Bitdefender a analysé plus de 700 000 incidents cyber : 84 % des attaques majeures reposent sur des techniques dites “Living off the Land”, qui détournent des outils d’administration déjà présents dans l’environnement de la cible pour passer inaperçues. Pourtant, dans la quatrième édition de son Cybersecurity Assessment, menée auprès de 1 200 professionnels IT et sécurité dans six pays, seuls 20,5 % des répondants classent cette technique parmi leurs trois principales menaces.
Quand l’IA masque les techniques qui font vraiment mal
L’écart, 63,5 points, est le plus important relevé dans l’ensemble du rapport. Les techniques “Living off the Land” (LOTL) s’appuient sur PowerShell, WMI, RDP ou d’autres utilitaires d’administration légitimes, déjà présents dans l’environnement de la cible. Elles ne déclenchent aucune signature de malware, puisqu’elles n’en sont pas. Les actions de l’attaquant ressemblent à s’y méprendre à de l’activité d’administration normale.
Pendant ce temps, l’évolution du malware piloté par IA (37 %) et l’ingénierie sociale renforcée par IA (36,2 %) captent l’essentiel de l’attention des équipes sécurité. Le constat est cohérent avec le reste du rapport : 52,6 % des sondés estiment que l’IA aide davantage les attaquants que les défenseurs, et 70,1 % observent des campagnes de phishing plus sophistiquées grâce à l’IA. Ces signaux sont réels et documentés, notamment via l’exemple du groupe APT36 que les Bitdefender Labs ont vu adopter un modèle de développement piloté par IA. Mais Martin Zugec, directeur des solutions techniques chez Bitdefender, tempère la portée de cette évolution dans le rapport : le malware généré par IA qu’il a observé n’a rien d’une percée technique, il s’agit selon lui d’une optimisation du médiocre, l’IA élevant le niveau plancher des attaquants plutôt que leur plafond.
Daniel Daraban, vice-président produits chez Bitdefender, résume la philosophie qui devrait en découler : plutôt que de se concentrer uniquement sur la détection et la réponse, il s’agit de réduire la marge de manœuvre laissée aux attaquants avant même qu’ils n’agissent. Une architecture orientée prévention, capable de repérer un comportement malveillant même lorsqu’il emprunte les habits de l’activité légitime, reste la réponse la plus cohérente face à des techniques qui échappent par construction aux défenses fondées sur les signatures.
Le silence sur les brèches, une habitude que la loi peine à déloger
Second angle mort, tout aussi révélateur : la proportion de professionnels ayant reçu la consigne de taire une brèche qu’ils savaient devoir être signalée. En 2023, ils étaient 42 % dans ce cas. En 2025, ce taux avait bondi à 57,6 %. Cette année, sur l’ensemble des 1 200 répondants, il s’établit à 55,2 %, un plateau que le rapport juge presque aussi préoccupant que le pic initial.
Ce plateau interroge d’autant plus qu’il survient après plusieurs vagues réglementaires structurantes : les règles de divulgation cyber de la SEC américaine entrées en vigueur en 2023, NIS2 applicable en Europe depuis 2024, DORA depuis début 2025. Malgré cet arsenal, le taux de dissimulation n’a quasiment pas bougé.
Le rapport propose une lecture nuancée de ce plateau : les régulations ont réussi à installer une attente de base en matière de divulgation, ce qui expliquerait que le chiffre ne continue pas de grimper. Mais sa persistance à un niveau élevé montre aussi que le changement culturel accuse un retard sur le changement réglementaire. Les textes fixent un plancher, mais faire évoluer les comportements suppose sans doute de rendre la divulgation moins punitive, ou à l’inverse de rendre le silence impossible à justifier.
Les disparités géographiques renforcent ce constat culturel : 69 % des répondants américains rapportent avoir reçu une telle consigne au cours des douze derniers mois, contre 57 % en Allemagne et au Royaume-Uni, 53 % à Singapour, 47 % en France et 46 % en Italie. Des écarts qui suggèrent que la pression pour dissimuler ne dépend pas seulement du cadre légal, mais aussi de normes propres à chaque environnement professionnel.
Ces deux angles morts, celui des techniques d’attaque sous-estimées et celui du réflexe de silence qui résiste aux textes, dessinent une même dynamique de fond que le rapport résume dans son résumé exécutif : les organisations sont plus confiantes, mais les brèches restent obstinément fréquentes ; les menaces liées à l’IA sont confirmées, mais la plupart des équipes ne voient pas leur propre exposition. Le document conclut que les postures de sécurité les plus solides n’appartiendront pas forcément aux organisations disposant des outils les plus nombreux ou du discours IA le plus audible, mais à celles capables de réduire la complexité, de retrouver de la visibilité, et de se concentrer sur ce qui empêche réellement les attaques.
