce que de nouveaux éléments modifient son statut.
Une priorité de triage, pas un diagnostic automatique
Les conclusions d’Unit 42 soutiennent une règle de travail claire : examinez l’événement lié à l’identité, reliez-le à la télémétrie environnante et vérifiez ce qui a changé entre les environnements avant de clore le dossier.
Ces chiffres n’établissent pas que chaque organisation est confrontée à la même voie d’accès et ne montrent pas que les contrôles d’identité peuvent remplacer une supervision de sécurité plus large. Le compromis consiste à corréler davantage d’éléments tout en conservant l’incertitude lorsque les preuves sont incomplètes.
Pour les équipes de sécurité, l’ordre pratique est donc le suivant : retrouver la voie d’accès, suivre les changements liés à l’identité et aux environnements, évaluer l’objectif probable, puis revenir aux alertes qui semblaient négligeables isolément. Cette méthode aide à déterminer où l’intrusion a commencé et jusqu’où les éléments disponibles permettent d’en suivre la progression.