- Une étude Unit 42 révèle que 99% des identités Cloud disposent de permissions plus larges que nécessaire.
- Le vol d’identifiants représente 35% des incidents Cloud recensés par CrowdStrike, largement facilité par ces permissions excessives.
- Les principaux fournisseurs proposent des outils gratuits pour auditer et corriger ces excès de permissions.
Un rapport publié début 2026 par Unit 42 (l’équipe de recherche en sécurité de Palo Alto Networks) met en lumière un problème structurel largement sous-estimé : 99% des identités Cloud — utilisateurs, applications, services automatisés — disposent aujourd’hui de permissions plus étendues que ce dont elles ont réellement besoin.
Un problème qui amplifie tous les autres
Ces permissions excessives ne sont pas un risque en elles-mêmes tant qu’aucun compte n’est compromis. Mais elles transforment chaque identité en porte d’entrée potentielle bien plus large que nécessaire : selon CrowdStrike, le vol d’identifiants (usurpation de comptes valides) représente déjà 35% de tous les incidents de sécurité Cloud recensés. Combiné à des permissions excessives, un seul compte compromis peut donner accès à bien plus de ressources que ce que sa fonction justifierait.
Accorder des permissions larges « pour éviter d’avoir à en redemander plus tard » — un raccourci de configuration qui, à grande échelle, explique une bonne partie de ce chiffre de 99%.
Ce que ça change concrètement
Le rapport souligne que le principe du moindre privilège (n’accorder que les permissions strictement nécessaires) reste largement théorique dans la pratique des entreprises, malgré des années de recommandations en ce sens de la part des experts en sécurité.
Les trois grands fournisseurs Cloud proposent des outils natifs et gratuits pour repérer les permissions excessives (IAM Access Analyzer chez AWS, Azure AD Access Reviews, GCP IAM Recommender) — un premier audit peut se faire en quelques heures, sans outil tiers ni budget supplémentaire.
Pour une PME utilisant le Cloud, ce chiffre est un rappel utile : la sécurité des accès ne se limite pas à activer le MFA. Elle implique aussi de vérifier régulièrement que chaque compte n’a accès qu’à ce dont il a réellement besoin.
Source : Unit 42 (Palo Alto Networks), relayé par SecurityToday
Réseaux, pare-feu et accès distants : Julien décortique les infrastructures pour que la sécurité ne rime pas avec usine à gaz, du VPN au NAS en passant par le pare-feu.