Infoblox dévoile son 2026 Threat Landscape Report, qui met en lumière la transformation de la cybercriminalité en une véritable économie de services. Les cybercriminels combinent désormais infrastructures hébergées, domaines jetables, kits de phishing, usurpation de marques, publicité malveillante, réseaux sociaux, services de paiement et mécanismes de blanchiment pour concevoir des attaques plus rapides, plus ciblées et plus difficiles à détecter.

D’après le rapport, les entreprises ne sont plus seulement exposées par leurs propres systèmes : elles peuvent être prises pour cible via leurs marques, leurs dirigeants, leurs partenaires, leurs fournisseurs, leurs sites web compromis ou encore les plateformes légitimes utilisées quotidiennement par leurs collaborateurs.

Les attaquants privilégient désormais la précision à la quantité
Plutôt que de diffuser systématiquement du contenu malveillant à tous les visiteurs, certains groupes analysent le terminal, la localisation, le comportement ou la source de trafic afin de ne rediriger que les profils jugés intéressants. Cette approche réduit les traces visibles par les chercheurs, les outils automatisés et les équipes de sécurité.

Les campagnes frauduleuses sont de plus en plus faciles à lancer et à répliquer
L’infrastructure DCloud Uni-App, à l’origine un framework légitime de développement multiplateforme, a été détournée pour industrialiser la création de faux sites d’échange de cryptomonnaies, de campagnes de phishing, de plateformes d’investissement frauduleuses, de portefeuilles de cryptomonnaies et de portails de jeux d’argent. Infoblox a identifié plus de 18 000 domaines frauduleux associés à DCloud depuis janvier 2024 ; ces domaines ont été consultés par environ 985 clients entreprises.

Les identités numériques deviennent une cible à part entière
Certaines campagnes ne se limitent plus au vol de mots de passe. De faux parcours KYC peuvent chercher à collecter des codes à usage unique reçus par SMS, des empreintes de terminaux, des contacts et des données biométriques faciales. Ces informations peuvent ensuite être réutilisées pour contourner les mécanismes de vérification, compromettre durablement des comptes ou faciliter des fraudes à grande échelle.

Les infrastructures publicitaires sont détournées pour mieux dissimuler les attaques
Les acteurs malveillants exploitent les capacités de ciblage des plateformes adtech afin de présenter un contenu inoffensif aux chercheurs et aux outils de détection, tout en servant des escroqueries ou des malwares aux utilisateurs correspondant à certains critères. Infoblox et Confiant ont notamment documenté l’utilisation abusive de Keitaro Tracker pour piloter ce type de campagnes.

Les secteurs d’activité face au phishing
Le rapport fournit également une analyse du volume total d’incidents de phishing observés par secteur d’activité. Les services financiers et l’assurance sont particulièrement exposés à ces attaques malveillantes, devant d’autres secteurs tels que le e-commerce, les transports ou encore le secteur public.

Les sites de la supply chain comme nouvelle surface d’attaque
L’analyse d’Infoblox met également en évidence le risque dans le secteur de la supply chain. Un site fournisseur compromis peut servir d’intermédiaire pour atteindre des collaborateurs, des clients ou des partenaires qui lui font confiance.

Cette méthode permet aux cybercriminels de contourner une partie des défenses traditionnelles : au lieu d’attaquer directement l’organisation ciblée, ils exploitent une relation existante et un domaine considéré comme légitime. Pour les entreprises, la sécurité de la supply chain ne doit donc pas se limiter aux logiciels et aux fournisseurs critiques ; elle doit aussi inclure les domaines, les sites web et les infrastructures DNS associés à leurs partenaires.

Une visibilité DNS pour suivre la chaîne d’attaque
Selon Infoblox, l’analyse DNS permet d’identifier les infrastructures cachées qui soutiennent les campagnes malveillantes : domaines associés, serveurs de noms, redirections, infrastructures de commande et de contrôle et liens entre différents sites compromis.

Le 2026 Threat Landscape Report est disponible au lien suivant.