Le 22 septembre 2026, l’agence européenne pour la cybersécurité a publié son Threat Landscape 2026. Un chiffre va circuler seul : 57 % des incidents visant l’Union sont à motivation idéologique, contre près de 30 % à motivation financière.
Il faut tout de suite poser 2 bornes, sans quoi ce chiffre ment.
La première est temporelle. Le rapport analyse la période du 1er janvier au 31 décembre 2025. La publication est nouvelle, les incidents ne le sont pas.
La seconde est plus importante. Les DDoS représentent 51 % des cas enregistrés, et le rapport les qualifie lui-même de faible impact. « 57 % d’incidents idéologiques » ne veut donc pas dire « 57 % des cyberattaques graves contre l’Europe sont géopolitiques ». Ce n’est pas ce que dit l’agence, et l’écrire serait durcir une statistique de volume en statistique de gravité.
Le nombre mesure l’exposition, pas le dommage
Il faut revenir sur les 57 %, parce que c’est le chiffre qui circulera seul et que sa lecture spontanée est fausse.
Une motivation idéologique dit pourquoi quelqu’un attaque. Elle ne dit rien de ce qu’il obtient. Or le corpus est dominé par des dénis de service que l’agence qualifie elle-même de faible impact, et qui indisponibilisent un site pendant un temps borné sans compromettre quoi que ce soit.
Il faut aussi regarder ce que recouvre le mot incident. L’agence a enregistré 8 257 incidents sur l’année, et 4 709 revendications hacktivistes visant des États membres. Ces 4 709 revendications représentent 57 % des 8 257 incidents, soit l’ordre de grandeur de la part idéologique, et le rapport désigne lui-même cette catégorie tantôt comme des incidents, tantôt comme des revendications. Le calcul suggère que la part idéologique est composée pour l’essentiel de revendications enregistrées ; le rapport ne publie pas le recoupement exact entre les 2 séries.
Dans le même rapport, l’agence continue de désigner le rançongiciel comme la menace produisant l’impact immédiat le plus important dans l’Union. Ce n’est pas une contradiction, ce sont 2 mesures différentes : une fréquence d’exposition d’un côté, une gravité de dommage de l’autre.
La confusion des 2 produit une erreur de décision très concrète. Une organisation qui lit « 57 % des incidents sont idéologiques » réoriente ses moyens vers la menace la plus visible, au moment précis où la menace la plus coûteuse est ailleurs. Compter des incidents et mesurer un risque sont 2 métiers, et le premier ne remplace jamais le second.
L’agence a mesuré l’écart entre la revendication et l’effet
La lecture du rapport lui-même, et non de ses reprises, fait apparaître un chiffre absent des reprises que nous avons consultées, et qui vaut mieux que tous les pourcentages de volume.
Entre juillet et novembre 2025, l’agence a confronté les revendications de DDoS qu’elle a évaluées, celles du principal groupe hacktiviste actif dans l’Union, à des contrôles de disponibilité menés par des tiers indépendants. Seules 23,8 % ont été validées par ces contrôles.
Et elle en tire elle-même la conséquence, en toutes lettres : cet écart suggère que certaines revendications ont pu servir un objectif d’influence, en gonflant la perception de l’impact opérationnel, y compris là où aucune perturbation n’a pu être vérifiée.
Mesurons ce que cela change, et ce que cela ne dit pas. Une agence européenne vient de chiffrer, pour un groupe et sur 5 mois, l’écart entre ce qui est revendiqué et ce qu’un contrôle externe peut confirmer : environ 3 revendications sur 4 n’ont pas été vérifiées. Une perturbation non vérifiée n’est pas pour autant une revendication fausse, puisqu’une indisponibilité brève peut échapper à un contrôle ponctuel. Mais le chiffre interdit de traiter une revendication comme la preuve d’un effet.
La conséquence opérationnelle est immédiate. Pour ce groupe au moins, compter les revendications revient à mesurer son activité de communication autant que son activité technique. Une organisation qui suit ces comptages pour calibrer sa défense calibre en partie sur un récit.
La phrase qui change la pratique
Une fois ces bornes posées, le rapport contient une observation qui vaut bien plus que le pourcentage.
À propos de ces vagues de DDoS, le communiqué de l’agence écrit qu’elles ont été « principalement façonnées par les évolutions géopolitiques et portées par des événements spécifiques tels que des déclarations politiques ». Le rapport lui-même est plus mesuré : il les dit « principalement façonnées par les évolutions géopolitiques et les déclarations politiques », et observe que les campagnes « ont fréquemment coïncidé » avec des développements politiques, des déclarations publiques ou des événements très visibles.
