L’exploitation des failles cloud en quelques heures réduit le délai disponible pour intervenir. Une étude de l’éditeur de cybersécurité Fortinet souligne trois points de vigilance pour les équipes IT : les identités compromises, les services exposés et le détournement de ressources.
Les intrusions cloud combinent reconnaissance automatisée, tentatives d’accès et exploitation des services exposés. Le Panorama 2026 des menaces cloud-native de Fortinet repose exclusivement sur les observations de FortiCNAPP, sa plateforme de sécurité cloud. Son périmètre ne représente donc pas l’ensemble des attaques mondiales.
Cette veille comptabilise 150 millions d’événements de reconnaissance, soit des opérations de repérage des ressources accessibles. Elle relève aussi 2,3 milliards de tentatives d’accès par force brute, consistant à tester de nombreuses combinaisons d’identifiants. S’y ajoutent 1,7 milliard de tentatives d’exploitation de vulnérabilités. Ces volumes mesurent des tentatives et des événements, pas autant de compromissions réussies.
Intrusions cloud : les identifiants compromis facilitent l’accès aux ressources
Selon l’étude, les attaquants privilégient les identifiants volés, exposés ou détournés pour pénétrer dans les environnements. Ils empruntent ainsi des accès autorisés, ce qui peut compliquer la distinction entre intrusion et activité habituelle.
Le contrôle ne peut donc pas s’arrêter à l’authentification. Les équipes doivent examiner les permissions effectives : les actions qu’un compte peut réellement effectuer sur les ressources. Des privilèges excessifs peuvent permettre à un accès compromis d’atteindre des données sensibles ou des fonctions d’administration.
Fortinet recommande de rapprocher ces droits des services exposés et des comportements observés après connexion. L’objectif consiste à identifier les chemins permettant de progresser d’un premier accès vers une ressource critique.
L’éditeur décrit également un délai d’exploitation des failles passé de plusieurs semaines à quelques heures. Le texte disponible ne précise toutefois ni les vulnérabilités concernées ni la période de comparaison. Cette affirmation ne permet donc pas d’établir un délai applicable à chaque environnement.
Intrusions cloud : Amazon SES et Bedrock parmi les services détournés
Le vol de données ne constitue pas l’unique objectif. L’étude relève des opérations malveillantes utilisant Amazon SES, le service d’envoi d’emails d’AWS. Elle identifie aussi des tentatives de minage de cryptomonnaies, qui consomment des ressources de calcul pour produire des actifs numériques.
Amazon Bedrock, service d’accès à des modèles d’IA générative, figure également parmi les services visés par des usages détournés. Pour les équipes IT, la surveillance des consommations rejoint ainsi la détection des compromissions.
Une hausse inhabituelle des emails envoyés, du calcul consommé ou des appels aux services IA peut justifier une investigation. Elle constitue un signal à rapprocher des connexions et des changements de permissions, sans suffire à prouver une intrusion.
Fortinet préconise enfin des tests offensifs simulant un attaquant et des tests dynamiques examinant les applications en fonctionnement. Ces vérifications visent à repérer les chemins exploitables dans les environnements de production.
