Lexique cybersécurité 2026 : 50 termes essentiels (phishing, ransomware…)

Ce lexique est le pendant cybersécurité de notre lexique IA 2026 : même format, même ambition d'accessibilité. Il ne remplace pas une formation technique, mais il permet à toute personne impliquée dans des décisions de sécurité — budgets, recrutements, choix de solutions, conformité — de comprendre ce dont parlent ses équipes et ses prestataires.

Attaques et vecteurs de menace

1. Phishing : attaque par email (ou SMS, voix) visant à tromper la victime pour lui faire divulguer des identifiants, cliquer sur un lien malveillant ou ouvrir une pièce jointe infectée. Représente plus de 80 % des vecteurs d'attaque initiaux selon les statistiques ANSSI 2025.

2. Spear phishing : version ciblée et personnalisée du phishing. L'attaquant utilise des informations spécifiques sur la victime (poste, collègues, projets en cours) pour rendre le message crédible. Taux de succès jusqu'à 10 fois supérieur au phishing générique.

3. DDoS (Distributed Denial of Service) : attaque visant à rendre un service indisponible en le submergeant de requêtes provenant de milliers de machines compromises (botnet). En 2026, les attaques DDoS atteignent des volumes de plusieurs térabits par seconde, saturant les capacités même des grandes infrastructures.

4. Man-in-the-Middle (MitM) : l'attaquant s'interpose entre deux parties qui communiquent, interceptant et potentiellement modifiant les échanges à leur insu. Particulièrement dangereux sur les réseaux Wi-Fi publics non sécurisés ou les connexions sans chiffrement de bout en bout.

5. SQL Injection : injection de code SQL malveillant dans un champ de formulaire ou une URL afin de manipuler la base de données sous-jacente — extraction de données, modification, destruction. L'une des vulnérabilités web les plus anciennes et encore massivement exploitée faute de validation des entrées.

6. XSS (Cross-Site Scripting) : injection de code JavaScript malveillant dans une page web visitée par d'autres utilisateurs. Permet de voler des cookies de session, rediriger vers des pages frauduleuses ou exécuter des actions au nom de la victime. Distinguer XSS réfléchi (non persistant) et XSS stocké (persistant dans la base de données).

7. CSRF (Cross-Site Request Forgery) : l'attaquant incite le navigateur d'un utilisateur authentifié à envoyer une requête non souhaitée à un site sur lequel il est connecté. Exemple : un email contenant une image qui déclenche une virement bancaire dans l'arrière-plan. Les tokens CSRF sont la contre-mesure standard.

Malwares et codes malveillants

8. Ransomware : logiciel malveillant qui chiffre les données de la victime et réclame une rançon (généralement en cryptomonnaie) pour fournir la clé de déchiffrement. En 2026, les ransomwares opèrent souvent en "double extorsion" : chiffrement + exfiltration des données avec menace de publication. Le coût moyen d'une attaque ransomware pour une PME française est estimé entre 50 000 et 250 000 euros.

9. APT (Advanced Persistent Threat) : attaque sophistiquée et longue durée conduite par des acteurs étatiques ou des groupes criminels très organisés. L'APT s'installe discrètement dans le réseau cible pendant des mois ou des années, exfiltrant des données sans déclencher les alertes. Les APT sont responsables des attaques les plus dommageables contre les entreprises et les gouvernements.

10. Botnet : réseau de machines compromises (ordinateurs, routeurs, objets connectés) contrôlées à distance par un attaquant via un serveur C2. Les botnets sont loués sur le dark web pour mener des attaques DDoS, envoyer du spam ou miner des cryptomonnaies.

11. Payload : charge utile malveillante — le code réellement nocif dans une attaque. Le payload peut être un ransomware, un voleur d'identifiants, un outil d'accès distant ou n'importe quel autre malware. Le vecteur (email de phishing, exploit de navigateur) transporte le payload jusqu'à la cible.

12. Reverse shell : technique d'exploitation par laquelle la machine compromise initie elle-même une connexion vers le serveur de l'attaquant, permettant à celui-ci de contrôler la machine à distance. Le reverse shell contourne les pare-feux qui bloquent les connexions entrantes mais autorisent les connexions sortantes.

Vulnérabilités et exploitation

13. Zero-day (0-day) : vulnérabilité logicielle inconnue du fabricant, sans correctif disponible. La fenêtre entre la découverte par un attaquant et la publication d'un patch est une période de risque maximal. Les zero-days sur des logiciels répandus (Windows, Chrome, iOS) se négocient entre 500 000 et plusieurs millions d'euros sur les marchés spécialisés.

