Un écart grandissant entre les attaques ransomware et leur divulgation publique
L'entreprise de prévention des ransomwares BlackFog a publié son rapport du deuxième trimestre sur l'activité mondiale des ransomwares, et le chiffre principal est frappant : les attaques ransomware non divulguées ont augmenté de 40 % par rapport à l'année précédente. En d'autres termes, une part croissante des incidents de ransomware survient sans que le public, les régulateurs ni même les clients concernés ne l'apprennent par les canaux officiels.
Cette distinction est importante. Les attaques ransomware qui font la une des journaux sont généralement celles où les attaquants revendiquent publiquement leur méfait, divulguent des données volées ou contraignent une organisation à une communication parce que des clients, partenaires ou médias remarquent la perturbation. Les attaques non divulguées sont différentes. Il s'agit d'incidents que les organisations victimes règlent discrètement, paient ou gèrent sans déclencher de signalement public, même si des données ont pu être consultées, chiffrées ou exfiltrées au cours de l'opération.
Les données de BlackFog suggèrent que cette catégorie d'attaques plus silencieuse progresse désormais plus vite que les incidents visibles et médiatisés. Pour un secteur qui s'efforce depuis des années d'améliorer la transparence des violations, c'est un changement notable, avec des conséquences bien réelles pour les personnes dont les informations personnelles pourraient se trouver dans les systèmes d'une entreprise.
Pourquoi « non divulgué » ne signifie pas « contenu »
Il est tentant de croire que si une attaque ne fait jamais la une, c'est qu'elle est mineure ou qu'elle a été correctement contenue. Les conclusions de BlackFog remettent en cause cette idée. Un incident de ransomware peut impliquer une exfiltration massive de données — les attaquants copiant des fichiers sensibles avant ou au lieu de chiffrer les systèmes — sans que l'organisation ne reconnaisse jamais officiellement les faits.
Plusieurs raisons peuvent pousser une entreprise à éviter une divulgation publique : l'incertitude quant à savoir si une brèche atteint les seuils légaux de notification, la volonté d'éviter une atteinte à la réputation, ou simplement une négociation discrète suivie d'un paiement qui règle la situation avant que les régulateurs ne s'en mêlent. Aucune de ces raisons ne fait disparaître le risque sous-jacent pour la vie privée. Si des dossiers clients, des données employés, des informations de santé ou financières ont été exposés pendant une attaque non divulguée, les personnes dont les données ont été dérobées courent les mêmes risques en aval — usurpation d'identité, fraude, hameçonnage ciblé — qu'un communiqué de presse ait été publié ou non.
C'est là que le débat sur les ransomwares rejoint de plus en plus celui sur la gestion des vulnérabilités. De nombreux opérateurs de ransomware s'introduisent initialement par le biais de failles logicielles non corrigées ou activement exploitées. Des agences comme la CISA continuent de signaler des vulnérabilités que des attaquants utilisent activement pour obtenir un accès élevé aux systèmes, notamment CVE-2026-31431, une faille d'accès root Linux exploitée dans la nature. Lorsque les entreprises tardent à corriger les vulnérabilités connues et exploitées, elles créent exactement le type de brèche qui conduit aux incidents de ransomware suivis par BlackFog, qu'ils soient divulgués ou non.
L'ampleur du problème non découvert
Si les attaques non divulguées deviennent plus fréquentes, c'est peut-être simplement à cause du volume considérable de failles exploitables dans les logiciels modernes. Des chercheurs utilisant des outils d'analyse assistés par IA ont récemment démontré à quel point cette surface d'attaque pouvait être vaste. Le projet Glasswing d'Anthropic, par exemple, a montré que son modèle Claude Mythos était capable d'identifier plus de 10 000 vulnérabilités de sévérité haute ou critique dans de grandes infrastructures logicielles. Avec autant de points d'entrée potentiels, il devient beaucoup plus facile de comprendre pourquoi les groupes de ransomware ne cessent de trouver de nouvelles organisations à cibler, et pourquoi tant d'intrusions ne remontent jamais à la surface.
Le rapport BlackFog renforce un constat que les chercheurs en protection de la vie privée et en sécurité répètent depuis des années : le bilan public de l'activité ransomware n'est probablement qu'une image partielle. Chaque attaque visible qui fait l'objet d'une couverture médiatique a sans doute son pendant réglé en privé, que ce soit par la restauration de sauvegardes, des accords négociés ou l'intervention d'équipes de réponse à incident travaillant loin des regards.
Ce que cela signifie pour vous
Pour les consommateurs, la hausse des attaques ransomware non divulguées rappelle que les notifications de brèche ne constituent pas un système d'alerte précoce complet. Vous ne recevrez peut-être jamais d'avis officiel indiquant que vos données ont été impliquées dans un incident, même si elles l'ont été. Cela ne signifie pas que vos informations sont automatiquement en sécurité ; cela signifie que les signaux habituels sur lesquels les gens s'appuient — courriels de notification de violation ou couverture médiatique — deviennent des indicateurs de risque moins fiables.
Pour les entreprises et les équipes informatiques, ce rapport plaide fortement en faveur d'une réduction de l'écart entre les vulnérabilités connues et les délais de correction, car un patching tardif est souvent le point d'entrée de ces intrusions silencieuses qui ne font jamais la une. C'est aussi une raison d'investir dans une surveillance spécifique de l'exfiltration de données, et non seulement du chiffrement par ransomware, dans la mesure où les attaquants dérobent de plus en plus les données même sans verrouiller les systèmes.
Garder une longueur d'avance sur les ransomwares dont vous n'entendrez peut-être jamais parler
Les conclusions du deuxième trimestre de BlackFog montrent clairement que les statistiques de signalement des ransomwares sous-estiment probablement l'ampleur réelle du problème, tant les attaques restent non divulguées. Plutôt que d'attendre un titre de presse ou une lettre de notification, il vaut la peine de faire de l'hygiène numérique une habitude continue plutôt qu'une réaction aux événements.
Quelques mesures concrètes à prendre dès maintenant : utilisez des mots de passe uniques et robustes avec un gestionnaire de mots de passe pour qu'une brèche chez un prestataire ne compromette pas vos autres comptes ; activez l'authentification multifacteur partout où elle est proposée ; surveillez régulièrement vos comptes financiers et de crédit pour détecter toute activité suspecte ; et envisagez de geler votre crédit si vous pensez que vos informations ont pu être exposées lors d'un incident, divulgué ou non. Pour les organisations, accorder la priorité à la gestion des correctifs pour les vulnérabilités activement exploitées et investir dans des outils détectant l'exfiltration de données — et pas seulement le chiffrement — peut contribuer à combler la brèche qu'exploitent actuellement les attaques ransomware non divulguées.
