Les grandes actions associées à la cybercriminalité maintiennent pratiquement les mêmes noms qui ont un an. Le ransomware continue d’extorsionner les entreprises, le phishing étant la principale voie d’accès pour les pirates et les troyans bancaires ne doit pas évoluer. Cependant, la continuité apparente est en train de produire une transformation beaucoup plus profonde : l’intelligence artificielle est en train de redéfinir la forme dans laquelle fonctionnent les cyberdélinquants, permettant d’automatiser les processus, d’adapter vos campagnes au temps réel et d’augmenter de manière significative l’efficacité de vos attaques.
C’est le principal message transmis à Josep Albors, responsable de l’enquête et de la conception d’ESET Espagne, lors de la présentation du rapport sur les menaces H1 2026, une information qui analyse l’évolution des menaces détectées entre décembre 2025 et mai 2026. Les données ont été vues en Espagne comme un des deux. Le pays est le plus critiqué pour la cybercriminalité, concentrant les 7,43% de toutes les détections enregistrées par l’entreprise et occupant la troisième position mondiale, seulement au détriment du Japon et de la Pologne.
Mais, surtout à partir des données statistiques, le véritable changement réside dans l’évolution des propias amenazas. «Nous ne sommes pas en train de remplacer les moyens traditionnels, mais nous avons une évolution», a répondu Albors lors de la présentation. «L’IA permet d’automatiser les processus informatiques, de personnaliser les attaques et de s’adapter beaucoup plus rapidement à de nouveaux scénarios». Dans d’autres domaines, nous n’avons pas découvert de nouvelles capacités de logiciels malveillants qui révolutionnent le paysage, car ceux que vous connaissez sont dotés de capacités qui leur permettent d’être beaucoup plus efficaces.
Ransomware : attaques plus sélectives et mieux préparées
Le ransomware continue de mener les activités les plus lucratives de la cybercriminalité. Même si le nombre d’organisations païennes qui ont été sauvées a été réduit à quatre ou cinq ans, Albors a déclaré au cours de la rencontre que de nombreuses entreprises ont choisi de payer sans dénoncer l’incident, en particulier lorsque les délinquants sont amenés à publier des informations volées. Cette mauvaise visibilité empêche de connaître la véritable dimension du problème.
En Espagne, les secteurs des services, du tourisme et de l’industrie continuent de figurer parmi les principaux objectifs de ces campagnes. Cependant, l’aspect le plus exigeant n’est pas le profil des victimes comme le degré de spécialisation atteint par certains groupes.
L’un d’eux est The Gentlemen, une organisation qui a joué un rôle important dans l’activité au cours du premier semestre. À la différence des autres groupes qui lancent des campagnes massives, ce groupe sélectionne soigneusement ses objectifs. «Ne cherchez pas de victimes de l’azar, si les organisations savent qu’elles peuvent prendre en charge le paiement du sauvetage et que les défenses peuvent mieux s’adapter à leurs propres outils d’attaque», a expliqué Albors.
L’information fournit également l’utilisation d’un vaste répertoire d’utilitaires pour la cybercriminalité, comme les dénommés EDR Killers, conçus spécifiquement pour neutraliser les solutions de sécurité avant de détruire le cifrado des systèmes. Il est probable que le ransomware soit converti en une activité hautement professionnelle.
L’IA est une partie du malware
Si jusqu’à présent l’intelligence artificielle est utilisée principalement pour rédiger des messages de phishing plus convaincants ou automatiser des campagnes d’ingénierie sociale, au cours de ce semestre, ESET a détecté une étape la plus importante : l’intégration d’IA générées dans le propre malware.
Un des exemples les plus représentatifs est PromptSpy, considéré par les enquêteurs comme l’un des premiers codes malveillants pour Android qui utilisent des modèles d’IA lors de leur exécution. Au lieu de limiter l’exécution des instructions programmées, interprétez le contenu de l’écran de l’appareil pour automatiser des actions complètes, maintenez la persistance dans le système compromis et adaptez-le dynamiquement à chaque situation.
«L’IA fait que les logiciels malveillants sont beaucoup plus adaptables et résistants. Les délinquants peuvent être modifiés de manière rapide pour ajuster le type d’attaque qui veut amener le bateau», a déclaré Albors. Une capacité qui réduit les délais de développement et permet aux groupes de cybercriminels de réagir rapidement avant de nouvelles mesures défensives.
