Phishing nouvelle génération, IA et vulnérabilités critiques : les menaces qui redéfinissent la cybersécurité

Le phishing évolue plus vite que les défenses

Le mois de juin confirme une évolution profonde du paysage des cybermenaces. Les campagnes de phishing ne cherchent plus uniquement à voler des identifiants : elles exploitent désormais les mécanismes d’authentification légitimes pour contourner les protections les plus répandues, y compris l’authentification multifacteur (MFA). Dans le même temps, l’intelligence artificielle accélère considérablement la découverte de vulnérabilités, tandis que les compromissions de fournisseurs tiers continuent d’amplifier l’impact des attaques.

Le dernier rapport de Hornetsecurity met en lumière trois tendances majeures qui devraient marquer le second semestre 2026 : la démocratisation du phishing « as-a-Service », l’arrivée de l’IA dans la recherche de failles de sécurité et l’exposition croissante des organisations via leur chaîne d’approvisionnement numérique.

Kali365 : le phishing qui contourne la MFA

L’une des campagnes les plus préoccupantes du mois repose sur Kali365, une plateforme de Phishing-as-a-Service (PhaaS) qui détourne le mécanisme légitime d’authentification par code d’appareil de Microsoft 365.

Contrairement aux campagnes classiques, cette technique ne vole pas les mots de passe et n’utilise aucune fausse page de connexion. La victime s’authentifie directement sur un véritable portail Microsoft, valide éventuellement sa MFA, puis autorise sans le savoir l’émission de jetons OAuth destinés… à l’attaquant.

Cette approche remet en cause les réflexes traditionnels de sensibilisation, puisque les indicateurs habituels (URL frauduleuse ou faux portail de connexion) disparaissent complètement. Le seul élément suspect devient la demande de saisir un code d’authentification transmis par e-mail.

Hornetsecurity a observé plusieurs variantes de cette campagne, principalement construites autour de faux paiements ou de demandes de validation de documents. Le FBI a d’ailleurs publié une alerte officielle concernant Kali365, dont l’abonnement est proposé à partir de 250 dollars par mois, rendant cette technique accessible à un grand nombre de cybercriminels.

L’IA accélère la découverte des vulnérabilités

Autre fait marquant : les premiers résultats du projet Glasswing d’Anthropic démontrent que l’intelligence artificielle est désormais capable d’identifier des vulnérabilités à une échelle inédite.

En seulement quelques semaines, le modèle expérimental Claude Mythos a permis d’identifier plus de 10 000 vulnérabilités critiques ou de haute gravité dans des logiciels largement utilisés. Sur plus de 23 000 failles potentielles détectées dans l’open source, les vérifications indépendantes ont confirmé un taux de vrais positifs de 90,6 %.

Plusieurs acteurs majeurs en ont déjà tiré profit. Mozilla a ainsi corrigé 271 vulnérabilités dans une seule version de Firefox, tandis que Cloudflare ou Palo Alto Networks ont fortement augmenté leur capacité de détection.

Le principal défi ne réside désormais plus dans la découverte des failles mais dans leur correction. Moins de 1 % des vulnérabilités signalées sur les projets open source ont pour l’instant été corrigées, révélant un décalage croissant entre les capacités de détection et les processus de remédiation.

Une faille Windows critique déjà exploitée

Le rapport revient également sur CVE-2026-41089, une vulnérabilité critique de Windows corrigée lors du Patch Tuesday de mai.

Notée 9,8/10 sur l’échelle CVSS, cette faille permet une exécution de code à distance sur un contrôleur de domaine Windows sans authentification préalable ni interaction utilisateur.

Début juin, plusieurs organismes de cybersécurité ont confirmé son exploitation active.

Pour les entreprises, le risque est majeur : la compromission d’un contrôleur de domaine peut offrir un contrôle total sur l’ensemble de l’infrastructure Active Directory. Hornetsecurity recommande donc un déploiement prioritaire du correctif sur tous les contrôleurs de domaine, sans exception.

Les fournisseurs tiers, maillon faible des organisations

Deux incidents illustrent également les risques croissants liés aux partenaires et fournisseurs.

Le premier concerne NYC Health + Hospitals, qui a confirmé qu’une compromission chez un prestataire externe a conduit à l’exposition des données de 1,8 million de personnes.

Les informations dérobées vont bien au-delà des données personnelles classiques : dossiers médicaux, informations financières, numéros de sécurité sociale, données de géolocalisation mais aussi données biométriques, notamment des empreintes digitales et palmaires.

Le second touche le géant industriel Foxconn, victime d’une attaque revendiquée par le groupe de ransomware Nitrogen. Les cybercriminels affirment avoir exfiltré près de 8 téraoctets de données, représentant plus de 11 millions de fichiers. Parmi les documents confirmés figurent notamment des schémas de serveurs Apple, illustrant les risques que représentent les sous-traitants détenant des informations stratégiques pour plusieurs grands groupes.

Ces deux affaires rappellent que les identités et les accès accordés aux partenaires constituent désormais une surface d’attaque à part entière.

Les tendances à surveiller

Hornetsecurity anticipe une poursuite de l’essor des campagnes exploitant le code d’appareil Microsoft 365, portée par la généralisation des offres de phishing « clé en main ».

Le rapport prévoit également une accélération des vulnérabilités découvertes grâce à l’IA, avec un risque croissant de voir ces capacités utilisées à des fins offensives avant même que les éditeurs ne puissent publier leurs correctifs.

Enfin, les compromissions de fournisseurs tiers devraient continuer de jouer un rôle majeur dans les incidents de cybersécurité, en particulier dans les secteurs manipulant des données sensibles comme la santé.

Les recommandations essentielles

Face à ces évolutions, Hornetsecurity recommande de :

● restreindre ou désactiver l’authentification Microsoft par code d’appareil lorsqu’elle n’est pas nécessaire ;
● appliquer rapidement le correctif de la vulnérabilité CVE-2026-41089 sur l’ensemble des contrôleurs de domaine ;
● renforcer les contrôles des accès accordés aux fournisseurs et partenaires externes, avec un suivi comportemental des sessions ;
● améliorer la gestion des composants open source grâce à une nomenclature logicielle (SBOM), une surveillance automatisée des dépendances et une priorisation efficace des correctifs ;
● adapter les programmes de sensibilisation afin d’intégrer les nouvelles techniques de phishing qui exploitent des services légitimes plutôt que de faux sites de connexion.