Le rapport de l'équipe rouge : ce que nous avons trouvé en testant 30 réseaux d'entreprise en 2025

Les 10 principaux résultats (classés par prévalence)

• #1 : Faibles configurations Active Directory (80 % des engagements)
• #2 : Privilèges excessifs du compte de service (73 %)
• #3 : Applications externes non corrigées (67 %)
• #4 : Segmentation réseau manquante entre IT et OT (60 %)
• #5 : Identifiants par défaut sur les systèmes internes (57 %)
• #6 : Journalisation inadéquate – les attaques n'ont pas été détectées pendant le test (53 %)
• #7 : Taux de réussite du phishing supérieur à 30 % aux tests d'ingénierie sociale (50 %)
• #8 : Faiblesses de l’authentification API (47 %)
• #9 : Mauvaises configurations du cloud (buckets S3, politiques IAM) (43 %)
• #10 : Manque de manuels de réponse aux incidents (40 %)

Le modèle derrière le modèle

• La plupart d’entre eux ne sont pas des « zero-day » exotiques : ce sont des échecs en matière d’hygiène.
• L’écart entre « nous avons une politique » et « nous appliquons la politique »
• Pourquoi les tests d'écriture annuels ne suffisent pas - modèle d'évaluation continue

Ce que nous recommandons (la pile de sécurité Quick-Win)

• Top 5 des contrôles qui auraient empêché 80% des constatations
• Coût : moins que vous ne le pensez. Complexité : moins que vous ne le craignez.

Comment fonctionne l'équipe rouge de Trufe

CTA de clôture :

→ Lien vers : /solutions/cyber-security/penetration-testing/red-team-assessments/

→ Lien vers : /solutions/cyber-sécurité/tests-de-pénétration/tests-de-pénétration-réseau/

• Nous simulons de vrais adversaires, pas la sortie d'un scanner
• Méthodologie : PTES, MITRE ATT&CK, TTP personnalisés par client