Adam ListekL’équipe rouge de Microsoft décrit une faiblesse qu’elle continue d’exploiter : « trop d’accès permanent, un contrôle trop lâche ». La majeure partie de ce que l’équipe exploite dans l’identité, ajoute-t-elle, « n’a rien à voir avec l’IA ».
Le Microsoft Digital Defense Report 2026 couvre la période de juillet 2025 à juin 2026. Dans l’ensemble de ses constats, les attaquants utilisent des comptes valides et des outils d’administration courants pour atteindre plus de systèmes. Une identité compromise peut ouvrir une session à distance, exposer un autre identifiant et offrir une voie vers des privilèges plus élevés.
Ce sont des problèmes concrets pour les équipes qui gèrent l’accès privilégié. Un mot de passe peut rester utilisable après la fermeture d’une fenêtre de maintenance. Un compte peut conserver des droits administratifs entre deux tâches. Une connexion à distance peut laisser trop peu de traces pour expliquer ce qui s’est passé.
Les cinq constats ci-dessous relient ces problèmes à des contrôles précis. Chaque section explique le constat et la place de Devolutions aujourd’hui. La dernière section porte sur les travaux prévus pour 2027.1.
1. 52,2 % des intrusions par compte valide ont mené à d’autres vols d’identifiants
Dans les observations de Microsoft Defender Experts, 52,2 % des intrusions qui ont commencé par un compte valide comportaient un vol d’identifiants subséquent. Une fois à l’intérieur, les attaquants ont collecté d’autres identifiants et s’en sont servis pour élargir leur accès. Un compte capable de récupérer le mot de passe d’un autre administrateur donne à un intrus un autre moyen de se déplacer dans l’environnement.
Les politiques de réservation de Devolutions PAM peuvent exiger une approbation, un motif ou un ticket, et une fenêtre d’accès définie. Dans Devolutions Cloud, la restitution réinitialise le mot de passe du compte privilégié, de sorte que le mot de passe précédent ne fonctionne plus. L’approbation limite qui reçoit l’accès ; la rotation limite la durée pendant laquelle un mot de passe copié reste utile.
2. Le hameçonnage par URL de type AiTM représentait environ 45 % des techniques de hameçonnage identifiées
Le hameçonnage par URL de type adversary-in-the-middle (AiTM) représentait environ 45 % des techniques de hameçonnage identifiées dans le graphique de Microsoft. Microsoft signale aussi que les attaques par mot de passe ont baissé de 26 % d’une année à l’autre, tandis que le hameçonnage AiTM et le vol de jetons ont gagné des parts au premier semestre de 2026. Le vol de session compte, parce qu’un attaquant peut obtenir l’accès après que l’utilisateur légitime a terminé les vérifications de connexion.
Dans Devolutions Cloud et Devolutions Server, Devolutions PAM peut exiger une authentification multifacteur (AMF) au moment de la réservation d’un compte privilégié. Il s’agit d’une vérification distincte de l’AMF à la connexion. Le défi de connexion d’un fournisseur d’identité externe ne satisfait pas automatiquement l’exigence de réservation. Les administrateurs doivent configurer l’AMF de réservation comme un contrôle à part.
3. Environ 82 % des offres d’accès annoncées concernaient des identifiants ou des portails d’accès à distance
Intel 471 a suivi 2 591 offres d’accès annoncées. Les identifiants de connexion compromis représentaient 45 %, et les portails d’accès à distance d’entreprise compromis, y compris les appareils VPN, 37 % de plus. Ensemble, ces parts arrondies totalisent environ 82 % des offres. Un compte fonctionnel ou une connexion à distance a assez de valeur pour être vendu avant que l’attaquant suivant ne commence son travail.
Pour les sessions Remote Desktop Protocol (RDP), Devolutions Gateway peut relayer la connexion et injecter les identifiants par un proxy, en gardant le mot de passe hors de la machine de l’utilisateur. Les utilisateurs externes peuvent recevoir la permission Execute sans la permission View password. Un prestataire peut alors utiliser la session configurée sans recevoir le mot de passe du compte cible.
