Rançongiciels : qui est touché, à quel rythme, et par qui - 2025/26

Entre janvier 2025 et septembre 2026, 214 groupes de rançongiciel ont revendiqué 16 326 victimes sur leurs sites de fuite. Chaque revendication est une entreprise, un hôpital ou une collectivité qu'un groupe affirme avoir piratée, souvent avec un compte à rebours avant la mise en ligne des données volées.

Ces listes racontent trois évolutions : un volume qui a doublé en un an, une menace qui se disperse entre davantage de groupes, et un nouvel acteur, The Gentlemen, qui frappe d'abord hors des États-Unis. Derrière les courbes, on retrouve aussi les arrestations, les fuites internes et les règlements de comptes entre groupes, qui font et défont les marques.

Ces chiffres ne sont pas exhaustifs. Ils ne montrent que les victimes que les groupes choisissent d'exposer : une victime qui paie discrètement n'apparaît jamais, et certains groupes gonflent leurs listes ou republient d'anciennes victimes. Ils mesurent l'extorsion visible, pas l'ensemble des attaques.

Un volume qui double en un an

Lecture : chaque ligne est un trimestre, chaque colonne un secteur. L'aire d'une bulle est proportionnelle au nombre de revendications ; le point sombre au centre représente les victimes situées en France. La bulle rouge est la plus grosse de la série.

Le 3e trimestre 2026 est le plus chargé de la série, avec 3 427 revendications, deux fois plus qu'un an plus tôt (1 675). La hausse touche les onze secteurs à la fois : ce n'est pas une campagne ciblée, c'est un niveau d'activité général qui monte.

L'industrie arrive en tête à chaque trimestre. Elle concentre un peu plus d'une revendication sur cinq dont le secteur est connu. Une usine à l'arrêt coûte cher chaque heure, ce qui pousse à payer vite. La technologie et le commerce suivent.

Le commerce, le transport et la santé montent le plus vite. Le commerce triple en un an (321 revendications au 3e trimestre 2026 contre 106), le transport et la santé font plus que doubler. La santé atteint son plus haut niveau de la série : 356 revendications, contre 139 un an plus tôt.

Les pics ont des causes précises. Celui du début 2025 vient surtout de Clop, qui a publié d'un coup les victimes de la faille du logiciel de transfert de fichiers Cleo : 335 revendications en février 2025. Le creux du printemps 2025 coïncide avec la fin de cette vague et avec la disparition de RansomHub, dont le site de fuite s'est éteint le 1er avril 2025. Un seul groupe peut donc déformer une année entière, dans un sens comme dans l'autre.

Ce classement diffère de celui de l'ENISA, qui place l'administration publique en tête en Europe. La raison : 82 % des incidents de l'administration publique qu'elle recense sont des attaques par déni de service menées par des hacktivistes. Les rançongiciels, eux, visent d'abord les entreprises privées.

Plus de groupes, moins de géants

Lecture : le graphe change de point de vue au fil de l'animation. « Combien sont-ils » empile un point par groupe actif dans le trimestre. « Quel poids » donne à chaque point une hauteur proportionnelle à sa part des revendications du trimestre. « Qui reste » sépare les groupes déjà actifs début 2025 de ceux arrivés depuis.

Le nombre de groupes actifs a presque doublé. 68 groupes ont revendiqué au moins une victime au 1er trimestre 2025, 120 au 3e trimestre 2026. L'essentiel de la hausse date de 2026 : +16 au 2e trimestre, +30 au 3e.

Les géants pèsent moins. Les cinq premiers groupes réunissaient 47 % des revendications début 2025, 35 % au 3e trimestre 2026. Le volume total double, mais il se répartit sur beaucoup plus d'acteurs.

Le renouvellement est rapide. Sur les 68 groupes actifs début 2025, seuls 30 publient encore au 3e trimestre 2026. Trois groupes actifs sur quatre aujourd'hui (90 sur 120) ne l'étaient pas début 2025. L'ANSSI fait le même constat en France, avec plus d'une dizaine de nouvelles souches observées pour la première fois en 2025.

