Le navigateur, le vecteur principal des intrusions d'entreprise en 2026

En 2026, le navigateur est devenu le champ de bataille principal pour les intrusions d'entreprise: non seulement il est la passerelle vers les applications d'affaires, mais il gère une grande partie de la chaîne d'attaque là. Les rapports et les détections du secteur mettent en évidence six techniques qui dominent le paysage : phishing AiTM à l'inverse du proxy, campagnes qui incitent les victimes à coller et exécuter des commandes (ClickFix et variantes), abus des flux et des consentements d'OAuth, extensions malveillantes ou compromises, engagements de mots de passe "ghost" en dehors de SSO, et séquestration des sessions. J'explique ensuite ce qui se passe, comment ces tactiques fonctionnent techniquement, qui elles affectent, quelles conséquences pratiques elles ont et quelles mesures concrètes peuvent être mises en œuvre par les équipes de sécurité et les utilisateurs.

Faits confirmés : les fournisseurs et les rapports sectoriels ont documenté une augmentation soutenue des attaques qui sont entièrement développées dans le navigateur. Microsoft et d'autres techniques de catalogue de rapports publics telles que le remplacement du consentement d'OAuth et l'utilisation de trousses Physing-as-a-Service; RFC 8628 décrit techniquement le « flux de code d'appareils » qui est abusé sur le terrain réel (RFC 8628). Le Verizon Data Break Investigations Report (DBIR) 2025 et d'autres analyses soulignent qu'un pourcentage important d'incidents commencent dans des appareils non gérés et que le vol de lettres de créances demeure présent dans de nombreuses intrusions (Vérizon DRIR). Microsoft a également mis en évidence des vecteurs récents où l'utilisateur frappe des commandes sur votre ordinateur comme engagement vecteur initial (Rapport de défense numérique Microsoft).

Comment fonctionnent-ils, en termes techniques: Les kits AiTM (adversaires dans le milieu par proxy inverse) créent une passerelle entre le service légitime et la victime et revivent en temps réel les identifiants, les cookies et les jetons de session, ce qui permet de contourner le MFA en fonction de facteurs contrôlés par l'utilisateur. ClickFix et ses variantes convainquent la victime de copier et d'exécuter des commandes dans son terminal; ces scripts installent généralement des infostealers ou des RAT, qui exfiltrent les cookies, les identifiants et les périphériques de session. Les abus d'OAuth profitent des flux de consentement ou du "code de l'appareil" pour obtenir des jetons sans l'assurance de l'utilisateur des références; ici le mécanisme d'authentification reste intact, mais le permis accordé autorise l'attaquant. Les extensions malveillantes obtiennent suffisamment de permissions de navigateur pour lire et modifier des pages, enregistrer des clics ou capturer des jetons en transit; les acteurs achètent souvent des extensions légitimes et les corrompent dans une mise à jour. Enfin, « ghost login » apparaît lorsque des applications non intégrées avec le SSO maintiennent des identifiants locaux ou des méthodes d'authentification alternatives qui restent hors du contrôle du fournisseur d'identité et de ses enregistrements.

Qui elle affecte: les organisations ayant une utilisation intensive des applications web - fintech, SaaS, santé, juridique -, les équipements avec des développeurs utilisant des machines personnelles ou tierces, et toute entreprise qui permet l'installation sans extension ou n'applique pas des politiques SSO centralisées. Les utilisateurs individuels sont également en danger pour la même dynamique : des navigateurs synchronisés avec des comptes personnels peuvent répandre des jetons et des mots de passe dans des environnements d'entreprise, et les pratiques de copie / collage des commandes sont courantes parmi les employés qui essaient de « résoudre » les problèmes eux-mêmes.

Incidences réelles: une intrusion qui ne quitte jamais le navigateur rend difficile la détection par des outils traditionnels axés sur le courrier, le réseau ou le terminal, car le trafic semble légitime et les identifiants ou jetons capturés sont valides. Le résultat peut être l'accès persistant, l'exfiltration de données silencieuses, les mouvements latéraux utilisant des identifiants réutilisés et, dans les environnements avec synchronisation activée, les engagements croisés entre les comptes personnels et les comptes corporatifs. En outre, la commercialisation de ces kits réduit la barrière technique de l'attaquant, augmentant le nombre potentiel d'opérations malveillantes dirigées.

