Environ 500 000 fichiers malveillants ont été détectés par jour en 2025 d’après Kaspersky, tout environnement confondu sur la période de novembre 2024 à octobre 2025. Cela représente une augmentation de 7% par rapport à l’année précédente. Ils constituent toujours une menace massive qui ne connait pas de frontières, avec la capacité de pénétrer dans un système d’information par de multiples points d’entrée.
Pourtant, la plupart des organisations concentrent leurs dispositifs de sécurité sur la messagerie et le poste de travail. Entre les deux, des pans entiers du système d’information restent sans couverture.
Les experts GLIMPS font un état de lieux des angles morts de ces dispositifs et explorent les pistes pour y répondre.
Les fichiers malveillants entrent par les canaux habituels
Contrairement à ce que l’on peut penser, les cybercriminels n’ont pas besoin d’exploiter une faille technique ou de voler des identifiants pour faire entrer un fichier malveillant dans une organisation. Ils détournent les canaux de confiance existants, et cela sans jamais forcer les défenses mises en place.
Un partenaire qui dépose un document dans un espace SharePoint ou OneDrive partagé, une pièce jointe dans un email, un prestataire qui téléverse un fichier dans une application métier, un livrable qui arrive dans un dossier réseau commun, un artefact qui entre dans un pipeline de développement… Ces actions sont quotidiennes, les fichiers entrants sont supposés être fiables, pourtant un malware peut s’y cacher sans qu’aucune alerte ne se déclenche.
Parmi tous ces canaux, la plupart des organisations n’en protègent réellement que deux, avec une solution de sécurité email, et un EDR.
Un EDR observe l’activité du poste sur lequel il est installé. Il se déclenche principalement lorsqu’un fichier s’exécute et adopte un comportement suspect : injection en mémoire, processus anormal, tentative de persistance ou de connexion sortante. Un document qui dort dans un espace de stockage, qui est transféré dans une application métier ou encore un script qui transite dans un pipeline ne s’exécute pas et échappe à la détection de l’EDR. Alors comment sécuriser ces espaces non surveillés ?
Le stockage, surface d’attaque sous estimée
Dans les espaces de stockage, les fichiers déposés circulent d’un utilisateur à l’autre : un collaborateur l’ouvre, le copie dans un autre dossier, le transfère à un collègue. La transmission est d’autant plus rapide lorsqu’une synchronisation automatique est activée, comme sur des solutions telles que Microsoft SharePoint, OneDrive ou NextCloud. Tant qu’il transite par la couche de stockage, aucun outil ne l’inspecte. Le serveur de fichiers, le NAS ou l’espace de stockage cloud se transforme alors en relais de propagation.
Ces environnements sortent en effet du champ des dispositifs classiques. Un espace de stockage n’héberge pas d’agent EDR et reste hors de portée d’une inspection réseau périmétrique. Les fichiers y résident, s’y accumulent et s’y partagent sans contrôle dédié, parfois longtemps après leur dépôt.
Moins surveillés, ils sont par ailleurs de plus en plus visés pour ce qu’ils contiennent. Dans son Panorama de la cybermenace 2025, publié le 11 mars 2026, l’ANSSI recense 196 incidents liés à des exfiltrations de données en 2025, contre 130 en 2024, soit plus de 50 % d’augmentation.
Les applications métier et web, une porte d’entrée pour les fichiers malveillants
Les applications métier et les applications web reçoivent continuellement des fichiers. Les exemples ne manquent pas : un candidat dépose son CV sur un portail de recrutement, un fournisseur téléverse une facture sur un extranet, un assuré joint un document à une déclaration de sinistre, un collaborateur ajoute une pièce dans un CRM ou un outil collaboratif… Ces documents sont acceptés, traités et stockés par l’application, souvent transmis ensuite à d’autres services internes, mais presque jamais analysés.
L’OWASP (la fondation Open Worldwide Application Security Project) classe le téléversement de fichiers parmi les risques répandus et à fort impact des applications web, car un fichier accepté peut être stocké, relayé vers des systèmes internes, puis exécuté ou ouvert. Ce fichier n’est pourtant jamais passé par la passerelle de messagerie, le serveur qui le reçoit n’héberge pas d’agent EDR, et l’antivirus éventuellement présent, fondé sur des signatures, laisse passer un code inédit dissimulé dans un document d’apparence ordinaire.
La supply chain logicielle, nouvel angle d’attaque par le fichier
Le développement logiciel repose sur un principe de confiance : les dépendances open source, les artefacts, les images de conteneurs et les livrables circulent en continu et sont intégrés en production, souvent sans analyse dédiée. Ce sont autant de fichiers qui entrent dans le système d’information par un canal jugé fiable par défaut.
