Le premier semestre 2026 montre que les cybercriminels continuent d'améliorer l'efficacité et la capacité de leurs opérations. Plutôt que de s'appuyer sur des méthodes ou des outils entièrement nouveaux, ils adaptent rapidement des techniques éprouvées à de nouvelles plateformes, technologies et habitudes d'usage. L'intelligence artificielle joue un rôle croissant dans cette évolution.

Au cours du premier semestre 2026, ESET a analysé près de 900 000 AI skills, ces petits modules fonctionnels utilisés par les agents IA. Plusieurs dizaines de milliers se sont révélés suspects et plusieurs milliers clairement malveillants. Le nombre d'AI skills au sein de l’écosystème lié à l’Intelligence Artificielle augmente rapidement, élargissant d'autant la surface d'attaque potentielle.

L'IA commence également à faire son apparition dans les logiciels malveillants eux-mêmes. Peu après l'émergence du premier ransomware fondé sur l'IA en 2025, les chercheurs d'ESET ont identifié PromptSpy, le premier malware Android connu à intégrer de l'IA générative dans sa chaîne d'exécution. Ce malware exploite Gemini, le modèle de Google, pour interpréter les éléments de l'interface utilisateur et s'adapter à différents appareils et environnements sans recourir à des comportements prédéfinis. Bien qu'il reste encore un cas isolé, PromptSpy illustre le potentiel d'adaptation accrue des futures menaces. Les mécanismes de sécurité intégrés aux grands modèles de langage pourraient toutefois ralentir leur adoption.

ClickFix, une technique d'ingénierie sociale reposant sur de faux messages d'erreur, s'est étendue bien au-delà des fausses vérifications CAPTCHA. Elle cible désormais des pages d'assistance liées à l'IA, des extensions de navigateur et des scénarios d'authentification dans le cloud. Les détections ESET liées à cette technique ont plus que doublé entre le second semestre 2025 et le premier semestre 2026, illustrant une activité soutenue et une évolution constante des méthodes employées.

Les campagnes de phishing continuent elles aussi de s'adapter aux comportements des utilisateurs. Le phishing par QR code, ou quishing, a atteint un niveau record dans la télémétrie ESET. Les attaquants intègrent des liens malveillants dans des QR codes afin de contourner les vérifications rapides et de transférer l'interaction vers les appareils mobiles, tout en profitant de la confiance que beaucoup accordent à ces codes visuels.

Enfin, l'activité des groupes de ransomware ne montre aucun signe de ralentissement. Les attaques continuent notamment de s'appuyer sur des EDR killers, des outils conçus pour désactiver les solutions de sécurité avant ou pendant l'intrusion. ESET Research a documenté plus de 100 EDR killers observés dans des attaques réelles, tandis que de nouvelles variantes apparaissent régulièrement. Parallèlement, les données issues de plusieurs sources montrent qu'une proportion de plus en plus faible de victimes choisit de payer la rançon, ce qui laisse entrevoir une amélioration des capacités de prévention, de détection et de réponse aux incidents.

Téléchargez gratuitement notre rapport complet sur les menaces au S1 2026 (en Français) ici.