Cette dispersion s'explique par le modèle économique du secteur. La plupart des groupes fonctionnent en « rançongiciel en tant que service » : une petite équipe fournit le logiciel, le site de fuite et la négociation, et des affiliés mènent les intrusions contre une commission. Ce sont les affiliés, rares et mobiles, qui font le volume. Quand une marque tombe, ils en rejoignent une autre ou en créent une nouvelle. Les noms changent vite, les personnes beaucoup moins.

Pour un défenseur, la conséquence est concrète : la connaissance d'un groupe vieillit vite. Une liste de groupes « à suivre » établie début 2025 couvre aujourd'hui moins d'un tiers des acteurs actifs. Il vaut mieux suivre les modes d'intrusion (accès VPN, failles des équipements exposés, identifiants volés) que les marques.

Pourquoi un groupe disparaît

Les courbes de publication permettent de dater la fin de plusieurs groupes, et chaque fois un événement l'explique.

Les arrestations qui frappent le cœur d'un groupe l'arrêtent net. 8Base publie encore 25 victimes en janvier 2025, 4 en février, puis plus rien : le 10 février 2025, la police thaïlandaise arrête à Phuket quatre ressortissants russes présentés comme ses dirigeants, et les forces de l'ordre européennes saisissent son site de fuite. En juillet 2025, l'opération « Checkmate » saisit les sites de BlackSuit ; ses opérateurs ressurgissent probablement sous le nom de Chaos, dont l'activité grimpe en 2026.

Une arrestation isolée ne suffit pas. En mai 2026, un Russe de 28 ans soupçonné d'appartenir à Qilin est arrêté dans un hôtel d'Osaka puis extradé vers l'Allemagne. Qilin n'en ralentit pas pour autant : 114 revendications en mai, 165 en août. Un affilié se remplace ; une infrastructure et une équipe dirigeante, beaucoup moins.

Les fuites internes tuent la confiance. En février 2025, quelque 200 000 messages internes de Black Basta sont publiés : modèles d'hameçonnage, identifiants de victimes, recherches sur les cibles. Le groupe, qui revendiquait encore 8 victimes en janvier, ne publie plus rien ensuite. En janvier 2026, l'office criminel fédéral allemand (BKA) identifie son chef présumé, Oleg Nefedov, inscrit depuis sur la liste rouge d'Interpol.

Certains groupes partent d'eux-mêmes. Hunters International annonce sa fermeture en juillet 2025, efface ses victimes et propose des outils de déchiffrement gratuits ; ses opérateurs poursuivent sous le nom de World Leaks, qui se contente de voler et publier des données sans chiffrer. RansomHub, 88 revendications en mars 2025, s'éteint le 1er avril sans explication. Ses affiliés se dispersent, et Qilin en profite : ses revendications passent de 47 en mars à 75 en avril 2025.

La guerre entre groupes

Ces groupes ne sont pas seulement concurrents, ils s'attaquent entre eux.

En mars 2025, DragonForce défigure les sites de fuite de BlackLock et de Mamona, puis affirme que RansomHub a rejoint son « cartel » au moment où celui-ci disparaît. En avril 2025, le site d'Everest est défiguré avec un message moqueur, « Don't do crime, CRIME IS BAD ». Le même message apparaît en mai 2025 sur le panneau d'administration de LockBit, piraté avec sa base de données : près de 60 000 adresses bitcoin et plus de 4 400 messages de négociation avec les victimes sont exposés. LockBit 3 cesse de publier ce mois-là. Le groupe revient avec LockBit 5 en septembre 2025, et sa première vague de publications atteint 111 victimes en décembre.

La rivalité continue en 2026. En avril, le groupe KryBit pirate 0APT et montre que plus de 190 de ses victimes revendiquées en janvier étaient inventées : un rappel que toutes les revendications ne sont pas réelles. En mai, la base de données interne de The Gentlemen fuite à son tour. En septembre, ShinyHunters pirate le site de fuite de Clop et tente d'extorquer le groupe lui-même.

