Les chiffres derrière la vague
L’activité ransomware au premier trimestre 2026 a pulvérisé tous les records précédents. Selon BreachSense, mars 2026 a compté à lui seul 808 victimes réparties sur 65 groupes de ransomware actifs, soit une hausse de 19 % par rapport aux 680 victimes de février. Le total trimestriel de 2 165 victimes, annualisé à environ 8 660, représente une augmentation de 18,5 % par rapport au total annuel de 7 307 en 2025. L’analyse de Cyble est encore plus frappante : les attaques ont augmenté de plus de 30 % par rapport à la moyenne des neuf mois précédents.
Les États-Unis restent la cible principale, représentant 404 des 808 victimes de mars, soit environ 50 %. La France a bondi à la deuxième place avec 36 victimes en mars. Mais la répartition géographique s’élargit. Les opérateurs de ransomware ciblent de plus en plus les organisations en Asie, en Amérique latine et en Afrique, où la maturité en cybersécurité accuse souvent un retard par rapport aux ambitions de transformation numérique.
La double extorsion devient le mode opératoire par défaut
L’époque du simple chiffrement suivi d’une demande de rançon est révolue. L’exfiltration de données avant le chiffrement, marque distinctive de la double extorsion, est désormais présente dans environ 77 % de toutes les attaques par ransomware. Les acteurs malveillants dérobent les données sensibles en premier, chiffrent ensuite les systèmes, puis menacent de publier les données volées si la rançon n’est pas payée. Cette double pression rend l’attaque efficace même contre les organisations disposant de stratégies de sauvegarde solides, car la restauration à partir de sauvegardes n’empêche pas l’exposition des données.
Certains groupes ont escaladé vers la triple extorsion, ajoutant des attaques DDoS contre la victime ou contactant directement les clients et partenaires de la victime avec des menaces de divulgation de leurs données. Les plateformes de Ransomware-as-a-Service (RaaS) ont industrialisé ces tactiques, fournissant aux affiliés des kits prêts à l’emploi, des scripts de négociation et même des portails de service client pour les victimes.
La santé assiégée
La santé demeure l’un des secteurs les plus dévastés. Selon le rapport IBM 2025 sur le coût d’une violation de données, les organisations de santé font face à des coûts moyens de violation de 7,42 millions de dollars par incident, le plus élevé de tous les secteurs. Sophos a constaté que 67 % des organisations de santé ont subi une attaque par ransomware au cours des 12 derniers mois, avec des demandes de rançon médianes atteignant 4 millions de dollars et des demandes moyennes de 4,9 millions de dollars.
L’impact opérationnel dépasse largement les coûts financiers. Healthcare IT News rapporte que les temps d’arrêt liés aux ransomwares coûtent aux organisations de santé américaines 1,9 million de dollars par jour. Lorsque les systèmes hospitaliers sont hors ligne, les soins aux patients sont directement affectés : les chirurgies sont reportées, l’imagerie diagnostique devient indisponible et les services d’urgence doivent réorienter les patients vers d’autres établissements.
Qilin, le groupe de ransomware le plus prolifique au T1 2026, a spécifiquement ciblé les institutions de santé. Son attaque contre le laboratoire de pathologie britannique Synnovis aurait causé plus de 40 millions de dollars de pertes et perturbé les services de diagnostic dans plusieurs hôpitaux. Qilin a enregistré 342 victimes au total au T1 2026, dont 131 en mars seul — trois mois consécutifs au-dessus de 100, un record sans précédent pour un seul groupe.
Publicité
L’industrie manufacturière : le secteur le plus ciblé
L’industrie manufacturière a décroché la première place comme secteur le plus ciblé en mars 2026, avec 76 victimes. La construction suit avec 53 et la finance avec 48. Sur l’année complète, l’industrie manufacturière représente environ 14 % de toutes les attaques par ransomware, ce qui en fait le secteur le plus ciblé au monde.
Les environnements manufacturiers sont particulièrement vulnérables en raison de la convergence des systèmes IT et de technologie opérationnelle (OT). Les lignes de production qui dépendent de contrôleurs, capteurs et systèmes de gestion connectés ne tolèrent pas les temps d’arrêt prolongés. Cette urgence à restaurer les opérations donne aux opérateurs de ransomware un levier considérable. De nombreuses entreprises manufacturières fonctionnent également avec des systèmes hérités difficiles à corriger et à segmenter, créant de larges surfaces d’attaque.