C’est une observation de l’agence sur ses données annuelles, pas une mesure de causalité cas par cas. Elle suffit pourtant à faire de la prise de parole une variable temporelle de l’activité technique observée, et c’est ce qui intéresse une direction de la communication.
L’agence compte par ailleurs 4 709 revendications hacktivistes visant des États membres sur l’année, dont plus de 89 % concernent des DDoS. Les campagnes s’alignent notamment sur des élections, des manifestations, des tensions géopolitiques et le soutien apporté à l’Ukraine.
Qui est visé, et ce que cela déplace
Les cibles ne sont pas quelconques. 73 % des organisations touchées relèvent des catégories essentielles ou importantes au sens de la directive NIS 2. L’administration publique représente à elle seule 32 % des incidents, et dans ce secteur 82 % des incidents sont des DDoS.
Autrement dit, le secteur le plus exposé est aussi celui qui parle le plus, et dont la parole engage un État.
La conséquence est directe pour une direction de la communication publique ou institutionnelle. Un plan de prise de parole se prépare d’abord avec une question : comment cette déclaration sera-t-elle reçue ? Le rapport en justifie une seconde, que certaines organisations posent déjà et que beaucoup ne formalisent pas, et elle ne relève ni du même métier ni de la même direction.
Quel surcroît de risque technique cette déclaration déclenche-t-elle dans les heures qui la suivent ?
C’est la jonction exacte entre affaires publiques, communication stratégique et cybersécurité, et rien ne garantit qu’elle ait un propriétaire dans votre organigramme.
La conséquence n’est pas de se taire. Elle est que le calendrier de prise de parole cesse d’être une donnée purement éditoriale pour devenir aussi une donnée d’exploitation. Une annonce géopolitique sensible se prépare désormais avec 3 équipes autour de la table : celle qui écrit, celle qui surveille, celle qui assure la continuité.
Non pour arbitrer si l’on parle, ce qui ne regarde pas la sécurité. Pour savoir quand on parle, qui veille dans les heures qui suivent, et ce qu’on répond si le site tombe pendant que la déclaration circule.
Convergence n’est pas coordination
Le rapport relève une autre évolution : les outils, les infrastructures et les modes opératoires convergent entre cybercriminalité, hacktivisme et acteurs liés à des États. Il observe aussi l’usage quotidien de contenus synthétiques, audio, vidéo et texte, dans les activités de manipulation de l’information.
Cette convergence est un fait technique. Elle n’établit rien sur les liens entre ces acteurs.
Un hacktiviste qui emploie la même infrastructure qu’un acteur étatique n’en devient pas le relais. Et une revendication n’est pas une attribution : revendiquer coûte un message, démontrer coûte une enquête. Confondre les 2 est une faute fréquente dans la couverture de ces vagues, et elle est d’autant plus tentante que l’attaquant, lui, a tout intérêt à ce qu’on la commette.
Ce que le rapport ne démontre pas
Il ne démontre pas une aggravation de la menace grave. Plus de la moitié des incidents comptés, 51,3 %, sont des DDoS à faible impact, et leur nombre mesure une mobilisation, pas un dommage.
Il ne démontre pas de causalité entre une déclaration donnée et une attaque donnée. Il rapporte que les campagnes ont fréquemment coïncidé avec des déclarations et des événements politiques sur l’année, ce qui est une observation d’ensemble et non un lien de cause à effet dans un cas particulier.
Il ne démontre pas que les auteurs agissent pour le compte d’un État. L’agence indique que les opérations associées à des acteurs étatiques restent principalement des intrusions, catégorie distincte de la masse hacktiviste.
Sur l’IA, ce qui est observé et ce qui est seulement évalué
Le rapport consacre un encadré à l’intelligence artificielle, et il est construit de façon à ne pas mélanger 2 registres. L’article le suit ici à la lettre.
Ce qui est observé sur 2025 : l’IA a été intégrée aux pratiques de 3 familles d’acteurs, cybercriminels, groupes liés à des États et ensembles de manipulation de l’information. L’agence précise que les attaquants emploient surtout des outils grand public pour renforcer des compétences existantes, et non pour obtenir des capacités inédites.
Ce qui est évalué pour 2026 : l’agence juge probable que davantage d’étapes de la chaîne d’attaque soient directement prises en charge par l’IA, avec de possibles expérimentations sans humain dans la boucle.
Voici pourquoi cette distinction est tenable et pas seulement prudente. L’annexe du rapport publie l’échelle de confiance de l’agence, et le mot employé pour cette prévision y correspond à une confiance de 60 à 90 %. Ce n’est donc ni un constat, ni une spéculation : c’est une estimation graduée, par une agence qui publie sa propre grille.