Los Agentic Skills ouvre un nouveau scénario
L’autre phénomène qui préoccupe le plus les enquêteurs est la prolifération rapide des agents. Compétences d’agent, petits modules qui amplifient les capacités des agents de renseignement artificiel.
Même si la plupart ont été conçus pour automatiser les paiements légitimes, ESET détecte un nombre élevé de compléments développés avec des amendes malveillantes. Ces compétences peuvent faciliter l’exfiltration de données, manipuler les systèmes, modifier le comportement des agents à travers les techniques d’injection rapide ou automatiser certaines phases d’une attaque.
Au cours de la présentation, Albors a alerté de l’énorme croissance expérimentée par cet écosystème en seulement un mois et a appelé à une extrême prudence. «Nous sommes en mesure d’utiliser ces compétences pour filtrer les informations, manipuler les systèmes ou modifier le comportement des agents d’IA. La cyberdélinquance est très grave dans cet environnement», a-t-il ajouté.
L’ingénierie sociale doit faire en sorte que l’arme soit la plus efficace
Tandis que l’intelligence artificielle apporte de nouvelles capacités aux attaquants, l’ingénierie sociale continue à siéger au point d’entrée principal. L’information reflète un incrément de 108 % dans les campagnes basées sur ClickFix, une technique qui convient à l’utilisateur pour exécuter volontairement un code malveillant créant une solution à un supposé problème technique. Sur cette base, vous trouverez de nouvelles variantes de la cybercriminalité comme AI-Fix, qui propose de faux tutoriels pour installer des modèles d’intelligence artificielle, ou CrashFix, qui simule des erreurs du navigateur pour inciter la victime à copier des instructions compromises.
«Les délinquants ont compris qu’ils étaient beaucoup plus faciles à convaincre l’utilisateur pour qu’il exécute le même code malveillant qui recherche des vulnérabilités particulièrement complexes», a résumé Albors. Une réflexion qui explique pourquoi ces campagnes se concentrent sur l’amélioration des solutions de protection.
España, référent également en quishing
Le phishing continue de classifier les menaces détectées, même si une de ses variantes est spécialement créée pour sa création rapide : l’annulation, basée sur l’utilisation des codes QR, pour rediriger les victimes vers des pages frauduleuses.
L’Espagne occupe la deuxième position mondiale dans les détections de cette modalité, uniquement par les États-Unis. Les cyberdélinquants distribuent ces codes au moyen de courriers électroniques, de documents ou même de supports physiques pour permettre aux utilisateurs de faire de fausses pages où ils capturent des informations d’identification ou des données bancaires. La vulgarisation des pages mobiles et la confiance que de nombreux utilisateurs déposent dans ce type de codes favorisent l’issue de cette campagne.
Le quishing, basé sur l’utilisation de codes QR pour rediriger les victimes vers des pages frauduleuses, a expérimenté une croissance rapide
Parallèlement, ESET détecte une activité intense de voleurs d’informations comme Formbook ou l’agent Tesla et le registre des campagnes établies auprès de troyans bancaires brésiliens qui supplantent l’identité des entreprises énergétiques, des organismes publics ou des administrations pour la distribution d’archives malveillantes. Les informations sont également fournies par la société espagnole d’assistance mobile capable d’améliorer la technologie NFC pour fournir des informations sur les cartes bancaires au moyen d’applications frauduleuses, une technique détectée initialement dans les pays de l’Europe et qui peut être étendue à notre pays.
Le scénario publié dans le rapport sur les menaces d’ESET pour le premier semestre 2026 aboutit à une conclusion claire : l’intelligence artificielle ne remplace pas les fonctionnalités traditionnelles, mais multiplie sa capacité d’évolution. «Les données prouvent que le panorama des amenazas est chaque fois plus diversifié et plus complexe. Nous n’avons pas besoin d’un phénomène ponctuel, mais d’une tendance consolidée», a conclu Albors. Dans ce contexte, la réponse des entreprises et des utilisateurs ne consiste pas uniquement à réagir lorsqu’un incident se produit, mais à développer une capacité de prévention continue, une adaptation et une conscience capables d’anticiper les mesures qui évoluent en pratique avec le même rythme que la propre intelligence artificielle.
