Un rançongiciel toutes les 19 secondes : état de la crise mondiale des ransomwares

Introduction

Au troisième trimestre 2025, une attaque par rançongiciel (ransomware) se produisait quelque part dans le monde environ toutes les 19 secondes. Pas toutes les 19 minutes. Toutes les 19 secondes. Sur l’ensemble de l’année 2025, les chercheurs en sécurité ont confirmé 4 701 incidents de ransomware entre janvier et septembre seulement — un chiffre qui exclut la grande majorité des attaques que les victimes ne divulguent jamais publiquement. Le total réel est estimé à plusieurs fois ce chiffre.

Les dégâts économiques sont vertigineux. Cybersecurity Ventures a projeté le coût total de la cybercriminalité à 10 500 milliards de dollars à l’échelle mondiale pour 2025. Les rançongiciels en constituent la composante à la croissance la plus rapide — avec des paiements de rançon moyens atteignant 1,5 million de dollars par incident, des coûts de récupération dépassant souvent la rançon elle-même, et des conséquences réputationnelles et opérationnelles qui persistent pendant des années.

Ce qui n’était autrefois qu’un crime commis par de petits groupes de criminels opportunistes s’est transformé en une industrie mature, professionnalisée et géopolitiquement imbriquée — dotée de rôles spécialisés, d’équipes de service client, de réseaux d’affiliés et d’experts en négociation.

L’évolution des rançongiciels : du chiffrement à l’extorsion

Le rançongiciel a commencé comme une proposition relativement simple : chiffrer les fichiers d’une victime, exiger un paiement pour la clé de déchiffrement. Les premiers ransomwares des années 2010 ciblaient les particuliers et les petites entreprises, exigeant des centaines ou des milliers de dollars.

La première évolution fondamentale a été le changement de cible vers les entreprises, les hôpitaux et les administrations publiques — des victimes ayant à la fois la capacité de payer des rançons plus élevées et la pression opérationnelle de payer rapidement. Les attaques WannaCry et NotPetya de 2017 ont démontré que l’infrastructure des entreprises pouvait être paralysée par un rançongiciel à l’échelle mondiale.

La deuxième évolution fondamentale a été le Ransomware-as-a-Service (RaaS) — le développement de modèles de franchise criminelle où les développeurs de rançongiciels (fournissant le malware et l’infrastructure) s’associent à des affiliés (qui mènent les intrusions) sur la base d’un partage des revenus. Ce modèle a considérablement abaissé la barrière d’entrée dans la criminalité par rançongiciel : un affilié n’a pas besoin d’écrire du code, seulement d’acquérir un accès et de déployer la charge utile (payload). Les développeurs perçoivent 20 à 30 % de chaque rançon payée via leur plateforme.

La troisième évolution fondamentale — et le modèle dominant actuel — est le passage du rançongiciel à chiffrement seul vers la double et la triple extorsion :

• Double extorsion : Les attaquants volent les données avant de les chiffrer. Ils exigent un paiement à la fois pour fournir la clé de déchiffrement et pour ne pas publier les données volées. Cette méthode fonctionne même lorsque les victimes disposent de sauvegardes — car la menace de publication des données crée une pression au paiement quoi qu’il arrive.
• Triple extorsion : Un troisième levier de pression — des attaques DDoS contre l’infrastructure publique de la victime, ou la prise de contact avec les clients et partenaires de la victime en menaçant de révéler leurs données — est ajouté pour maximiser la pression au paiement.

Le résultat est que plus de 70 % des attaques par rançongiciel fin 2025 impliquaient le vol de données comme principal mécanisme de levier, le chiffrement devenant de plus en plus secondaire par rapport à l’extorsion de données.

Les incidents majeurs de 2025

Change Healthcare (ALPHV/BlackCat) : L’attaque par rançongiciel la plus lourde de conséquences de l’histoire des États-Unis. Change Healthcare traite environ 15 milliards de transactions de santé par an — réclamations pharmaceutiques, vérifications d’éligibilité à l’assurance, flux de travail cliniques pour les hôpitaux et cliniques à travers les États-Unis. L’attaque par le rançongiciel ALPHV/BlackCat début 2024 a provoqué des pannes prolongées qui ont perturbé les opérations pharmaceutiques, retardé les soins aux patients et causé des pertes directes estimées à 872 millions de dollars pour UnitedHealth Group (propriétaire de Change Healthcare) au seul premier trimestre 2024. L’impact économique total, y compris les effets sur les prestataires de soins de santé à l’échelle nationale, se chiffrait en milliards.