Kaspersky note que les attaques visant la chaîne d’approvisionnement logicielle, y compris les logiciels open source, ont fortement progressé en 2025, notamment avec l’apparition du premier ver NPM d’ampleur, baptisé Shai-Hulud.
Un cas récent en illustre le mécanisme. Le 24 mars 2026, deux versions piégées de la bibliothèque Python LiteLLM, utilisée pour router les requêtes vers de nombreux fournisseurs de modèles de langage, ont été publiées sur le registre PyPI par le groupe TeamPCP, qui avait au préalable dérobé les identifiants de publication du mainteneur. Téléchargée environ 3,4 millions de fois par jour, la bibliothèque a diffusé pendant quelques heures, avant la mise en quarantaine du package, un fichier malveillant qui collectait identifiants cloud, clés SSH et secrets Kubernetes des environnements où il s’installait. Dans les organisations touchées, le fichier est entré par la voie normale d’installation des dépendances, dans des pipelines qui récupéraient automatiquement la dernière version publiée. Ce canal échappait justement aux contrôles de l’EDR.
Ce que change une détection adaptée à chaque environnement
Sécuriser son système d’information ne doit pas revenir à cumuler de nombreuses solutions et technologies. La question qui doit guider les organisations est avant tout : est ce que la détection des menaces est assurée partout où se trouvent les risques ?
Les dispositifs périmétriques comme les pare-feu ou les proxys n’inspectent que ce qui traverse leur point de contrôle. Un fichier déjà déposé dans un espace de stockage, ou téléversé dans une application interne sans pare-feu applicatif ne franchit jamais cette ligne et leur reste invisible. Analyser au plus près de la donnée, à l’endroit où elle est reçue et conservée, devient donc la première condition.
Encore faut-il que cette analyse s’adapte à la diversité des environnements. Un serveur de fichiers, un NAS, un pipeline de développement ou un bastion d’accès privilégiés n’imposent ni les mêmes modes d’intégration, ni les mêmes réponses lorsqu’un fichier se révèle malveillant. Là où l’un demande une mise en quarantaine immédiate, un autre réclame une dépollution du fichier ou un rapport d’innocuité avant sa remise en circulation. Une brique unique et générique ne peut pas couvrir tous ces cas, et la remédiation gagne à rester automatique plutôt qu’à dépendre chaque fois d’une intervention manuelle.
GLIMPS conçoit ses solutions d’analyse de fichiers et de détection de malwares dans cette logique, en les déclinant selon l’environnement à protéger, du stockage aux applications métier et des flux réseau aux pipelines de développement.
Questions fréquentes
Pas exactement. Un EDR s’installe sur les postes et serveurs qu’il équipe, et se déclenche lorsqu’un fichier s’exécute. Un document qui réside dans un NAS, un partage réseau ou un espace cloud ne s’exécute pas à cet endroit, il reste donc hors de son champ. Ces environnements réclament une analyse dédiée, au plus près des fichiers conservés.
Par tous les canaux d’échange légitimes d’une organisation : un dépôt dans un espace SharePoint, OneDrive ou un partage réseau, un téléversement dans une application métier ou un portail web, un artefact ou une dépendance récupérés par un pipeline de développement, ou encore un support amovible comme une clé USB. Chacun de ces flux accepte des documents présumés fiables, sans analyse systématique.
Non. Un antivirus fondé sur des signatures reconnaît les menaces déjà répertoriées, mais laisse passer un code inédit dissimulé dans un document d’apparence ordinaire. L’OWASP classe d’ailleurs le téléversement de fichiers non maîtrisé parmi les risques répandus et à fort impact des applications web. Un fichier accepté par un formulaire de dépôt mérite une analyse de son contenu avant d’être stocké ou traité.
En analysant les éléments qui entrent dans les pipelines de développement, dépendances, artefacts et images de conteneurs, avant leur passage en production. Ces composants sont souvent récupérés et intégrés automatiquement, sans contrôle intercalé. L’attaque LiteLLM de mars 2026, diffusée via le registre PyPI, a montré qu’un composant piégé peut se propager à toutes les applications qui l’intègrent.
Elle place l’analyse là où les fichiers se trouvent, et pas uniquement en périphérie du réseau. Elle s’intègre aux contraintes propres à chaque contexte, serveur de fichiers, application métier, pipeline ou accès privilégiés, et automatise la réponse selon le cas : mise en quarantaine, dépollution ou rapport d’innocuité. Les solutions GLIMPS d’analyse de fichiers et de détection de malwares reposent sur cette approche.