Retenons le geste méthodologique plutôt que la prédiction. Une institution qui publie l’échelle avec laquelle elle gradue ses énoncés rend ses propres affirmations contestables, donc utilisables. C’est exactement ce que notre doctrine d’attribution stricte demande, et c’est assez rare pour être relevé.
Deux précisions que les reprises vont perdre, et qui protègent le lecteur. Le chapitre du rapport consacré à la manipulation de l’information est explicitement repris d’un travail antérieur du service diplomatique européen : ses volumes ne sont pas une découverte de l’agence, et les présenter comme telle fabriquerait une actualité. Et le chiffre souvent cité de 60,4 % d’intrusions par exploitation de vulnérabilité ne porte que sur les 5,2 % de cas où un vecteur d’entrée a pu être identifié, ce qui en fait une proportion dans un échantillon étroit, pas une part du total.
Le 22 septembre, un cas documenté est venu tester cette prévision
La société de sécurité Gambit Security a publié le 22 septembre un rapport technique sur une campagne à motivation financière visant des commerçants en ligne. Les chercheurs ont récupéré le serveur de l’opérateur, laissé accessible. Entre le 10 et le 15 septembre, ce serveur porte 105 projets d’attaque. Gambit établit au moins 27 entreprises compromises à des degrés divers, et des logiciels de vol de cartes confirmés sur 19 d’entre elles.
La chaîne technique est décrite. Un premier outil cherche les vulnérabilités, un deuxième reçoit un domaine et un objectif puis travaille seul pendant des heures, un troisième orchestre la campagne et garde la mémoire des cibles. Les 3 sont des projets ouverts, disponibles publiquement. Dans le cas publié en entier, l’enchaînement va d’une injection SQL à la lecture d’un code à usage unique, puis au contournement de l’authentification à 2 facteurs, à l’accès administrateur, à l’exécution de code, aux privilèges les plus élevés, au coffre de secrets de l’hébergeur, à la base marchande, et enfin à la clé qui déchiffre les numéros de cartes. Selon Forbes, les modèles employés étaient DeepSeek, Kimi et une version antérieure de Claude, d’Anthropic.
Les volumes publiés sont les suivants. Plus de 600 000 numéros de cartes non expirées proviennent de 2 entreprises seulement. La répartition par pays d’émission donne 488 372 cartes aux États-Unis, soit 79 %, et 4 295 cartes en France, soit 0,7 %. Le coût des modèles est mesuré à 7 005,71 dollars sur 4 semaines, et estimé par Gambit entre 12 000 et 18 000 dollars sur toute la campagne. La moyenne la plus citée, 25,46 dollars, porte sur 101 scans terminés, entre 3,13 et 79,31 dollars, et non sur une entreprise compromise.
Voici ce que ce cas ajoute au rapport de l’agence, et voici ce qu’il laisse ouvert. Il ne décrit pas une attaque sans humain. Gambit compte 1 951 instructions tapées par l’opérateur sur 260 sessions, des phrases courtes, et le directeur du renseignement de la société résume la scène en disant que l’humain dirige des modèles presque entièrement autonomes. L’humain n’a donc pas quitté l’attaque. Il a changé de poste : d’opérateur technique, il est devenu superviseur d’une flotte d’agents. C’est moins spectaculaire que sa disparition annoncée, et c’est plus utile, parce que cela désigne un poste de travail réel, donc une organisation réelle, donc une responsabilité attribuable.
Un détail du rapport vaut pour toute organisation qui déploie des agents, y compris en défense. Chez un distributeur de vélos, la routine de nettoyage de l’agent a supprimé 180 tables de base de données, parce que son critère de sélection retenait aussi les tables de sauvegarde faites par les administrateurs de la victime. L’autonomie offensive produit ses propres dégâts collatéraux, et celui qui la lance perd une partie du contrôle fin sur ses effets. La question que pose notre protocole de gouvernance des agents se retourne ici sur l’attaquant : quel était le mandat de l’agent, et qui répond de ce qu’il a détruit au-delà.
La même journée a produit 3 durcissements du rapport primaire
Le dossier a été repris très vite. La comparaison avec la source est instructive pour quiconque devra, un jour, voir son propre incident repris.
Premier écart, l’attribution. Gambit qualifie l’opérateur de motivé par l’argent et n’attribue la campagne à aucun État. Le seul élément de langue publié est que les instructions sont tapées en chinois. Quartz titre sur un pirate sinophone, ce qui décrit une langue. Forbes titre sur un pirate chinois, ce qui décrit une nationalité que personne n’a établie. Entre les 2 titres il y a une inférence, et elle n’est signalée nulle part au lecteur.