SK Telecom (Corée du Sud) : En 2025, le plus grand opérateur de télécommunications de Corée du Sud a subi une violation qui a exposé environ 26,96 millions d’enregistrements IMSI (identité d’abonné) et de données USIM associées — soit environ 9,82 gigaoctets de données affectant approximativement la moitié de la population sud-coréenne. Cette violation a mis en lumière l’ampleur dévastatrice de l’exposition des données télécom.

Service national de santé britannique (NHS) : NHS England a subi une attaque par rançongiciel attribuée au groupe Qilin en 2024, qui a perturbé les services de transfusion sanguine et entraîné le report de milliers d’opérations dans les hôpitaux londoniens. L’attaque a exposé des données de patients et provoqué des perturbations opérationnelles qui ont persisté pendant des semaines.

Asahi (Japon) : Une attaque par rançongiciel qui a exposé les informations personnelles d’environ 1,914 million de personnes, dont 1,525 million de clients, avec des perturbations opérationnelles prévues pour durer jusqu’en 2026.

L’écosystème RaaS : le crime organisé à grande échelle

Pour comprendre pourquoi le rançongiciel est si difficile à endiguer, il faut comprendre sa structure organisationnelle — bien plus sophistiquée que l’image populaire du hacker solitaire ne le suggère.

Développeurs principaux : Un petit nombre de groupes techniquement sophistiqués développent et maintiennent les plateformes de rançongiciel — entretenant les moteurs de chiffrement, les portails de négociation, les sites de fuite de données et l’infrastructure de gestion des affiliés. Les groupes majeurs en 2025 comprenaient LockBit, ALPHV/BlackCat (perturbé mais avec des successeurs en activité), Clop, RansomHub et Akira.

Affiliés : Des opérateurs criminels indépendants qui mènent les intrusions, déploient le rançongiciel et négocient avec les victimes — percevant 70 à 80 % des produits de la rançon. Les affiliés opèrent souvent sur plusieurs groupes simultanément et changent de plateforme en fonction des outils disponibles et des actions des forces de l’ordre contre des groupes spécifiques.

Courtiers en accès initial (Initial Access Brokers — IABs) : Des spécialistes qui obtiennent un accès initial aux réseaux d’entreprise (par hameçonnage, exploitation de vulnérabilités ou achat d’identifiants) et revendent cet accès aux affiliés de rançongiciels. Les IABs ont créé un marché qui sépare le travail d’obtention d’accès de celui de sa monétisation.

Spécialistes en négociation : Des négociateurs professionnels qui gèrent les communications avec les victimes, évaluent la capacité de paiement et optimisent les montants de rançon. Certains opèrent en tant que consultants légitimes (bien qu’éthiquement contestables) en négociation de rançongiciel du côté des victimes ; d’autres travaillent directement pour les groupes de ransomware.

Infrastructure de blanchiment d’argent : La conversion des paiements de rançon en cryptomonnaie en monnaie fiduciaire utilisable nécessite une infrastructure significative de blanchiment d’argent — services de mixage (mixing services), plateformes d’échange de cryptomonnaies avec un KYC insuffisant, et des opérations de criminalité financière de plus en plus sophistiquées.

Réponse des forces de l’ordre : un jeu du chat et de la souris

Les forces de l’ordre internationales ont réalisé des avancées significatives contre les groupes de rançongiciels — et ces groupes ont démontré une résilience remarquable.

Démantèlement de LockBit (2024) : En février 2024, l’opération Cronos — une opération conjointe des forces de l’ordre impliquant des agences de 10 pays — a saisi l’infrastructure de LockBit, arrêté des membres et publié des outils de déchiffrement. En l’espace de deux semaines, LockBit avait relancé ses opérations avec une nouvelle infrastructure. Un an plus tard, LockBit restait opérationnel, bien qu’avec une capacité réduite.

