Le 1er octobre 2026, Microsoft a publié un billet intitulé « Preparing governments for an era of interconnected cyber risk » qui accompagne son Digital Defense Report annuel. Le texte vise d'abord les gouvernements, mais ses constats sur les identités parlent à toute équipe TI. Au moment d'écrire ces lignes, le 14 octobre 2026, je vous propose une lecture orientée identités, Entra et postes gérés plutôt qu'un simple résumé du document.
Ce que disent les chiffres sur les identités
Selon le billet, les agences et services gouvernementaux ont été le secteur le plus touché par les cybermenaces en 2026 avec 27 % de l'activité observée, contre 17 % en 2025. Le rapport couvre la période de juillet 2025 à juin 2026. Les gouvernements restent aussi les cibles les plus fréquentes de l'activité étatique parce qu'ils détiennent de l'information sensible, opèrent des services essentiels et siègent au centre de réseaux d'agences, de fournisseurs et d'opérateurs d'infrastructures critiques.
Deux chiffres méritent l'attention d'une équipe qui gère des identités. L'hameçonnage a compté pour 23 % des intrusions observées en 2026, contre 7 % en 2025. Microsoft rapporte aussi que 52,2 % des intrusions impliquant des comptes valides ont mené à un vol d'identifiants supplémentaire, ce qui illustre la vitesse à laquelle un attaquant dépasse son point d'entrée initial.
| Indicateur tiré du billet | 2025 | 2026 |
|---|---|---|
| Part des gouvernements dans l'activité observée | 17 % | 27 % |
| Hameçonnage dans les intrusions observées | 7 % | 23 % |
Pourquoi le dwell time et la vitesse changent la donne
Le billet note que le dwell time, soit le délai entre l'accès d'un attaquant et sa détection, a augmenté cette année dans plusieurs secteurs. Les organisations réagissent plus vite une fois l'intrusion repérée, mais la détection précoce reste difficile parce que les attaquants imitent de plus en plus l'activité légitime. Un comportement malveillant qui ressemble à une ouverture de session normale ou à l'usage d'un outil d'administration passe plus facilement sous le radar.
Microsoft ajoute que l'IA comprime la fenêtre d'action. Le délai entre la découverte d'une vulnérabilité et son exploitation active peut tomber sous les 24 heures et le nombre de CVE divulguées publiquement devrait atteindre un record de 72 000 en 2026.
Les cinq priorités, résumées pour une équipe TI
Le billet propose cinq priorités pour les gouvernements :
- se préparer à un environnement de menaces plus rapide, avec des responsabilités claires établies avant un incident;
- intégrer la sécurité à l'écosystème d'IA par des pratiques de conception sécurisée plutôt que par un chantier séparé;
- planifier la propagation des incidents, puisqu'une compromission isolée peut devenir rançongiciel, espionnage ou vol de données;
- permettre un partage d'information bidirectionnel entre les secteurs public et privé;
- préparer les services essentiels à fonctionner malgré une perturbation, notamment par des exercices de simulation.
Microsoft cite son programme Advancing Regional Cybersecurity, récemment au Kenya, comme exemple d'exercices par scénarios et de collaboration intersectorielle.
Ce que ça change concrètement côté identités et postes
Le rapport ne décrit aucun réglage précis dans Entra ou Intune. Il reste un document stratégique. Les constats sur les comptes valides et l'hameçonnage pointent toutefois vers des chantiers connus qui valent la peine d'être revalidés. Je les présente comme des points à vérifier, pas comme des recommandations tirées du billet.
- Réduire la surface d'hameçonnage sur les comptes à privilège en privilégiant des méthodes d'authentification résistantes à l'hameçonnage.
- Revoir les accès privilégiés et les rôles permanents, puisque le vol d'identifiants supplémentaire est le scénario le plus fréquent après un compte valide compromis.
- Vérifier la journalisation des ouvertures de session et des actions d'administration pour raccourcir le temps de détection évoqué dans le billet.
- Inclure fournisseurs, partenaires et prestataires dans les plans de réponse, comme le souligne la priorité sur la propagation des incidents.
- Tester un scénario d'incident identitaire par un exercice de table, en impliquant les décideurs autant que l'équipe technique.
Les limites à garder en tête
Les pourcentages proviennent du Digital Defense Report tel que résumé dans le billet et non d'un test de votre environnement. Un chiffre comme le 52,2 % décrit une tendance observée par Microsoft, pas une probabilité pour une organisation précise. Le billet ne fournit ni la méthodologie complète ni le détail par juridiction. Enfin les cinq priorités s'adressent d'abord aux décideurs gouvernementaux, donc leur transposition à une PME ou à une municipalité demande du jugement.
Pour une équipe Microsoft 365, la valeur de ce billet n'est pas une nouvelle fonction à activer. C'est un rappel que l'identité reste la porte d'entrée et que la résilience se joue avant l'incident, dans la clarté des responsabilités et la préparation des scénarios.