4. Un agent RMM non autorisé est un signal fiable d’intrusion à mi-parcours
Dans ses enquêtes sur les points de terminaison, Microsoft a constaté qu’un agent de supervision et de gestion à distance (RMM) non autorisé était l’un des signes les plus fiables, à mi-parcours, d’une intrusion menée par un humain. Ces outils donnent aux attaquants des fonctions de commande à distance et de transfert de fichiers qui existent aussi dans le travail d’administration légitime. Les enquêteurs ont besoin d’un moyen d’établir qui a autorisé l’accès et ce qui s’est passé pendant la session.
Avec Devolutions Cloud, Devolutions PAM et Gateway peuvent enregistrer les sessions RDP, ARD, VNC et SSH prises en charge. Les politiques de réservation peuvent aussi mettre fin aux sessions à la restitution. À côté de l’historique des réservations, un enregistrement donne aux réviseurs une preuve du travail effectué. Ces contrôles soutiennent la supervision de l’accès approuvé ; détecter un agent RMM non autorisé exige encore une surveillance des points de terminaison et de la sécurité.
5. Les détections de rançongiciels dans le secteur des TI sont passées de 248 à 649
Le tableau des rançongiciels en entreprise de Microsoft indique 248 détections pour le secteur des technologies de l’information en 2025 et 649 en 2026, soit environ 2,6 fois plus. Ces chiffres décrivent le secteur des TI, et non les attaques contre les systèmes informatiques de tous les secteurs. La hausse n’établit pas quels contrôles d’accès ont échoué, mais elle renforce le besoin de limiter les droits disponibles pour un compte compromis.
L’élévation juste-à-temps (JAT) dans Devolutions PAM ajoute l’appartenance au groupe à la réservation et la retire à la restitution. Les comptes standards conservent leurs permissions de base, tandis que les comptes sans privilège permanent reçoivent les privilèges requis seulement pour la fenêtre de réservation. Les administrateurs peuvent accomplir un travail élevé sans laisser ces droits attribués entre les tâches.
La suite : l’accès privilégié en 2027.1
Les travaux prévus pour 2027.1 s’appuient sur la réservation et les contrôles de session avec des décisions d’accès plus détaillées. Un moteur de règles fondé sur des flux de travail définira les étapes de connexion et de réservation à partir du demandeur, du fournisseur, du groupe d’élévation, de la durée d’accès, du motif et du ticket. La branche qui tranche la demande sera journalisée.
WebAuthn et Duo sont prévus comme méthodes d’AMF à la réservation, le modèle exact de facteur de réservation étant encore en cours de définition. Les flux de connexion sont prévus pour exiger l’AMF et restreindre les méthodes autorisées, y compris les clés d’accès. Devolutions Remote Desktop Manager (RDM) est aussi prévu pour utiliser les clés d’accès stockées dans l’espace de travail lorsqu’un site s’ouvre dans son navigateur intégré.
L’orientation de la version traite aussi de ce qui se passe sur une machine une fois l’accès accordé. Luc Fauvel, chef de produit chez Devolutions, décrit l’élargissement prévu vers la gestion des machines :
« Alors que nous renforçons en 2027.1 notre gestion déjà solide des identifiants privilégiés et nos connexions à distance sécurisées, nous aidons aussi les administrateurs à contrôler ce qui se passe sur les machines elles-mêmes une fois ces connexions établies. La prochaine itération de PEDM introduit la gestion centralisée des machines et, avec elle, le contrôle de l’installation d’applications grâce à UniGetUI. Depuis un seul endroit, les administrateurs peuvent gérer leurs machines et définir quelles applications les utilisateurs sont autorisés à installer sur chacune d’elles. »
Luc Fauvel, chef de produit chez Devolutions
PEDM signifie gestion de l’élévation et de la délégation des privilèges (Privilege Elevation and Delegation Management). Les contrôles prévus de gestion des machines étendent la supervision à l’installation d’applications sur les machines gérées. Les éléments 2027.1 décrits ici demeurent des capacités prévues.
L’essentiel
Le test utile est le flux complet d’accès privilégié. L’approbation doit établir le besoin d’accès. Les contrôles de session doivent limiter l’exposition des identifiants et conserver une preuve du travail. La restitution doit retirer l’identifiant ou les privilèges élevés selon la politique.
Les constats de Microsoft donnent aux équipes TI des raisons précises d’examiner chaque étape. La prochaine évaluation peut commencer par un compte de test et le suivre de la demande d’accès jusqu’à la restitution.
Téléchargez Devolutions RDM pour évaluer la réservation, l’élévation juste-à-temps et les sessions relayées avec un compte privilégié de test.