Sur le vol d'identifiants, les publications sectorielles convergent sur un constat et divergent sur presque tout le reste. Le constat partagé : les identifiants volés, réutilisés ou partagés figurent parmi les tout premiers vecteurs d'intrusion — c'est notamment ce que documente le Verizon DBIR année après année. Les pourcentages précis, en revanche, varient fortement d'une source à l'autre, pour des raisons méthodologiques qu'il vaut mieux comprendre avant de les citer en comité.
Pourquoi les pourcentages ne sont pas comparables entre eux
Quatre facteurs expliquent l'essentiel des écarts.
Le périmètre observé. Un éditeur de sécurité mesure ce que ses propres capteurs voient. Un organisme d'assurance mesure des sinistres déclarés. Un CERT national mesure des incidents signalés. Ces trois populations ne se recouvrent pas, et aucune n'est représentative de l'ensemble de l'économie.
La définition du vecteur. Un incident commence rarement par une seule cause. Faut-il classer en « vol d'identifiants » une intrusion où un hameçonnage a livré un mot de passe qui a ensuite servi à un accès distant ? Selon la convention retenue, le même incident alimente le compteur du phishing, celui des identifiants volés, ou celui de l'accès distant exposé.
Le biais de déclaration. Les incidents détectés sont surreprésentés par rapport aux incidents réussis et discrets. Un accès obtenu avec des identifiants valides, sans exploit ni programme malveillant, est précisément le plus difficile à détecter — il est donc structurellement sous-compté.
La fenêtre temporelle. Les rapports annuels décrivent des incidents traités sur une période révolue. Sur des vecteurs qui évoluent vite, un chiffre publié décrit un état passé du paysage.
Conclusion opérationnelle : ces publications servent à orienter une priorité, pas à calibrer une décision d'investissement au pourcentage près.
Ce qui reste solide dans les données publiques
Trois affirmations sont suffisamment robustes pour fonder une stratégie.
- L'identité est un vecteur d'entrée majeur, à parité ou devant l'exploitation de vulnérabilités techniques dans la plupart des recensements.
- La réutilisation d'identifiants amplifie chaque fuite. Un mot de passe compromis sur un service tiers devient un moyen d'accès à un service professionnel, sans qu'aucun système de l'entreprise n'ait été attaqué.
- Les mécanismes de second facteur transmissibles sont contournés en pratique. C'est la raison pour laquelle le NIST SP 800-63B classe l'OTP par SMS ou voix comme « restricted », et pourquoi la propriété de liaison à l'origine de FIDO2/WebAuthn est mise en avant.
Ces trois points ne nécessitent aucun chiffre pour être défendus devant une direction générale. Ils suffisent à justifier une trajectoire.
Les indicateurs internes qui remplacent avantageusement les statistiques externes
Un RSSI a besoin de mesures propres à son organisation. Voici celles qui se construisent avec des données déjà disponibles.
| Indicateur | Ce qu'il mesure | Source habituelle |
|---|---|---|
| Part des comptes à privilèges sous facteur non rejouable | Exposition réelle du périmètre critique | Annuaire, fournisseur d'identité |
| Volume d'authentifications échouées par compte et par jour | Pulvérisation et bourrage d'identifiants | Journaux d'authentification |
| Nombre de demandes d'approbation refusées par compte | Tentatives de MFA fatigue | Journaux du service de MFA |
| Durée de vie médiane des sessions actives | Fenêtre d'exploitation d'un jeton volé | Fournisseur d'identité |
| Délai moyen de révocation après signalement | Capacité de réaction réelle | Tickets d'incident |
| Part des comptes utilisant le SMS-OTP | Dette technique d'authentification | Configuration MFA |
| Nombre de parcours de récupération faibles | Portes de service ouvertes | Revue de configuration |
| Comptes dormants avec accès conservés | Surface d'attaque oubliée | Revue d'habilitations |
Ces indicateurs ont un avantage décisif sur les statistiques publiées : ils sont actionnables. Une part de comptes à privilèges encore protégés par SMS-OTP se corrige ; un pourcentage sectoriel, non.
Construire un discours défendable en comité
Trois règles pratiques évitent les débats stériles.
Ne citez un chiffre externe que si vous pouvez en nommer la source et le périmètre. Un chiffre sans provenance sera contesté, et la contestation portera ensuite sur l'ensemble de votre analyse.
Préférez les formulations qualitatives adossées à une référence. « Les identifiants volés figurent parmi les premiers vecteurs d'intrusion recensés » est plus solide, et plus difficile à attaquer, qu'un pourcentage isolé.
Adossez la demande d'arbitrage à vos propres mesures. Le tableau ci-dessus, suivi trimestre après trimestre, produit une courbe interne. Une courbe interne emporte davantage la décision qu'une moyenne mondiale.
De la mesure à la trajectoire
Les données publiques disent où porter l'effort : sur l'identité, et plus précisément sur ce qui reste rejouable. Un secret réutilisable — mot de passe, code, approbation — conserve de la valeur pour un attaquant longtemps après sa capture. Un facteur qui ne transmet aucun secret réutilisable, et qui prouve une intention humaine au moment de l'action, retire cette valeur. C'est l'objet de l'authentification cognitive, pensée pour se déployer en complément d'un socle existant plutôt qu'en remplacement immédiat.
FAQ
Peut-on citer le Verizon DBIR sans donner de pourcentage ?
Oui, et c'est souvent préférable. La contribution durable de ce rapport est le classement relatif des vecteurs d'intrusion, pas la valeur exacte d'une année donnée, qui dépend du périmètre des contributeurs.
Comment estimer le coût d'un vol d'identifiants pour notre organisation ?
En partant de vos propres données : coût moyen d'un incident traité, temps d'indisponibilité constaté, volume d'opérations financières exposées par compte compromis. Une estimation interne grossière est plus utile qu'un montant sectoriel importé.
Nos journaux suffisent-ils à construire ces indicateurs ?
Dans la plupart des cas, oui, pour les six premiers. Les deux derniers demandent une revue de configuration et d'habilitations, souvent annuelle. Aucun de ces indicateurs n'exige un outillage supplémentaire.
Quel indicateur suivre en priorité si l'on n'en garde qu'un ?
La part des comptes à privilèges protégés par une méthode non rejouable. Il combine exposition, criticité et facilité de correction, et il progresse visiblement dès les premières semaines d'un plan de bascule.
Aller plus loin : pilier : authentification cognitive · ce qui rend une MFA résistante au phishing · le SMS-OTP est-il sûr ? · calculer le ROI d'une authentification forte