14. CVE (Common Vulnerabilities and Exposures) : système d'identification standardisé des vulnérabilités logicielles. Chaque CVE reçoit un identifiant unique (ex: CVE-2024-12345) et un score CVSS de 0 à 10 indiquant sa criticité. La base CVE est maintenue par le MITRE et constitue la référence mondiale pour la gestion des vulnérabilités.

15. IoC (Indicateur de Compromission) : artifact numérique indiquant qu'un système a été compromis — adresse IP malveillante, hash de fichier infecté, nom de domaine d'un C2, signature de malware. Les IoC sont partagés entre organisations via des plateformes comme MISP ou OpenCTI pour permettre une détection collective des menaces.

16. TTP (Tactiques, Techniques et Procédures) : description du comportement d'un attaquant — comment il opère, quelles techniques il utilise, dans quel ordre. Les TTP sont plus stables que les IoC (une IP change en quelques heures, les habitudes d'un groupe d'attaquants perdurent des années). Référencés dans le framework MITRE ATT&CK.

17. MITRE ATT&CK : base de connaissances mondiale référençant les tactiques et techniques utilisées par les attaquants réels, organisées en matrices. Utilisée par les équipes sécurité pour cartographier leurs défenses face aux méthodes connues des groupes APT. Disponible gratuitement sur attack.mitre.org.

Architecture et protection réseau

18. DMZ (Demilitarized Zone) : segment réseau intermédiaire entre le réseau public (internet) et le réseau interne privé. La DMZ héberge les serveurs accessibles depuis l'extérieur (web, messagerie, DNS) tout en les isolant du réseau interne. En cas de compromission d'un serveur DMZ, l'attaquant ne peut pas accéder directement aux ressources internes.

19. VPN (Virtual Private Network) : tunnel chiffré entre l'utilisateur et le réseau d'entreprise via internet. Longtemps la solution de référence pour le télétravail, le VPN souffre en 2026 de limitations croissantes : accès trop large au réseau interne, difficultés à s'adapter aux architectures cloud hybrides, vecteur d'attaque de plus en plus ciblé. Le ZTNA tend à le remplacer.

20. ZTNA (Zero Trust Network Access) : modèle d'accès réseau basé sur le principe "ne jamais faire confiance, toujours vérifier". Contrairement au VPN, le ZTNA accorde des droits d'accès minimaux et contextuels, validés en continu selon l'identité, l'appareil, la localisation et le comportement. Standard de facto pour les organisations en télétravail en 2026.

21. SASE (Secure Access Service Edge) : convergence des fonctions réseau (SD-WAN) et des fonctions sécurité (ZTNA, CASB, FWaaS) dans une plateforme cloud unique. Le SASE simplifie l'architecture des organisations distribuées qui doivent sécuriser des utilisateurs, des sites et des applications cloud hétérogènes.

22. MFA (Multi-Factor Authentication) : authentification à plusieurs facteurs — combinaison de quelque chose que l'on sait (mot de passe), que l'on possède (smartphone, token physique) et/ou que l'on est (biométrie). Le MFA bloque 99 % des attaques d'identifiants compromis selon Microsoft. En 2026, le MFA sans SMS (phishable) au profit de clés FIDO2 est la recommandation ANSSI.

23. SSO (Single Sign-On) : système d'authentification unique qui permet à un utilisateur de se connecter une seule fois pour accéder à tous les services autorisés. Améliore l'expérience utilisateur ET la sécurité (moins de mots de passe = moins de risques de réutilisation faible). Le SSO combiné au MFA est la configuration recommandée pour les entreprises.

24. PKI (Public Key Infrastructure) : infrastructure de gestion des certificats numériques basée sur la cryptographie asymétrique. La PKI permet d'établir l'identité d'entités (personnes, serveurs, applications) et de chiffrer les communications. Les certificats SSL/TLS des sites web HTTPS sont émis par des autorités de certification (CA) qui font partie d'une PKI.

25. Certificat SSL/TLS : document numérique signé par une autorité de certification qui atteste de l'identité d'un serveur et permet le chiffrement des communications. Le cadenas dans la barre d'adresse du navigateur indique qu'un certificat TLS valide est actif. En 2026, les certificats ont une durée de vie maximale de 90 jours pour limiter les risques en cas de compromission.

26. Chiffrement de bout en bout (E2EE) : les données sont chiffrées sur l'appareil de l'expéditeur et ne peuvent être déchiffrées que sur l'appareil du destinataire. Même le fournisseur de service n'a pas accès au contenu. Signal, WhatsApp (partiellement) et ProtonMail utilisent l'E2EE. Indispensable pour les communications confidentielles.

Outils de détection et de réponse

27. SIEM (Security Information and Event Management) : plateforme qui centralise, corrèle et analyse les logs de sécurité de toute l'infrastructure (pare-feux, serveurs, applications, endpoints) pour détecter des comportements suspects. Le SIEM génère des alertes sur la base de règles de corrélation et de modèles d'apprentissage automatique. Solutions leaders : Splunk, Microsoft Sentinel, IBM QRadar.