À l'inverse, des alliances se nouent. En octobre 2025, des chercheurs révèlent que DragonForce, LockBit et Qilin se sont rapprochés pour partager techniques et ressources. Dans un marché où les affiliés sont la ressource rare, se regrouper ou abattre un concurrent servent le même but : attirer les meilleurs.

Qilin s'installe, The Gentlemen déborde

Lecture : chaque bulle est un groupe, sa taille suit son nombre de revendications sur la période. Plus un groupe est à droite, plus il publie de victimes chaque mois ; plus il est haut, plus ses victimes sont situées hors des États-Unis, premier pays visé avec 45 % des victimes.

Qilin s'est installé au sommet. Le groupe est passé de 55 revendications par mois au 1er semestre 2025 à 110 à 120 depuis, en récupérant une partie des affiliés de RansomHub. L'ANSSI le classe aussi en tête en France : 21 % des compromissions par rançongiciel qu'elle a traitées en 2025.

The Gentlemen est la vraie rupture. Actif depuis au moins juillet 2025, probablement fondé par un ancien affilié de Qilin selon les sources reprises par Unit 42, il publie 165 victimes par mois au 3e trimestre 2026, plus que tout autre groupe. Son offre explique sa croissance : il laisse 90 % des rançons à ses affiliés. Surtout, il frappe d'abord hors des États-Unis : 19 % seulement de ses victimes y sont situées, contre 45 % en moyenne. Un tiers sont en Europe (un quart en moyenne), et l'Allemagne, la France et le Royaume-Uni comptent chacun 42 victimes, autant que la Thaïlande ou le Brésil.

D'autres reculent. Akira passe de 61 à 30 revendications par mois, Lynx disparaît presque. Play reste centré sur les États-Unis, avec moins d'une victime sur quatre hors du pays sur la plupart des périodes.

Le centre de gravité se déplace donc vers le haut du graphe : les groupes qui montent sont ceux qui visent le plus l'extérieur des États-Unis, et l'Europe en premier lieu.

Une activité de bureau

Lecture : l'horloge représente une semaine entière, un tour complet, lundi minuit en haut, dans le sens des aiguilles d'une montre. Chaque voile translucide correspond à un mois ; là où les mois se superposent, l'encre fonce. Les contours rouges marquent les heures les plus chargées.

Le week-end, on compte environ 45 % de revendications en moins par jour qu'en semaine. Les publications culminent entre 15 h et 18 h UTC, soit en fin d'après-midi en France et en fin de matinée sur la côte est des États-Unis. L'heure mesurée est celle où la revendication apparaît en ligne, pas celle de l'intrusion : elle décrit le rythme de l'extorsion.

Ce rythme de bureau n'a rien d'étonnant pour qui a lu les fuites de Conti en 2022. Les plus de 60 000 messages internes publiés au début de la guerre en Ukraine par un informaticien se présentant comme ukrainien décrivaient une entreprise : des salariés payés 1 000 à 2 000 dollars par mois, versés le 1er et le 15, une semaine de cinq jours, un service des ressources humaines qui recrutait sur des sites d'emploi russes, des entretiens annuels, une prime pour l'« employé du mois » et des amendes. L'équipe offensive, elle, voyait rarement ses week-ends. La base interne de The Gentlemen, publiée en 2026, montre la même division du travail : un administrateur qui développe les outils et répartit les cibles, des spécialistes de l'accès initial, des affiliés payés à la commission.

Et la France ?

La France compte 402 revendications sur la période, au 6e rang mondial derrière les États-Unis, l'Allemagne, le Canada, le Royaume-Uni et l'Italie. Deux groupes concentrent un tiers des victimes françaises : Qilin (97) et The Gentlemen (42).

Lecture : chaque tige est un groupe, classé de gauche à droite par nombre de victimes en France ; chaque petit point représente deux victimes. Les autres groupes, moins actifs en France, totalisent 197 victimes.

