Anatomie des groupes d'attaquants : qui attaque, qui sont les victimes, quelles motivations

On parle beaucoup des cyberattaquants au singulier, « les hackers », « les pirates », comme s'il s'agissait d'une masse indistincte. La réalité est tout autre : un écosystème segmenté, avec des groupes aux logiques, aux cibles et aux motivations radicalement différentes. Un cartel de rançongiciel n'a rien à voir avec une unité de renseignement étatique, et un collectif hacktiviste encore moins.

Pour démêler tout cela, nous nous sommes appuyés sur notre propre matière : un échantillon représentatif de 60 000 évènements cyber, dont nous avons reconstitué 13 573 incidents rattachés directement à une victime, et environ 1 600 groupes distincts identifiés.

1. Qui attaque ?

Première surprise quand on classe les groupes par volume d'incidents : la tête du peloton n'est pas dominée par un seul cartel de rançongiciel, mais par un groupe d'extorsion de données, ShinyHunters, devant les cartels historiques LockBit et Qilin.

Ce classement raconte déjà l'écosystème : des opérateurs de rançongiciel-as-a-service (LockBit, Qilin, Clop, Akira, DragonForce, Black Basta), un spécialiste de l'extorsion par vol de données (ShinyHunters), un acteur étatique nord-coréen à visée financière (Lazarus) et un collectif hacktiviste (Anonymous). Quatre logiques différentes dans un même top 10.

L'écosystème est par ailleurs concentré : les dix premiers groupes nommés concentrent à eux seuls 28 % des incidents attribués. Une poignée d'acteurs fait l'essentiel du bruit, mais une longue traîne de groupes éphémères, successeurs et rebrandings compose le reste.

Origine, motivation, groupe : la lecture géopolitique

Quand on croise l'origine géographique attribuée, la motivation et le groupe, une carte géopolitique très lisible se dessine sur les principaux groupes dont l'origine est identifiable :

À noter : ce schéma ne couvre que le sous-ensemble attribué à une origine (35 % des incidents). Certains groupes du top n'y figurent pas faute d'attribution géographique confiante, soit parce qu'ils sont des collectifs internationaux sans pays unique (ShinyHunters, Anonymous), soit parce que leur origine reste débattue (DragonForce). Cela ne retire rien à leur volume d'attaques, visible dans le classement ci-dessus.

Trois logiques nationales ressortent nettement :

• Russie : la plus large branche, et la plus diverse. L'essentiel est financier (l'écroulement de l'écosystème rançongiciel, de LockBit et Clop à Conti, REvil ou Black Basta), doublé d'une frange hacktiviste pro-russe (NoName057, Killnet) et d'une pointe de sabotage étatique (Sandworm).
• Corée du Nord (KP) : un profil presque exclusivement financier porté par Lazarus, complété d'un volet espionnage (Kimsuky). Le seul État dont la cyber-activité majeure vise à générer des revenus.
• Chine (CN) : un profil espionnage assumé (Mustang Panda), sans dimension financière.

La cybercriminalité financière est massivement russophone, le renseignement est chinois et nord-coréen, et le sabotage reste une signature étatique rare.

2. Qui sont les victimes ?

Côté cibles, la géographie est sans ambiguïté : les États-Unis concentrent environ 35 % des incidents géolocalisés, loin devant un peloton européen (Royaume-Uni, Italie, France, Allemagne) et quelques grands pays (Inde, Canada, Australie).

La France apparaît dans ce peloton de tête européen, autour de 4 % des incidents géolocalisés, un constat cohérent avec notre analyse dédiée sur la place de la France parmi les pays les plus cyberattaqués.

Mais le pays ne fait pas tout : le secteur d'activité de la victime est un déterminant au moins aussi fort.

La technologie domine (éditeurs, hébergeurs, prestataires numériques), suivie de l'administration et du secteur public, de la santé et de la finance. Ce trio public/santé/finance est une constante : données sensibles, continuité de service critique, capacité (ou obligation) de payer. L'éducation et l'hôtellerie, souvent moins matures en sécurité, complètent le tableau.