28. EDR (Endpoint Detection and Response) : solution qui surveille en continu les activités des endpoints (postes de travail, serveurs) pour détecter et répondre aux comportements anormaux en temps réel. Contrairement à l'antivirus classique (signatures), l'EDR analyse les comportements et peut isoler automatiquement une machine compromise. Solutions leaders : CrowdStrike, SentinelOne, Microsoft Defender for Endpoint.

29. XDR (Extended Detection and Response) : évolution de l'EDR qui intègre des données de multiple sources (endpoints, réseau, email, cloud) pour une détection et une réponse corrélées à travers toute l'infrastructure. Le XDR vise à remplacer la fragmentation des outils de sécurité par une plateforme unifiée.

30. SOC (Security Operations Center) : équipe et infrastructure dédiées à la surveillance continue des systèmes d'information, à la détection des incidents de sécurité et à leur réponse. Un SOC opère 24h/24, 7j/7, avec des analystes qui traitent les alertes SIEM/EDR en temps réel. Les PME sans SOC interne font appel à des MSSP.

31. MSSP (Managed Security Service Provider) : prestataire qui fournit des services de sécurité managés — SOC externalisé, surveillance 24/7, gestion des incidents, tests d'intrusion. Les MSSP permettent aux PME d'accéder à un niveau de protection avancé sans les investissements d'un SOC interne.

32. WAF (Web Application Firewall) : pare-feu spécialisé pour les applications web, qui filtre et surveille le trafic HTTP/HTTPS pour bloquer les attaques applicatives (SQL injection, XSS, CSRF, déni de service). Indispensable pour tout site web ou API exposé sur internet.

33. IDS/IPS (Intrusion Detection/Prevention System) : l'IDS (détection) analyse le trafic réseau et génère des alertes en cas de comportement suspect. L'IPS (prévention) va plus loin en bloquant automatiquement le trafic suspect. Les solutions modernes combinent les deux avec des capacités d'apprentissage automatique pour réduire les faux positifs.

34. C2 (Command and Control) : infrastructure utilisée par les attaquants pour envoyer des instructions aux machines compromises et recevoir les données exfiltrées. Un botnet est contrôlé via un ou plusieurs serveurs C2. La détection des communications C2 est l'un des objectifs prioritaires des solutions SIEM et EDR.

Normes, réglementations et cadres

35. NIS2 : directive européenne sur la sécurité des réseaux et des systèmes d'information (version 2, 2022). Impose des obligations de cybersécurité aux entités essentielles et importantes opérant dans l'UE. Sanctions : jusqu'à 10 M€ ou 2 % du CA mondial. Pour un guide complet de mise en conformité, voir notre article dédié à NIS2 pour les PME françaises.

36. ISO 27001 : norme internationale définissant les exigences d'un système de management de la sécurité de l'information (SMSI). La certification ISO 27001 est reconnue mondialement et valorisée par les grands donneurs d'ordre. Elle est complémentaire (mais non substituable) à la conformité NIS2.

37. PCI DSS (Payment Card Industry Data Security Standard) : norme de sécurité obligatoire pour toute organisation qui traite des paiements par carte bancaire. Définit 12 exigences techniques et organisationnelles. En cas de non-conformité lors d'une fuite de données, les amendes des réseaux de paiement (Visa, Mastercard) peuvent atteindre plusieurs millions d'euros.

38. DORA (Digital Operational Resilience Act) : règlement européen entré en application en janvier 2025, spécifiquement pour le secteur financier. Impose des exigences de résilience opérationnelle numérique — tests de pénétration réguliers, gestion des risques liés aux tiers, notification rapide des incidents. Complète NIS2 pour les banques, assurances et infrastructures de marché.

39. RGPD (angle cyber) : le RGPD impose aussi des mesures de sécurité appropriées pour protéger les données personnelles et une notification à la CNIL dans les 72 heures en cas de violation de données. Les sanctions peuvent atteindre 20 M€ ou 4 % du CA mondial. La cybersécurité est donc aussi une obligation de conformité RGPD.

40. DPO (Data Protection Officer) : délégué à la protection des données, obligatoire pour les organismes publics et les entreprises traitant des données personnelles à grande échelle ou des données sensibles. Le DPO est l'interlocuteur principal avec la CNIL et pilote la conformité RGPD de l'organisation.

41. PIA (Privacy Impact Assessment) : analyse d'impact sur la protection des données, obligatoire sous RGPD pour les traitements présentant des risques élevés. Le PIA évalue les risques d'un traitement de données sur les droits et libertés des personnes concernées et propose des mesures d'atténuation.