Perturbation d’ALPHV/BlackCat : Le FBI a perturbé les opérations d’ALPHV/BlackCat et diffusé des clés de déchiffrement pour des centaines de victimes. ALPHV a ensuite exécuté une « arnaque à la sortie » (exit scam) — feignant d’avoir été démantelé alors que ses dirigeants se seraient vraisemblablement enfuis avec les fonds des affiliés — avant que le code du rançongiciel ne réapparaisse sous une forme modifiée sous de nouveaux noms de groupes.

Clop et MOVEit : L’exploitation par le groupe Clop d’une vulnérabilité dans le logiciel de transfert de fichiers MOVEit a affecté des centaines d’organisations dans le monde entier. Bien que les forces de l’ordre aient arrêté des affiliés de Clop en Ukraine, le noyau du groupe — soupçonné d’opérer depuis la Russie — est resté en liberté et opérationnel.

Le schéma est constant : les opérations des forces de l’ordre perturbent des groupes individuels, mais l’écosystème sous-jacent (infrastructure RaaS, réseaux d’affiliés, systèmes de blanchiment d’argent) se régénère rapidement. Tant que le rançongiciel restera extraordinairement rentable et que les acteurs principaux opéreront depuis des juridictions offrant une coopération limitée aux forces de l’ordre, une suppression complète restera improbable.

Rançongiciel dopé à l’IA : la vague à venir

L’intersection de l’IA et du rançongiciel crée de nouvelles capacités d’attaque que les équipes de sécurité commencent à peine à comprendre.

Hameçonnage généré par l’IA : Le rapport 2025 de CrowdStrike sur les rançongiciels a révélé que 87 % des professionnels de la sécurité estimaient que l’IA rend les leurres de hameçonnage (phishing) plus convaincants. L’IA peut générer des courriels de hameçonnage ciblé (spear phishing) hautement personnalisés — adaptés à des cibles individuelles à partir d’informations récupérées sur LinkedIn, les sites d’entreprise et les réseaux sociaux — à une échelle et une vitesse que les attaquants humains ne peuvent égaler. L’ère du « prince nigérian » au hameçonnage grossièrement factice est révolue ; le hameçonnage généré par l’IA peut être indiscernable des communications légitimes.

Découverte de vulnérabilités accélérée par l’IA : Les outils d’IA peuvent analyser le code et les configurations réseau pour identifier des vulnérabilités exploitables plus rapidement que les chercheurs humains. Les mêmes capacités d’IA disponibles pour les chercheurs en sécurité défensive sont accessibles aux groupes criminels.

Ingénierie sociale par deepfake : Les deepfakes vocaux ont été utilisés pour usurper l’identité de dirigeants lors d’attaques de vishing (hameçonnage vocal), notamment un cas documenté en 2024 où un employé financier a viré 25 millions de dollars sur la base d’un appel vidéo montrant ce qui semblait être le directeur financier de l’entreprise — un deepfake. Les groupes de rançongiciels commencent à intégrer ces techniques dans leurs opérations d’accès initial.

Négociation de rançon optimisée par l’IA : Les systèmes d’IA peuvent analyser les caractéristiques des victimes — données financières, couverture assurantielle, criticité opérationnelle des systèmes chiffrés — pour optimiser les demandes de rançon initiales et les stratégies de négociation.

Le rapport d’Experian sur les menaces de cybersécurité pour 2026 identifie l’IA comme le facteur émergent majeur qui remodèle le paysage des cybermenaces — augmentant le volume d’attaques, leur sophistication et la vitesse à laquelle de nouvelles techniques peuvent être déployées à grande échelle.

La santé : le secteur le plus ciblé, le plus vulnérable

Le secteur de la santé s’est imposé comme le plus durement touché par les rançongiciels — pour des raisons qui vont au-delà du constat évident que les données de santé ont une grande valeur.

Criticité opérationnelle : Les hôpitaux ne peuvent pas se permettre de temps d’arrêt. Contrairement à une entreprise de commerce de détail qui pourrait accepter des jours de perturbation informatique, un hôpital dont les systèmes de surveillance des patients, d’administration des médicaments ou de planification chirurgicale sont chiffrés fait face à un risque immédiat pour la vie humaine. Cette pression opérationnelle crée de fortes incitations à payer les rançons rapidement et sans négociation.

