Un logiciel malveillant, ou malware, désigne tout programme conçu pour exécuter des actions non autorisées sur un système informatique. La question de sa source principale n’a pas de réponse figée : le vecteur d’infection dominant change d’une année à l’autre, et la réponse de 2023 n’est plus celle de 2025.
VPN compromis : le vecteur dominant des attaques ransomware directes
Les articles de référence sur les malwares citent presque systématiquement l’email comme porte d’entrée principale. Cette hiérarchie a basculé pour une catégorie d’attaques parmi les plus coûteuses : le ransomware direct.
A lire aussi : Quelle est la différence entre ikev2 et openvpn ?
Selon le rapport InsurSec Report d’At-Bay (2025), 66 % des sinistres ransomware directs en 2024 débutent par une compromission de VPN, contre 41 % l’année précédente. Dans le même temps, l’email comme vecteur initial de ransomware direct est passé de 19 % à 6 %.
Ce basculement s’explique par une réalité technique. Un VPN mal configuré ou non mis à jour expose un point d’accès permanent au réseau interne d’une organisation. Contrairement à un email de phishing, qui nécessite une action humaine, l’exploitation d’une faille VPN peut être automatisée et ne laisse pas de trace visible pour l’utilisateur final.
A lire en complément : Comment savoir si j’ai un ransomware ?
Les services exposés sur internet (VPN, passerelles d’accès distant, outils de surveillance à distance) sont devenus la cible prioritaire des groupes de ransomware. Leur attrait est logique : un seul accès compromis peut ouvrir la totalité du réseau d’une entreprise.
Infostealers et vol d’identifiants : la source invisible des malwares
Au-delà du ransomware, une autre catégorie de logiciels malveillants restructure la chaîne d’infection : les infostealers. Ces programmes volent des identifiants de connexion, des cookies de session et des jetons d’authentification stockés sur un poste de travail.
Un infostealer ne chiffre pas de fichiers et ne bloque pas l’accès au système. Il collecte silencieusement des données d’identification, puis les revend sur des marchés spécialisés. L’acheteur utilise ensuite ces identifiants pour accéder au réseau de la victime sans avoir besoin d’exploiter la moindre vulnérabilité technique.
Selon les données de Recorded Future (H1 2026), les infostealers représentent une part croissante des malwares détectés. Des familles comme Vidar se propagent via de faux sites de téléchargement (par exemple, des leurres imitant des jeux populaires). Le chemin d’attaque typique part d’un identifiant volé pour aboutir à un ransomware déployé, parfois plusieurs semaines après l’infection initiale.
Pourquoi les infostealers passent sous les radars
Un infostealer bien conçu n’altère pas le fonctionnement du système. L’utilisateur ne remarque aucun ralentissement, aucune alerte. Les antivirus traditionnels, conçus pour détecter des comportements destructeurs, peinent à identifier un programme qui se contente de lire et transmettre des données.
Cette discrétion explique pourquoi les contenus grand public sur les malwares mentionnent rarement cette catégorie, alors qu’elle alimente directement les attaques par ransomware et les compromissions de comptes professionnels.
Phishing et email : toujours un vecteur majeur de logiciels malveillants
Le phishing reste, tous types d’attaques confondus, le vecteur d’accès initial le plus fréquent. Selon un rapport KnowBe4 (2025), l’email demeure le premier vecteur d’accès initial toutes menaces confondues. La nuance est dans le périmètre : si l’on isole le ransomware direct contre les entreprises, le VPN domine ; si l’on considère l’ensemble des infections (particuliers et entreprises, tous malwares), l’email conserve la première place.
Les techniques de phishing évoluent. Les campagnes assistées par intelligence artificielle produisent des messages plus convaincants, avec moins de fautes et un ciblage plus précis. Le phishing ne se limite plus aux emails : il s’étend aux SMS, aux messageries professionnelles et aux fausses pages d’authentification OAuth.
- Le phishing par email reste le point d’entrée le plus courant pour les infections touchant les particuliers, via des pièces jointes piégées ou des liens vers des sites imitant des services légitimes.
- Les campagnes ciblées (spear phishing) visent des collaborateurs précis d’une organisation, souvent avec des informations personnelles récupérées en amont.
- Les faux sites de téléchargement distribuent des logiciels malveillants déguisés en applications populaires, en mises à jour ou en outils gratuits.
Vulnérabilités exploitées : le facteur temps dans la propagation des malwares
Une vulnérabilité logicielle non corrigée constitue une porte ouverte. Les données compilées par plusieurs observatoires de sécurité pour 2025-2026 montrent que le délai moyen d’exploitation d’une faille connue se réduit d’année en année. Une vulnérabilité publiée peut être exploitée en quelques jours, parfois avant que le correctif ne soit déployé.
Ce facteur temps transforme les équipements réseau (pare-feu, VPN, outils d’administration à distance) en cibles prioritaires. Ces équipements sont souvent accessibles depuis internet et ne bénéficient pas toujours des mêmes cycles de mise à jour que les postes de travail.
Quels systèmes sont les plus exposés
Les appliances réseau (routeurs, passerelles VPN, solutions de monitoring) cumulent deux caractéristiques qui en font des cibles de choix :
- Elles sont connectées en permanence et accessibles depuis l’extérieur du réseau.
- Leur mise à jour dépend souvent d’une intervention manuelle, contrairement aux systèmes d’exploitation de postes de travail qui reçoivent des correctifs automatiques.
- Leur compromission donne un accès direct au réseau interne, sans nécessiter d’interaction avec un utilisateur.
La réponse à la question initiale dépend donc du périmètre considéré. Pour les particuliers, l’email piégé et les faux sites de téléchargement restent la source principale d’infection. Pour les entreprises confrontées au ransomware, les accès distants compromis (VPN en tête) ont pris la première place. Les infostealers, eux, alimentent les deux circuits en fournissant les identifiants qui rendent les attaques suivantes possibles. La plus grande source de malware n’est pas un canal unique mais une chaîne où chaque maillon nourrit le suivant.