Le poids de The Gentlemen, 2e groupe en France après un peu plus d'un an d'activité, confirme la tendance de fond : les nouveaux acteurs regardent vers l'Europe. L'éditeur ESET relève d'ailleurs l'intérêt de ses affiliés pour la France, la Thaïlande et le Brésil.

Les sites de fuite font aussi apparaître des victimes que les statistiques officielles ne voient pas : 189 revendications visaient la France en 2025, quand l'ANSSI a traité 128 compromissions par rançongiciel. Une PME qui ne signale rien peut se retrouver sur un site de fuite sans jamais entrer dans les chiffres de l'Agence.

Ce qu'il faut retenir

• L'extorsion visible a doublé en un an, et la hausse touche tous les secteurs, le commerce, le transport et la santé en tête.
• La menace se disperse : plus de groupes, des géants qui pèsent moins, et des marques qui naissent et meurent au gré des arrestations, des fuites et des rivalités, pendant que les affiliés passent de l'une à l'autre.
• Les arrestations efficaces visent le cœur : saisir l'infrastructure et arrêter les dirigeants arrête un groupe, arrêter un affilié ne le ralentit pas.
• Les nouveaux venus visent l'Europe : The Gentlemen, devenu le groupe le plus actif, frappe d'abord hors des États-Unis, et la France figure parmi ses premières cibles.

Ces listes ont leurs angles morts. Elles ne disent rien du coût : le DBIR 2026 de Verizon indique que 69 % des victimes de rançongiciel n'ont pas payé. Elles ne disent pas non plus comment les attaquants sont entrés : l'ENISA elle-même n'identifie la méthode d'intrusion que dans 5,2 % des accès non autorisés qu'elle recense.

Sources

• LuksMentis, suivi des revendications de rançongiciel publiées sur les sites de fuite, janvier 2025 à septembre 2026 : luksmentis.com
• ANSSI, Panorama de la cybermenace 2025, CERTFR-2026-CTI-002, mars 2026 (128 compromissions par rançongiciel, souches Qilin 21 %, nouvelles souches) : cert.ssi.gouv.fr
• ENISA, Threat Landscape 2026, 22 septembre 2026 (administration publique dont 81,8 % de déni de service, méthode d'intrusion connue dans 5,2 % des accès) : helpnetsecurity.com
• Europol, arrestation des dirigeants de Phobos et 8Base, février 2025 : europol.europa.eu
• Département de la Justice des États-Unis, opération contre BlackSuit, 11 août 2025 : justice.gov
• The Record, arrestation au Japon d'un membre présumé de Qilin, 9 octobre 2026 : therecord.media
• BleepingComputer, fuite des conversations internes de Black Basta, février 2025 : bleepingcomputer.com ; chef présumé à la liste rouge d'Interpol, janvier 2026 : bleepingcomputer.com
• BleepingComputer, fermeture de Hunters International, juillet 2025 : bleepingcomputer.com
• Sophos, DragonForce et ses rivaux, 2025 : sophos.com
• BleepingComputer, piratage du panneau de LockBit, mai 2025 : bleepingcomputer.com
• Infosecurity Magazine, 0APT et KryBit, 28 avril 2026 : infosecurity-magazine.com
• BleepingComputer, ShinyHunters pirate le site de Clop, 19 septembre 2026 : bleepingcomputer.com
• The Hacker News, alliance DragonForce, LockBit et Qilin, octobre 2025 : thehackernews.com
• Check Point Research, Thus Spoke The Gentlemen, 13 mai 2026 : research.checkpoint.com
• Palo Alto Networks Unit 42, The Gentlemen Ransomware, 10 juillet 2026 (lien avec Qilin) : unit42.paloaltonetworks.com
• ESET, analyse de l'arsenal anti-EDR de The Gentlemen : eset.com
• Krebs on Security, Conti Ransomware Group Diaries, Part II: The Office, 2 mars 2022 : krebsonsecurity.com
• Check Point Research, fuites de Conti, 10 mars 2022 : research.checkpoint.com
• Verizon, 2026 Data Breach Investigations Report (69 % des victimes de rançongiciel n'ont pas payé) : helpnetsecurity.com