Poussée de Qilin & DragonForce : un playbook pratique de préparation aux rançongiciels pour les PME algériennes

Pourquoi Qilin et DragonForce définissent le rançongiciel 2026

Deux marques de rançongiciel font désormais le plus de bruit sur les sites de fuite du dark web. Le rapport hebdomadaire de Ransom-DB pour le 8-15 avril 2026 place Qilin comme le groupe le plus actif avec 20 victimes et DragonForce juste derrière avec 19, totalisant ensemble 21 % du volume mondial de rançongiciel cette semaine-là. Infosecurity Magazine, citant les données de NCC Group, rapporte que Qilin (20 %), Akira (12 %) et DragonForce (8 %) ont généré 40 % des 672 attaques de rançongiciel en mars 2026.

Deux bascules structurelles expliquent la poussée :

• Qilin est mature opérationnellement. Son payload en Rust, ses tactiques de multi-extorsion et son site de fuite tournent à grande échelle, selon Barracuda Networks.
• DragonForce a absorbé des affiliés. Dark Reading détaille un modèle de cartel en marque blanche, construit avec LockBit et Qilin, qui permet aux affiliés d’opérer des marques indépendantes sur une infrastructure partagée ; DragonForce a récupéré les opérateurs RansomHub déplacés après la fracture de cet écosystème.

La conséquence pratique pour les PME algériennes : vous êtes plus susceptibles de croiser un de ces opérateurs qu’un acteur sur mesure, et leur playbook est bâti autour d’une courte liste de faiblesses reproductibles.

Les faiblesses répétitives que ces groupes exploitent

Les rapports publics sur les intrusions Qilin et DragonForce convergent sur un schéma familier :

1. Accès initial via VPN ou passerelle de bureau à distance avec MFA faible (souvent aucun MFA en périphérie).
2. Vol d’identifiants via kits de phishing et infostealers, y compris des opérateurs qui achètent de l’accès auprès de courtiers d’accès initial.
3. Élévation de privilèges via des hôtes Windows, Exchange ou hyperviseurs non patchés.
4. Exfiltration de données avant chiffrement pour activer la pression de multi-extorsion — publier les données même si la victime peut restaurer depuis sauvegarde.
5. Ciblage de l’infrastructure de sauvegarde (serveurs Veeam, volumes de sauvegarde intégrés au domaine) pour casser la reprise avant déclenchement.

Rien de tout cela n’exige un zero-day. L’analyse Todyl de l’alliance LockBit–Qilin–DragonForce note que le cartel a délibérément industrialisé l’onboarding des affiliés, de sorte que tout opérateur moyennement qualifié peut reproduire la chaîne.

Un playbook de préparation en une semaine pour les PME algériennes

Une entreprise de négoce algérienne, un opérateur logistique ou un industriel de taille moyenne n’a pas besoin d’un gros SOC. Il a besoin d’un programme compressé de gains côté défense. À étaler sur une semaine :

Jour 1 — MFA sur chaque point d’entrée externe. VPN, RDP, Outlook Web Access, admin O365, cPanel — sans exception. Si le produit ne supporte pas le MFA, placez-le derrière un reverse proxy ou une passerelle SSO qui le fait.

Jour 2 — Sauvegardes séparées et hors ligne. Vérifiez qu’il existe au moins une copie de sauvegarde qui n’est pas joignable depuis le serveur de sauvegarde intégré au domaine. Les paliers cloud immuables (AWS S3 Object Lock, immuabilité Azure Blob), la bande ou un tenant séparé sont tous acceptables ; un repo Veeam on-prem sur le même AD ne l’est pas.

Jour 3 — Patcher les trois boîtiers qui comptent. Le pare-feu / l’appliance VPN exposée à Internet, le serveur de messagerie et les contrôleurs de domaine. Ces trois boîtiers couvrent environ 80 % des techniques d’accès initial courantes. Le rapport de menaces de mars 2026 de Check Point note que les acteurs du rançongiciel continuent de pivoter rapidement sur les failles VPN et périmétriques divulguées.

Jour 4 — Hygiène des identifiants. Forcez la rotation des mots de passe sur les comptes admin, désactivez les comptes dormants et auditez les comptes de service détenteurs de droits admin de domaine. Ajoutez des politiques de conditional access qui bloquent les connexions depuis des pays inattendus.

Jour 5 — Simulation de phishing + exercice de réponse. Lancez un exercice de phishing interne simple. Chronométrez combien de temps il faut pour qu’un e-mail de phishing signalé atteigne quelqu’un qui peut réellement enquêter et bloquer. Si ce chiffre dépasse une heure, c’est votre plus grand écart.

Jour 6 — Journalisation des postes. Activez la tamper protection de Defender (ou de votre EDR choisi), confirmez que les logs sont expédiés vers un endroit conservé au moins 30 jours, et taguez les hôtes critiques (contrôleurs de domaine, serveurs de sauvegarde, serveurs de fichiers) pour une alerte prioritaire.

Jour 7 — Écrire le playbook d’incident en une page. Qui appelez-vous à 2 h du matin ? Quel MSSP ou partenaire Microsoft ? Qui a l’autorité légale pour déclarer un incident ? Un document d’une page affiché dans la salle ops est plus utile qu’un plan de 50 pages que personne n’ouvre.

Ce qu’une PME algérienne devrait budgéter pour le prochain trimestre

Au-delà du sprint d’une semaine, trois investissements se remboursent d’eux-mêmes si le rançongiciel frappe :

• EDR ou MDR managé. Pour la plupart des PME algériennes, contracter un MDR 24/7 via un partenaire local coûte moins cher que d’embaucher un analyste de deuxième poste. Microsoft Defender for Business plus une surcouche MDR est un point de départ raisonnable.
• Évaluation cyber-assurance. Même sans souscrire une police, les questionnaires de souscription font remonter des écarts de contrôle que l’IT n’a peut-être pas flagués (couverture MFA, immuabilité des sauvegardes, déploiement EDR). Utilisez l’exercice comme du conseil gratuit.
• Exercice sur table. Un simulacre de deux heures « Qilin vous a postés sur leur site de fuite » avec le PDG, le COO, le juridique et l’IT ensemble expose les écarts de décision (payer ou pas, quand prévenir la banque, quand informer l’ARPCE ou l’ANSSI). À faire une fois par an.

Ce que cela laisse aux défenseurs algériens

Qilin et DragonForce ne vont pas disparaître, et le modèle de cartel qui les a industrialisés non plus. Mais la barre de préparation pour leur résister est délibérément basse — ces opérateurs s’appuient sur des faiblesses banalisées. Une PME algérienne qui consacre une semaine concentrée au playbook ci-dessus, et qui budgète MDR plus un exercice sur table sur le prochain trimestre, passe de « cible facile » à « pas la peine de l’effort ». C’est l’ambition réaliste pour 2026.

Sources et lectures complémentaires

• Weekly Ransomware Trends April 2026: Qilin & DragonForce — Ransom-DB
• Just Three Ransomware Gangs Accounted for 40% of Attacks Last Month — Infosecurity Magazine
• Nearly half of March ransomware attacks tied to just 3 groups — SC Media
• Qilin ransomware surges into 2026 — Barracuda Networks Blog
• LockBit, Qilin & DragonForce Form Ransomware ‘Cartel’ — Dark Reading
• The Rise of a Cybercrime Alliance — Todyl
• March 2026 Cyber Threat Report: Ransomware & GenAI Risk — Check Point