42. EBIOS RM (Risk Manager) : méthode française d'analyse des risques en cybersécurité développée par l'ANSSI. Elle permet d'identifier et de prioriser les risques cyber d'une organisation selon leur vraisemblance et leur impact, et de définir un plan de traitement. Standard de référence pour les démarches NIS2 en France.

Métiers et organisations cyber

43. CERT (Computer Emergency Response Team) : équipe spécialisée dans la réponse aux incidents de sécurité informatique. Le CERT-FR est l'équipe nationale française, rattachée à l'ANSSI, qui publie des alertes et coordonne la réponse aux incidents majeurs. De nombreuses grandes entreprises et administrations ont leur propre CERT interne.

44. ANSSI (Agence nationale de la sécurité des systèmes d'information) : autorité nationale française de la cybersécurité, rattachée au Premier Ministre. L'ANSSI publie des référentiels, labellise des prestataires, mène des audits et coordonne la défense cyber nationale. Son rôle de supervision NIS2 en fait l'interlocuteur central pour les organisations concernées.

45. CLUSIF (Club de la Sécurité de l'Information Français) : association professionnelle qui regroupe des RSSI, des experts et des entreprises de la cybersécurité française. Le CLUSIF publie le PanoramaIa de la cybercriminalité (rapport annuel de référence), des guides pratiques et organise des événements de networking. Adhérer au CLUSIF facilite le partage de bonnes pratiques entre pairs.

46. Red team : équipe (interne ou prestataire) qui simule des attaques réelles contre l'organisation pour identifier ses vulnérabilités. La red team utilise les mêmes techniques que de vrais attaquants — sans prévenir les équipes défensives. Différent du pentesting classique (plus ciblé et encadré) : la red team conduit une campagne complète sur une période de semaines ou mois.

47. Blue team : équipe défensive chargée de protéger l'infrastructure, détecter les intrusions et répondre aux incidents. En entreprise, le SOC constitue le coeur de la blue team. L'opposition red team / blue team est fondamentale pour mesurer réellement la posture de sécurité d'une organisation.

48. Purple team : approche collaborative où red team et blue team travaillent ensemble — la red team partage ses techniques en temps réel avec la blue team qui améliore ses détections. La purple team accélère l'amélioration des capacités défensives en transformant chaque exercice d'attaque en opportunité d'apprentissage immédiat.

49. Pentesting (test de pénétration) : évaluation de la sécurité d'un système par simulation d'attaques contrôlées, avec périmètre et méthodes définis contractuellement. Obligatoire sous plusieurs réglementations (DORA, PCI DSS) et recommandé annuellement sous NIS2. Les prestataires qualifiés PASSI (Prestataires d'Audit de la Sécurité des Systèmes d'Information) sont labellisés par l'ANSSI. L'expérience de terrain d'un RSSI PME français détaille comment organiser et interpréter les résultats d'un pentest.

Renseignement sur les menaces

50. Threat intelligence (renseignement sur les menaces) : collecte, analyse et partage d'informations sur les menaces cyber — acteurs malveillants, leurs méthodes (TTP), leurs cibles et leurs infrastructures (IoC). La threat intelligence permet d'anticiper les attaques plutôt que de les subir. Elle se consomme sous forme de flux automatiques (STIX/TAXII) ou de rapports stratégiques. Les forums spécialisés et communautés de partage sont des ressources précieuses pour rester informé, notamment via des plateformes d'entraide comme les forums informatique et cybersécurité référencés sur Annu Forums.

OSINT (Open Source Intelligence) : renseignement collecté via des sources publiques (réseaux sociaux, registres Whois, moteurs de recherche, archives web, forums). En cybersécurité, l'OSINT est utilisé pour reconstituer l'empreinte numérique d'une organisation (informations exposées qui pourraient aider un attaquant) et pour surveiller les mentions sur le dark web ou dans les bases de données de fuites.

Dark web : partie du web non indexée par les moteurs de recherche standard, accessible uniquement via des navigateurs spéciaux (Tor). Bien que le dark web héberge des usages légitimes (journalisme d'investigation, communication dans des États autoritaires), il est aussi l'hôte de marchés illégaux vendant des identifiants volés, des zero-days, des ransomwares as-a-service et des données personnelles exfiltrées. La surveillance du dark web est une composante importante de la threat intelligence avancée.

Ce lexique couvre l'essentiel du vocabulaire que vous rencontrerez dans les audits, les appels d'offres, les rapports d'incident et les discussions avec vos équipes ou prestataires de sécurité. Pour aller plus loin sur les menaces concrètes que ces termes décrivent, notre analyse des cyberattaques IA 2026 détaille les techniques les plus utilisées par les attaquants qui ciblent les organisations françaises.