Un écosystème de ransomwares en chute libre, pas en effondrement

Un nouveau rapport de Check Point Research montre que l'écosystème des ransomwares se fragmente plutôt qu'il ne se réduit, et que cette fragmentation rend la menace plus difficile à prévoir, pas plus facile à ignorer. La recherche a suivi un nombre record de 93 groupes de ransomwares actifs opérant au deuxième trimestre 2026, le chiffre le plus élevé jamais enregistré. Cette croissance a fait chuter la part de marché détenue par les dix principaux groupes à 57,6 %, un signe que les syndicats dominants et centralisés ne contrôlent plus autant l'économie criminelle qu'autrefois.

Parmi les groupes profilés, Check Point a mis en lumière l'ascension rapide d'un syndicat se faisant appeler « The Gentlemen », dont les chercheurs affirment qu'il s'appuie fortement sur des outils d'IA pour accélérer son infrastructure back-end. Plutôt que de construire des outils d'attaque et des plateformes de négociation à partir de zéro sur des mois, le groupe semble utiliser le développement assisté par IA pour mettre en place des opérations fonctionnelles en une fraction du temps nécessaire aux équipes de ransomwares plus anciennes.

Pourquoi plus de groupes signifie plus de risques, pas moins

On pourrait penser qu'un écosystème de ransomwares fragmenté, sans acteur dominant unique, serait un environnement plus sûr pour les victimes potentielles. Les données de Check Point suggèrent le contraire. Lorsqu'une poignée de grands syndicats contrôlait la majeure partie du marché, les défenseurs pouvaient concentrer leurs ressources sur le suivi d'un ensemble connu de tactiques, d'infrastructures et de schémas de négociation. Avec 93 groupes distincts désormais actifs, chacun avec ses propres outils, préférences de ciblage et style d'extorsion, la surface d'attaque collective à laquelle sont confrontées les entreprises et les particuliers est devenue bien plus diversifiée et plus difficile à profiler.

Cette décentralisation abaisse également la barrière à l'entrée pour les nouvelles opérations criminelles. Les modèles d'affiliation, les codes sources divulgués et désormais le développement assisté par IA signifient que des groupes plus petits ou plus récents peuvent lancer des campagnes de ransomwares crédibles sans les années d'investissement technique qui étaient auparavant nécessaires. C'est en partie ce qui a permis à un groupe comme The Gentlemen de grimper si rapidement dans les classements.

Des demandes de rançon en hausse malgré une conformité en baisse

L'économie des ransomwares évolue parallèlement à sa structure. Check Point a constaté que les montants moyens des paiements de rançon ont dépassé 680 000 $, même si la part des victimes prêtes à payer est tombée à environ 23 %, un plus bas en six ans. En d'autres termes, moins d'organisations paient, mais celles qui paient déboursent considérablement plus.

Cette pression pousse les opérateurs de ransomwares vers ce que la recherche décrit comme des tactiques « d'exfiltration d'abord » : voler des données sensibles avant même de déployer le chiffrement, puis menacer de les divulguer ou de les vendre, qu'une rançon soit payée ou non. Cette approche donne aux attaquants un levier même lorsqu'une victime refuse de payer ou dispose de systèmes de sauvegarde solides, car les dommages causés par des données exposées, des dossiers clients, des identifiants ou de la propriété intellectuelle, peuvent être tout aussi coûteux qu'un temps d'arrêt. Les identifiants volés lors de ces campagnes refont souvent surface plus tard dans des combolists et des marchés du dark web, le type d'exposition documenté dans la fuite de combolist Microsoft 42, où des enregistrements de connexion précédemment volés ont fini par circuler ouvertement en ligne.

Une infrastructure accélérée par l'IA change la donne

Ce qui distingue The Gentlemen dans l'analyse de Check Point n'est pas seulement la croissance, mais la vitesse. Les outils assistés par IA semblent comprimer le cycle de développement de l'infrastructure back-end des ransomwares, les serveurs, les portails de négociation et les sites de fuite de données qui soutiennent une opération d'extorsion. Un travail qui demandait autrefois aux développeurs qualifiés des semaines ou des mois peut désormais être prototypé et déployé beaucoup plus rapidement, permettant aux nouveaux groupes de concurrencer les acteurs établis presque immédiatement après leur formation.

Cela reflète un schéma plus large que les chercheurs ont signalé dans la cybercriminalité en général : les acteurs menaçants adoptent des outils de productivité et d'automatisation grand public pour étendre des opérations qui nécessitaient auparavant des équipes plus importantes. Des gains d'efficacité similaires sont apparus dans d'autres campagnes, y compris les opérations de malware comme celle détaillée dans le malware d'installateur MSI ciblant les traders de crypto, qui s'appuyait sur des raccourcis techniques simples mais efficaces pour passer inaperçu pendant des mois.

Ce que cela signifie pour vous

Pour la plupart des particuliers, les gros titres sur les ransomwares peuvent sembler lointains, quelque chose qui arrive aux hôpitaux, aux administrations municipales ou aux grandes entreprises. Mais le changement vers l'exfiltration d'abord signifie que les données personnelles collectées par toute organisation avec laquelle vous interagissez, votre employeur, votre prestataire de soins de santé, votre banque ou un service en ligne, sont de plus en plus une cible même si cette organisation n'est jamais frappée par un malware de chiffrement au sens traditionnel. Un écosystème de ransomwares en croissance avec 93 groupes actifs signifie également que les chances qu'un fournisseur ou un service que vous utilisez soit ciblé au cours d'une année donnée augmentent, pas diminuent.

Pour les entreprises et les équipes informatiques, le taux de conformité des paiements en baisse combiné à des demandes de rançon en hausse signale que les attaquants s'attendent à des paiements moins nombreux, mais plus importants. Cela rend les sauvegardes hors ligne robustes, les contrôles d'accès stricts et la détection précoce de l'exfiltration de données plus importants que jamais, car le chiffrement n'est souvent plus le principal levier utilisé par les attaquants pour extorquer des paiements.

Points à retenir concrets

  • Supposons que tout service traitant vos données personnelles puisse être ciblé par des ransomwares d'exfiltration d'abord, pas seulement par des attaques de chiffrement traditionnelles.
  • Utilisez des mots de passe uniques et forts ainsi qu'un gestionnaire de mots de passe afin qu'un seul ensemble d'identifiants divulgué ne compromette pas plusieurs comptes.
  • Activez l'authentification multifacteur partout où elle est proposée, en particulier sur les portails financiers, de messagerie et de santé.
  • Si vous gérez ou conseillez une entreprise, privilégiez les sauvegardes hors ligne et la surveillance de la prévention des pertes de données plutôt que la planification de négociation de rançons.
  • Surveillez périodiquement vos e-mails et comptes par rapport aux bases de données de fuites connues, car les identifiants volés lors de violations par ransomwares refont souvent surface dans des combolists.

L'essor de « The Gentlemen » et la fragmentation plus large documentée par Check Point Research ce trimestre montrent que l'écosystème des ransomwares évolue plus vite que de nombreuses défenses n'ont été conçues pour le gérer. Rester informé sur le fonctionnement de ces groupes et prendre les précautions de base au sérieux reste le moyen le plus pratique de garder une longueur d'avance sur un paysage de menaces qui ne cesse de s'intensifier.