3. Quelles motivations ?

Quand la motivation d'un groupe est identifiable, le verdict est sans appel :

Sur les incidents à motivation connue, le financier surpasse tous les autres (rançongiciel et extorsion), loin devant l'hacktivisme, l'espionnage et le sabotage. Autrement dit : la grande majorité des attaques ne cherchent ni à espionner ni à détruire, mais à monétiser. C'est une bonne nouvelle pour la défense, car un attaquant financier est rationnel : il suit l'argent et renonce devant un coût trop élevé. C'est une mauvaise nouvelle pour les organisations qui croient « n'avoir rien d'intéressant à voler » : pour un cartel, la seule donnée intéressante, c'est votre capacité à payer pour la récupérer.

4. Ce qui bouge : la tendance

C'est là que beaucoup de rapports se trompent. Ils montrent une courbe du nombre d'attaques par an qui grimpe en flèche et en concluent que les cyberattaques « explosent ». Nos données brutes affichent la même montée. Mais une grande partie de cette hausse tient à nos moyens de détection : les technologies actuelles permettent de repérer et d'identifier les incidents bien plus précisément qu'il y a dix ans, ou même qu'il y a trois ans, et donc d'en remonter un volume nettement supérieur. Présenter cette courbe comme la mesure d'une tendance serait donc trompeur. Cela dit, la menace progresse aussi pour de vrai : les outils offensifs (rançongiciel-as-a-service, kits clé en main, IA) sont de plus en plus accessibles, ce qui élargit le vivier d'attaquants. La hausse réelle existe, mais elle se mêle à l'effet de détection, et c'est pourquoi nous raisonnons en part (%).

Ce qui est robuste, parce qu'indépendant du volume collecté, c'est la composition des attaques : la part de chaque type d'une année à l'autre, sur une fenêtre où notre méthode de collecte est restée stable.

Le glissement est net : la fuite et le vol de données s'imposent progressivement comme la catégorie dominante, devant le rançongiciel pur. C'est cohérent avec l'évolution observée des cartels eux-mêmes : passage du chiffrement seul à la double extorsion (chiffrement + menace de divulgation), puis à des modèles d'extorsion sans chiffrement, où voler et menacer de publier suffit. La place montante du groupe ShinyHunters dans notre top 10 est l'incarnation de cette bascule.

Ce qu'il faut retenir

• L'écosystème attaquant est segmenté : financier (la grande majorité), espionnage, hacktivisme, sabotage. Quatre logiques à ne pas confondre.
• La géographie de l'attribution est lisible : criminalité financière majoritairement russophone, espionnage chinois et nord-coréen, sabotage étatique rare.
• Les victimes sont d'abord américaines, puis européennes ; les secteurs techno, public, santé et finance paient le prix fort.
• La vraie tendance n'est pas « plus d'attaques », mais un déplacement vers le vol de données et l'extorsion sans chiffrement.

À lire avant de citer un chiffre

Ces chiffres viennent de notre veille. Deux limites assumées :

1. L'attribution est partielle. Seuls 35 % des incidents sont rattachés à un groupe. La carte « origine → motivation → groupe » ne porte donc que sur ce sous-ensemble attribué, et sur-représente mécaniquement les groupes les mieux documentés.
2. Les libellés génériques sont exclus. Des étiquettes vagues (« hackers russes », « pirates iraniens ») existent dans les données brutes mais ne sont pas des groupes : elles sont écartées des classements pour ne pas gonfler artificiellement une origine.

Les pourcentages de la carte sont calculés sur les incidents géolocalisés, pas sur la totalité.

Sources

• Échantillon de ~60 000 évènements cyber majeurs collectés sur 2026.
• Attribution des origines et motivations : recoupement de sources ouvertes de threat intelligence (rapports d'éditeurs, CERT, presse spécialisée), normalisé dans notre référentiel d'acteurs.
• Pour le focus France : Pourquoi la France figure-t-elle dans le top 5 des pays les plus cyberattaqués ?