Deuxième écart, le décompte. Les 105 objets trouvés sur le serveur sont des projets d’attaque, pas des victimes. Plusieurs reprises annoncent jusqu’à 100 entreprises. Celle de Quartz porte les 2 chiffres dans le même texte, jusqu’à 100 entreprises en tête, au moins 27 entreprises compromises dans le corps.
Troisième écart, le prix. La moyenne de 25,46 dollars porte sur des scans terminés. Elle circule comme un prix par entreprise piratée, y compris dans le titre du rapport primaire lui-même, qui annonce 25 dollars par entreprise. Le durcissement n’est donc pas toujours le fait des reprises : il commence parfois à la source.
Ces 3 écarts relèvent exactement de ce que notre doctrine d’attribution stricte demande de distinguer, et ils se sont produits en 24 heures sur un document public que tout le monde pouvait lire. Gambit précise pour sa part que son rapport est intermédiaire et que certaines évaluations peuvent encore évoluer.
Un fait à venir permettrait de lever le doute, et il est simple à surveiller : une seconde source primaire qui mesure la même campagne, ou une confirmation indépendante du nombre de victimes. Tant qu’elle manque, la mesure de l’impact reste celle d’une seule société, qui le dit elle-même.
Les 4 décisions que ce rapport rend urgentes
Qui regarde le calendrier de parole avec la sécurité ? Il s’agit non de censurer une déclaration, mais de savoir qu’une déclaration peut ouvrir une fenêtre, et de la surveiller pendant qu’elle est ouverte. La décision de parler reste à la direction et à la communication ; le responsable de la sécurité, prévenu à l’avance, décide de la surveillance renforcée et de sa durée.
Qu’est-ce qu’un incident de faible impact chez vous ? Un site institutionnel indisponible 40 minutes n’est pas un incident de sécurité majeur, mais c’est un incident de réputation complet si personne n’a prévu quoi dire.
Qui parle pendant une indisponibilité ? Le silence est souvent la réponse par défaut, et il a un coût : il laisse la revendication de l’attaquant seule sur le terrain, et une revendication non contestée risque de devenir la version. La communication porte la parole, mais sur des faits fournis par l’équipe technique et par le responsable de la continuité, qui dit ce qui est touché, ce qui ne l’est pas et quand le service reprend.
Comment nommez-vous l’auteur, et à quel niveau ? Revendiqué, soupçonné, attribué par une autorité, établi. Les 4 niveaux existent, et une organisation qui n’a pas décidé à l’avance lequel elle emploiera en emploiera un trop haut sous la pression.
Ce que ce rapport installe tient en une ligne. La parole publique n’a plus seulement des conséquences de réception, elle a des conséquences de charge.
Enrichissement du 23 septembre 2026. Le rapport primaire a été lu après la première mise en ligne, qui s’appuyait sur ses reprises. Deux sections ont été ajoutées, « L’agence a mesuré l’écart entre la revendication et l’effet » et « Sur l’IA, ce qui est observé et ce qui est seulement évalué ». Aucun passage publié n’a été modifié, ni le titre ni l’adresse. Rapport ENISA Threat Landscape 2026, septembre 2026, diffusé sous licence Creative Commons CC BY 4.0.
Enrichissement du 24 septembre 2026. Un rapport technique publié le 22 septembre documente un cas qui relève de la catégorie que l’agence évaluait pour 2026. Deux sections ont été ajoutées, « Le 22 septembre, un cas documenté est venu tester cette prévision » et « La même journée a produit 3 durcissements du rapport primaire ». Aucun passage publié n’a été modifié, ni le titre ni l’adresse. Sources : rapport intermédiaire de Gambit Security du 22 septembre 2026 ; reprise de Forbes du 22 septembre 2026 ; reprise de Quartz du 22 septembre 2026, consultée dans sa syndication Yahoo. Toutes consultées le 24 septembre 2026.
Correction du 25 septembre 2026. Le rapport a été relu en entier. La phrase sur les déclarations politiques citée entre guillemets provient du communiqué de l’agence, et sa traduction « provoquées » durcissait « driven by » : elle est désormais attribuée au communiqué, traduite « portées », et mise en regard du rapport, qui parle de campagnes ayant « fréquemment coïncidé » avec des déclarations. Un paragraphe précise que les 4 709 revendications hacktivistes représentent 57 % des 8 257 incidents enregistrés. Le taux de 23,8 % est situé : il porte sur les revendications évaluées d’un groupe, et une perturbation non vérifiée n’est pas une revendication fausse. Plusieurs généralités non mesurées ont été bornées, et les décisions finales désignent qui les prend.