Informations estimées et encore incertaines: les taux exacts d'incidence entre les techniques varient selon l'ensemble de données du fournisseur qui les publie ; par exemple, certains acteurs de télémétrie commerciale signalent que ClickFix a dominé son corpus, mais les chiffres ne sont pas toujours représentatifs de tous les secteurs ou régions. L'efficacité à long terme de certaines défenses émergentes (p. ex. certaines implémentations DPOP ou jetons de fixation) est également incertaine, car les attaquants adaptent rapidement leurs outils.

Mesures spécifiques et pratiques - ce que les équipes de sécurité et les utilisateurs doivent faire aujourd'hui:

- Mettre en œuvre les politiques du navigateur au niveau central: utiliser l'extension permettant et par défaut les politiques de verrouillage gérées via Chrome Enterprise, Edge for Business ou les politiques de votre navigateur EMM. Mises à jour du contrôle et révisions du code de déploiement pour les extensions internes.

- Retrouve et vérifie les demandes de tiers et le consentement OAuth : configure un processus d'approbation pour toute application qui demande une autorisation, limite les champs d'application et enregistre chaque consentement. Revoir et révoquer régulièrement les autorisations inactives et vous avertir des consentements inhabituels ou des nouveaux PI.

- Interdire ou atténuer la pratique de la copie / coller des commandes: établir des mesures techniques pour bloquer l'exécution de scripts non signés (PowerShell Constrained Language, politiques d'exécution, AppLocker / WDAC dans Windows), afficher EDR avec contrôle de comportement et désactiver le collage direct dans les consoles dans les systèmes d'entreprise.

- Augmenter la visibilité sur les sessions et les jetons : enregistrer et surveiller l'utilisation des jetons, détecter les replays de session, mettre en œuvre la détection d'anomalies dans l'utilisation des jetons (nouvelle géolocalisation, agent utilisateur différent). Favoriser les sessions à court terme et la révocation automatique des jetons de rafraîchissement après les changements de risque.

- Appliquer SSO et fermer « ghost login » : centraliser l'accès via IdP, désactiver les méthodes d'authentification locales dans les applications si possible, et vérifier la connexion en dehors de l'IdP. Pour les applications qui ne supportent pas l'OSS, documenter et gérer les justificatifs d'identité avec les coffres de l'entreprise et les politiques de rotation.

- Traiter les appareils non gérés comme des dispositifs à risque élevé : appliquer des politiques d'accès conditionnel qui exigent des appareils avec affranchissement connu, minimiser l'utilisation des comptes d'entreprise sur les machines personnelles et désactiver la synchronisation du navigateur pour les comptes sensibles.

- Éducation et réseau d'équipe : former des utilisateurs avec des exercices d'hameçonnage qui incluent des vecteurs non-e-mail (messagerie, SMS, réseaux sociaux) et des campagnes qui simulent des demandes de collage et d'exécution de commandes. Combiner la formation avec des tests techniques - l'isolation du navigateur, la navigation à distance ou la sécurité web - pour réduire la surface d'attaque.

Ces lignes d'action combinent contrôles techniques, gouvernance et sensibilisation. Aucune mesure n'est complète à elle seule : la menace a migré vers le navigateur et nécessite des contrôles spécifiques à ce niveau. Pour approfondir les flux d'OAuth et la technique du code périphérique, voir le texte standard RFC 8628 et pour le contexte des tendances d'intrusion et des dispositifs non gérés, examiner le Verizon DBIR et les rapports numériques de défense des grands fournisseurs mentionnés ci-dessus (Vérizon DRIR) (Rapport de défense numérique Microsoft). La mise en œuvre de politiques de navigation gérées, l'audition du consensus d'OAuth et la mise en place d'obstacles techniques au «collage et à la gestion» sont les actions avec le retour le plus immédiat pour réduire les risques.