Cybersécurité sous-financée : Les organisations de santé ont historiquement sous-investi dans la cybersécurité par rapport aux autres secteurs. Les marges bénéficiaires sont faibles, les exigences réglementaires ont historiquement été moins prescriptives en matière de contrôles de sécurité que dans les services financiers, et les environnements technologiques sont complexes (mêlant des systèmes cliniques de dizaines de fournisseurs, dont beaucoup fonctionnent avec des logiciels obsolètes).

Équipements médicaux hérités (legacy) : Les dispositifs médicaux — pompes à perfusion, équipements d’imagerie, moniteurs de patients — fonctionnent souvent avec des systèmes d’exploitation obsolètes qui ne peuvent pas être mis à jour sans validation du fabricant, créant des vulnérabilités non corrigées de manière persistante à travers les réseaux de santé.

Cible riche en données : Les dossiers de santé électroniques contiennent des numéros de sécurité sociale, des informations d’assurance, des données financières et des informations personnelles extrêmement sensibles — ce qui fait des données de santé parmi les plus précieuses sur les marchés criminels.

Les conséquences des rançongiciels dans le secteur de la santé s’étendent au-delà de l’organisation attaquée. Des études publiées en 2023 et 2024 ont constaté des augmentations statistiquement significatives des taux de mortalité hospitalière dans les hôpitaux adjacents à une victime de rançongiciel — parce que les victimes d’attaques redirigent les patients vers les hôpitaux voisins, surchargeant leur capacité et dégradant la qualité des soins.

Ce que les organisations doivent faire

Face à ce paysage de menaces, une défense efficace exige une approche multicouche :

Sauvegardes immuables : La défense fondamentale contre les rançongiciels est constituée de sauvegardes qui ne peuvent pas être chiffrées par le ransomware. Les sauvegardes doivent être isolées du réseau principal (hors ligne ou dans un tenant cloud séparé) et testées régulièrement pour la restauration. Les organisations capables de restaurer à partir d’une sauvegarde en quelques heures disposent d’un levier de négociation considérablement plus important que celles qui ne peuvent pas restaurer du tout.

Gestion des accès à privilèges : Le rançongiciel se propage latéralement en utilisant des identifiants d’administration. Une gestion stricte des accès à privilèges — minimisation du nombre de comptes dotés de privilèges d’administrateur de domaine, exigence de MFA pour l’accès administratif et limitation temporelle des sessions à privilèges — contraint significativement la capacité de propagation du rançongiciel.

Segmentation réseau : L’isolation des systèmes critiques dans des segments réseau séparés limite la capacité du rançongiciel à tout chiffrer. Une attaque par rançongiciel contenue dans un segment réseau est un incident grave ; une attaque qui chiffre tout est une catastrophe.

Détection et réponse aux terminaux (EDR) : Les outils EDR modernes détectent les schémas comportementaux des rançongiciels (chiffrement rapide de fichiers, suppression des copies fantômes, balayage réseau) avant que l’attaque ne s’achève — permettant une interruption avant que les dommages n’atteignent leur pleine ampleur.

Planification et exercice de réponse aux incidents : Les organisations qui disposent de plans de réponse aux incidents documentés et testés se rétablissent plus rapidement et avec moins de dommages que celles qui improvisent sous la pression d’une attaque. Les exercices sur table (tabletop exercises) simulant des scénarios de rançongiciel constituent l’investissement de préparation le plus précieux.

Conclusion

La crise mondiale des rançongiciels n’est pas un problème technologique avec une solution technologique — c’est un problème socio-économique complexe nécessitant une coordination entre les forces de l’ordre, les gouvernements, l’industrie de la sécurité et les organisations individuelles. Les outils technologiques de défense sont disponibles et efficaces ; le défi réside dans le déploiement, la gouvernance et l’investissement soutenu.

Toutes les 19 secondes, une nouvelle organisation quelque part dans le monde apprend cette leçon à ses dépens. La question pour chaque organisation lisant cet article est de savoir si elle l’apprendra à la suite de son propre incident — ou de celui de quelqu’un d’autre.