Un nouveau classement des ransomwares pour le T2 2026

Les ransomwares n'ont pas ralenti, ils ont simplement renouvelé leurs têtes d'affiche. Un nouveau rapport de la société de renseignement sur les menaces Brandefense identifie les cinq principaux groupes de ransomwares qui dominent le deuxième trimestre 2026 : Qilin, TheGentlemen, Akira, DragonForce et LockBit5. Fondée sur le propre suivi de la cyber threat intelligence (CTI) de Brandefense, cette analyse donne aux équipes de sécurité comme aux utilisateurs quotidiens un aperçu des groupes actuellement les plus actifs et, par extension, des organisations et individus les plus susceptibles d'en subir les conséquences.

Si les noms de cette liste vous sembleront familiers si vous suivez l'actualité des ransomwares depuis quelques années, leur persistance en dit long : les démantèlements et la pression des forces de l'ordre éliminent rarement totalement ces opérations. Au contraire, les marques se reconstruisent, les affiliés migrent vers de nouvelles plateformes et le modèle du ransomware-as-a-service (RaaS) continue de produire de nouvelles campagnes sous des noms anciens ou rebaptisés. LockBit5 constitue un exemple clair de franchise qui refait surface en dépit des précédentes tentatives de perturbation.

Les cinq groupes derrière les chiffres

Chacun des cinq groupes suivis par Brandefense opère avec son propre réseau d'affiliés, ses cibles privilégiées et son style de négociation, mais ils partagent le même schéma qui définit désormais le ransomware moderne : obtenir un accès, exfiltrer des données, chiffrer les systèmes et pousser les victimes à payer avant que les informations ne fuitent ou que les opérations ne s'arrêtent.

C'est là que les implications pour la vie privée deviennent impossibles à ignorer. Aujourd'hui, le ransomware va rarement se limiter à des fichiers verrouillés. Les groupes s'appuient de plus en plus sur le vol de données comme levier, et certains sont même allés plus loin dans ce que l'on appelle la triple extorsion, en ajoutant des tactiques de pression supplémentaires comme le contact direct avec les clients ou les partenaires de la victime. Si vous souhaitez examiner de plus près la manière dont cette escalade fonctionne en pratique, notre précédent article sur la triple extorsion par ransomware détaille exactement comment les attaquants transforment des données volées en arme au-delà d'une simple demande de rançon.

Tous les groupes ne suivent pourtant pas la même recette. Certaines campagnes sont même revenues à des approches de chiffrement pur, sans aucune composante de vol de données, une variante que nous avons couverte dans notre rapport sur le retour de Jadepuffer au ransomware sans vol de données. La diversité parmi les cinq groupes en tête du classement Brandefense au T2 2026 reflète cette même réalité : il n'y a plus de modèle unique de ransomware, seulement une boîte à outils partagée que différents opérateurs mélangent et assemblent selon leurs besoins.

Pourquoi la vie privée est le véritable champ de bataille

Le point commun à presque toutes les opérations de ransomware de premier plan actuellement est l'accès initial. Les attaquants ont rarement besoin d'écrire des exploits inédits quand des identifiants volés font l'affaire. Des analyses récentes du secteur ont montré que les identifiants compromis dépassent désormais les vulnérabilités logicielles comme point d'entrée privilégié des ransomwares, un basculement que nous avons détaillé dans notre couverture des conclusions de Sophos sur les identifiants compromis. Parallèlement à cette tendance, les logiciels infostealers sont devenus une chaîne d'approvisionnement discrète mais cruciale pour les attaquants, qui récoltent en masse des identifiants qui refont ensuite surface dans les intrusions menées par ces groupes de ransomware. Notre article expliquant comment les journaux d'infostealers dépassent le phishing comme première cause de violation décrypte le fonctionnement de cette filière.

Cela compte pour la vie privée, car cela redéfinit le ransomware comme un problème fondamental de protection des identifiants et des données, et non plus seulement de sécurité des terminaux. Chaque mot de passe réutilisé entre plusieurs comptes, chaque jeton de session laissé exposé sur un appareil infecté, devient une potentielle tête de pont que des groupes comme Qilin, Akira ou DragonForce peuvent exploiter. Les victimes ne se limitent pas non plus aux grandes entreprises ; lorsque les groupes de ransomware exfiltrent des données avant de les chiffrer, les informations personnelles des employés, des clients et des patients se retrouvent souvent intégrées au levier de pression, que la rançon soit payée ou non.

Ce que cela signifie pour vous

La plupart des lecteurs ne défendront pas directement un réseau d'entreprise contre LockBit5 ou TheGentlemen, mais les conséquences indirectes touchent tout le monde. Si une entreprise avec laquelle vous faites affaire est frappée par l'un de ces groupes, vos données personnelles, qu'il s'agisse d'identifiants de compte ou de détails financiers, pourraient être exposées ou divulguées dans le cadre du processus d'extorsion. Certaines victimes, comme on l'a vu dans des incidents passés tels que le refus de Stadler Rail de payer une demande de rançon, choisissent de ne pas payer, ce qui signifie que les données volées peuvent être publiées quel que soit le résultat.

La leçon pratique à en tirer est que la défense contre les ransomwares commence de plus en plus par une hygiène de base des identifiants, tant pour les organisations que pour les particuliers. Des mots de passe uniques et solides, l'authentification multifacteur et la vigilance face aux logiciels infostealers (souvent diffusés via des logiciels piratés ou des téléchargements malveillants) réduisent les risques de devenir un point d'entrée pour ces groupes.

Mesures concrètes à adopter

  • Partez du principe que tout compte réutilisé sur plusieurs services constitue un risque ; les gangs de ransomwares achètent ou collectent de plus en plus des identifiants plutôt que de forcer leur entrée.
  • Activez l'authentification multifacteur partout où elle est proposée, car les identifiants compromis restent le principal point d'entrée de ces attaques.
  • Soyez attentif aux notifications de violation de la part de toute organisation avec laquelle vous interagissez, et prenez-les au sérieux compte tenu de la fréquence à laquelle les données volées deviennent une monnaie d'échange dans une négociation de ransomware.
  • Tenez-vous informé des groupes de ransomwares actuellement actifs, car connaître le paysage aide les organisations comme les particuliers à anticiper les risques plutôt qu'à réagir après coup.

Le paysage des ransomwares au T2 2026, tel que cartographié par Brandefense, confirme que cette menace ne disparaît pas, elle évolue. Pour garder une longueur d'avance, il faut prêter attention à la façon dont ces groupes opèrent, et pas seulement à leurs noms.