Les attaques de ransomware sont en baisse, mais la menace s’affûte

Un nouveau rapport trimestriel de la société de sécurité Halcyon délivre un message mitigé pour ceux qui suivent les tendances des ransomwares : le volume global des attaques diminue, mais les techniques utilisées lors des attaques qui réussissent deviennent significativement plus difficiles à détecter et à arrêter. Le principal constat est que les groupes de ransomware ont de plus en plus recours aux techniques dites de « neutralisation de l’EDR », c’est-à-dire des méthodes permettant de désactiver les logiciels de détection et de réponse sur les terminaux (EDR) avant de déployer le malware de chiffrement des fichiers.

Les outils EDR sont les logiciels de sécurité sur lesquels de nombreuses organisations s’appuient pour repérer les comportements suspects sur les ordinateurs portables, les serveurs et les postes de travail avant qu’ils ne se transforment en une compromission de grande ampleur. Lorsque les attaquants peuvent discrètement éteindre ou aveugler ces logiciels au préalable, ils gagnent du temps pour se déplacer à travers le réseau, voler des données et chiffrer des systèmes avec beaucoup moins de risques d’être détectés en pleine attaque.

D’une technique de spécialiste à une pratique courante

D’après les données du T2 2026 de Halcyon, ce qui était autrefois considéré comme une capacité de niche, hautement technique et réservée aux groupes de ransomware les plus sophistiqués est désormais devenu une étape courante de la chaîne d’attaque. Désactiver ou contourner la sécurité des terminaux n’est plus l’exception ; cela devient de plus en plus la norme pour les groupes qui mènent des opérations modernes de ransomware.

Ce changement est important parce que l’EDR constitue l’une des principales couches de défense dans lesquelles les organisations investissent pour détecter les intrusions à un stade précoce. Si la désactivation de cette couche devient une étape standard et reproductible plutôt qu’une technique rare et sur mesure, la barrière de compétence s’abaisse, permettant à des groupes moins sophistiqués d’obtenir le même résultat que les opérateurs de premier plan. Cela signifie également que les signes de compromission traditionnels, comme le déclenchement d’une alerte EDR, peuvent tout simplement ne jamais apparaître, privant les équipes de sécurité d’un avertissement avant le vol de données ou le verrouillage des systèmes.

L’ironie soulignée par le rapport de Halcyon est que cela se produit alors même que le nombre brut d’attaques de ransomware diminue. Moins d’incidents ne signifie pas nécessairement moins de risques. Cela peut signifier que les attaques qui surviennent encore sont plus ciblées, mieux dotées en ressources et plus difficiles à arrêter une fois lancées, car les attaquants qui les mènent ont adapté leurs méthodes spécifiquement pour neutraliser les outils sur lesquels les défenseurs comptent le plus.

Pourquoi cela importe pour la vie privée, et pas seulement pour la sécurité informatique

Il est tentant de considérer les techniques de neutralisation de l’EDR comme un problème purement technique, un souci d’arrière-guichet pour les services informatiques. Mais les conséquences retombent directement sur les personnes ordinaires dont les données se trouvent dans les organisations ciblées. Les attaques par ransomware ne se limitent aujourd’hui que rarement au chiffrement ; les groupes exfiltrent couramment les fichiers sensibles au préalable et menacent de les divulguer si la rançon n’est pas payée. Lorsque les attaquants peuvent désactiver les outils de détection et opérer sans être dérangés plus longtemps, ils disposent de davantage de temps pour localiser et copier précisément les données qui comptent le plus : les dossiers clients, les fichiers du personnel, les documents financiers et les informations commerciales confidentielles.

Le cas récent du ransomware Gentlemen frappant Soja de Portugal, qui a entraîné la fuite de 491 Go de données sensibles de l’entreprise, illustre clairement comment ces attaques se traduisent par une exposition réelle pour les individus comme pour les entreprises. Que cet incident spécifique ait impliqué ou non un contournement de l’EDR, il montre l’ampleur des données qui peuvent être dérobées dès que les attaquants prennent pied et sont en mesure d’opérer avec un minimum d’interférences.

Ce que cela signifie pour vous

Pour la plupart des lecteurs, ce n’est pas un appel à la panique, mais un rappel que les présupposés sur lesquels reposent la sécurité de nombreuses organisations sont en train de changer. Si vous travaillez dans l’informatique ou la sécurité, les conclusions de Halcyon soulignent que l’EDR ne peut plus être considéré à lui seul comme un système d’alerte précoce garanti ; les défenses en couches, la surveillance réseau et la planification de la réponse rapide sont plus importantes que jamais. Si vous êtes un particulier dont les données personnelles sont détenues par des entreprises, des écoles, des prestataires de soins de santé ou des plateformes de services, cette tendance vous rappelle qu’une violation chez l’une de ces organisations pourrait exposer vos informations avec moins d’alerte préalable que par le passé, car les attaquants s’améliorent dans l’art d’opérer silencieusement.

Mesures concrètes à retenir

Quelques mesures pratiques peuvent vous aider, quel que soit votre rôle :

  • Si vous gérez une infrastructure de sécurité, ne vous fiez pas uniquement aux alertes EDR ; combinez-les avec une surveillance au niveau du réseau et des exercices sur table réguliers qui partent du principe que les outils de détection pourraient être désactivés.
  • Encouragez et soutenez les politiques de sécurité qui incluent des sauvegardes hors ligne, car les groupes de ransomware qui réussissent à désactiver l’EDR ont souvent plus de temps pour s’en prendre également aux systèmes de sauvegarde.
  • En tant que particulier, utilisez des mots de passe uniques et activez l’authentification multifacteur partout où vos données sont stockées, afin que même si une entreprise à laquelle vous faites confiance subit une violation, vos autres comptes restent protégés.
  • Surveillez les notifications de violation de la part des entreprises avec lesquelles vous traitez, et agissez rapidement sur toute recommandation de changement de mot de passe ou offre de surveillance de crédit.

Les ransomwares sont peut-être en baisse en chiffres bruts, mais la sophistication des techniques de neutralisation de l’EDR signifie que les attaques qui se produisent réellement comportent plus de risques pour les données qu’elles touchent. Rester informé de l’évolution de ces menaces est l’un des moyens les plus simples de garder une longueur d’avance.