Des chiffres en trompe-l'œil
Le centre national de cybersécurité britannique a présenté son rapport annuel le 3 novembre 2026. Entre septembre 2025 et août 2026, il a reçu 1 831 signalements d'attaques visant des organisations du Royaume-Uni, contre 1 727 l'année précédente. Il a apporté un soutien direct dans 337 cas, contre 429. Et en a classé 80 comme d'importance nationale.
À première vue, les incidents les plus graves reculent. Le même jour pourtant, le directeur de l'agence évoque la perspective réelle d'une hausse sans précédent des incidents dans les mois qui viennent.
Contradiction ? Non. Un basculement.
L'IA comme accélérateur
Le rapport juge très probable que d'ici 2028, la Chine, la Russie et d'autres États utilisent couramment l'IA dans leurs opérations contre le Royaume-Uni. Le danger ne tient pas à une arme inédite. Il tient à la capacité d'exploiter, à grande échelle, des vulnérabilités connues depuis longtemps dans des technologies anciennes. Des failles tolérées par habitude.
L'automatisation change l'économie de l'attaque. Ce qui demandait du temps humain devient industrialisable.
Quatre portes, toujours les mêmes
Le chiffre le plus utile du rapport est ailleurs. Dans les grandes organisations, 88 % des incidents traités ont commencé de l'une de ces quatre façons : exploitation d'une application exposée sur internet, hameçonnage, détournement d'un compte légitime, exploitation d'un service d'accès à distance.
Rien d'exotique. Que des portes connues, documentées, et pourtant encore ouvertes.
Ce que cela signifie pour une DSI
Le diagnostic vaut au-delà de la Manche. La dette technique cesse d'être un simple sujet de maintenance ou de budget. Elle devient une surface d'attaque industrialisable. Un serveur exposé non corrigé, un VPN vieillissant, un compte de service jamais revu : exactement ce qu'une attaque automatisée rendra rentable.
Concrètement, la gestion des vulnérabilités doit commencer par un inventaire honnête de l'exposition, avec un propriétaire pour chaque application visible depuis internet. Puis l'authentification forte sur tous les accès distants. Puis une revue des comptes à privilèges.
L'horizon 2028 paraît loin. Il représente pourtant un ou deux cycles budgétaires. Ce qui n'est pas financé maintenant ne sera pas prêt à temps.