Le paradoxe du paiement
Malgré l’escalade de la menace, les taux de paiement des victimes diminuent. Seuls 28 % des victimes de ransomware ont payé en 2025, un plus bas historique. Le paiement médian de rançon a chuté de 50 %, passant de 2 millions de dollars en 2024 à 1 million en 2025. Dans le secteur de la santé, 53 % des victimes ayant payé l’ont fait pour un montant inférieur à la demande initiale.
Ce taux de paiement en baisse alimente en partie l’augmentation du volume. Les opérateurs de ransomware compensent la baisse de revenus par victime en attaquant davantage de cibles, se tournant souvent vers des organisations plus petites avec moins de défenses. L’essor des plateformes RaaS a abaissé la barrière à l’entrée, permettant à des acteurs moins sophistiqués techniquement de lancer des attaques à grande échelle.
Priorités défensives pour 2026
L’évolution des ransomwares exige une évolution correspondante de la défense. Les organisations doivent partir du principe qu’une violation se produira et planifier en conséquence. La segmentation réseau, en particulier entre les environnements IT et OT, limite les mouvements latéraux. Les solutions de sauvegarde immuables avec des copies isolées physiquement (air-gapped) garantissent la récupérabilité même lorsque les sauvegardes primaires et secondaires sont ciblées. Les outils de prévention de la perte de données (DLP) peuvent détecter et bloquer les tentatives d’exfiltration, traitant directement le vecteur de la double extorsion.
La planification de la réponse aux incidents doit tenir compte de la double pression du chiffrement et de l’exposition des données. Les exercices sur table simulant des scénarios de double extorsion aident les équipes de direction à prendre des décisions plus rapides sous pression. Les polices de cyber-assurance doivent être examinées pour une couverture explicite de l’exposition des données liée à l’extorsion, et pas seulement les coûts de restauration des systèmes.
Questions Fréquemment Posées
Qu’est-ce que le ransomware à double extorsion et pourquoi est-il plus dangereux que le ransomware traditionnel ?
Le ransomware à double extorsion combine le chiffrement des fichiers avec le vol de données. Les attaquants dérobent les données sensibles avant de chiffrer les systèmes, puis menacent de publier les données volées si la rançon n’est pas payée. Cela rend les sauvegardes insuffisantes comme unique défense car la restauration des systèmes n’empêche pas l’exposition des données. Environ 77 % des attaques par ransomware utilisent désormais cette technique.
Pourquoi les organisations de santé sont-elles ciblées de manière disproportionnée par les ransomwares ?
Les organisations de santé détiennent des données patients extrêmement sensibles, opèrent sous des exigences réglementaires strictes et ne peuvent tolérer des temps d’arrêt prolongés car cela impacte directement les soins aux patients. Ces facteurs créent une forte incitation à payer les rançons rapidement. Le coût moyen d’une violation dans la santé s’élève à 7,42 millions de dollars, et les temps d’arrêt liés aux ransomwares coûtent aux organisations de santé américaines environ 1,9 million de dollars par jour.
Comment les entreprises manufacturières peuvent-elles se protéger contre les ransomwares malgré leurs systèmes OT hérités ?
Les entreprises manufacturières doivent prioriser la segmentation réseau entre les environnements IT et OT pour empêcher les mouvements latéraux. Les systèmes OT hérités impossibles à corriger doivent être isolés derrière des pare-feu avec des contrôles d’accès stricts. Les sauvegardes immuables et isolées physiquement garantissent la capacité de récupération, et la surveillance continue du trafic est-ouest peut détecter les signes précoces de propagation de ransomware.
Sources et lectures complémentaires
- March 2026 Ransomware Report: 808 Victims, 65 Groups — BreachSense
- March 2026 Cyber Threat Report: Ransomware and GenAI Risk — Check Point
- 46 Ransomware Statistics and Trends Report 2026 — VikingCloud
- The State of Ransomware 2026 — BlackFog
- Ransomware Downtime Costs US Healthcare $1.9M Daily — Healthcare IT News
- 100+ Ransomware Attack Statistics 2026 — Astra Security
