Les gangs de ransomware laissent le bureau d’angle de côté

Pendant des années, les formations de sensibilisation à la sécurité se sont concentrées sur la protection du PDG, du directeur financier et des autres membres de la direction contre les attaques ciblées. De nouvelles recherches suggèrent que les opérateurs de ransomware sont passés à autre chose. Selon les données de l’équipe de recherche ThreatLabz de Zscaler, les attaquants ciblent de plus en plus les cadres intermédiaires de l’informatique et des métiers, avec un âge moyen des victimes de 46 ans, plutôt que de concentrer leurs efforts sur les hauts dirigeants.

Ces conclusions proviennent de l’analyse d’une seule campagne de ransomware ayant examiné 351 victimes. Sur ce groupe, 62 % occupaient un poste de niveau manager ou supérieur, en particulier des fonctions disposant d’une autorité sur les paiements et les décisions financières. Ce détail a son importance. Le ransomware ne fonctionne comme modèle économique que si une personne ayant le pouvoir d’approuver un paiement ressent une pression suffisante pour le faire. Les attaquants semblent avoir conclu qu’un manager de niveau intermédiaire qui contrôle les approbations budgétaires, les contrats fournisseurs ou l’infrastructure informatique représente souvent un chemin plus rapide vers le versement qu’un PDG éloigné de plusieurs strates des décisions de paiement quotidiennes.

Pourquoi les responsables informatiques constituent la cible idéale

Le basculement vers les cadres intermédiaires reflète un changement dans la manière dont les attaquants planifient leurs opérations. Plutôt que d’envoyer en masse des courriels d’hameçonnage génériques en espérant que quelque chose prenne, les données de ThreatLabz indiquent que ces campagnes impliquent de cartographier à l’avance la structure de l’organisation. Les attaquants identifient qui occupe quelle position dans l’organigramme, qui dispose d’une autorité de paiement et qui a un accès technique suffisant pour causer de réels dégâts en cas de compromission. Ce travail de renseignement leur permet de construire des approches d’ingénierie sociale personnalisées visant un type d’employé très spécifique : une personne suffisamment haut placée pour avoir de l’importance, mais pas assez pour être entourée de couches d’assistants et de protocoles de sécurité.

Cette approche s’inscrit dans une tendance plus large abordée dans un article connexe sur une campagne de ransomware ciblant des managers dans deux tiers des cas, qui a également constaté que le personnel d’encadrement, et non les cadres dirigeants, constituait la majorité des victimes lors d’un incident distinct. Ensemble, ces rapports suggèrent une stratégie délibérée plutôt qu’une coïncidence. Les responsables informatiques et les chefs de service possèdent souvent exactement le mélange d’accès et d’autorité que recherchent les opérateurs de ransomware : des identifiants administratifs, la connaissance des systèmes de sauvegarde et la capacité à autoriser un paiement sans avoir besoin de l’aval de toute l’équipe dirigeante.

L’angle vie privée que la plupart des couvertures médiatiques omettent

Ce qui rend cette évolution notable du point de vue de la vie privée, c’est à quel point le ciblage repose sur des informations accessibles au public. Construire un organigramme précis, identifier les intitulés de poste et déterminer qui contrôle les paiements oblige généralement les attaquants à extraire des données de réseaux professionnels, d’annuaires d’entreprise, de communiqués de presse et parfois de courtiers en données. Plus le profil public d’un employé est détaillé, plus il devient facile pour un attaquant de concevoir un prétexte convaincant.

C’est également là que le ransomware rencontre le marché croissant des accès professionnels volés. Une partie des renseignements organisationnels utilisés pour planifier un message d’hameçonnage ciblé peut provenir d’identifiants compromis ou de droits d’accès vendus sur des forums criminels, une dynamique explorée dans un rapport sur un hacker russe qui vendait des accès professionnels volés tout en espionnant l’Ukraine. Dès lors qu’un attaquant dispose d’un point d’ancrage ou d’un profil d’employé détaillé, il devient bien plus facile d’adapter un appât de ransomware à un manager spécifique qu’à l’époque des campagnes d’hameçonnage de masse.

Ce que cela signifie pour vous

Si vous travaillez dans la gestion informatique, les opérations ou tout poste disposant d’une autorité sur les paiements ou les systèmes, cette recherche suggère que vous pourriez être une cible plus attrayante que vous ne le pensiez. Quelques mesures pratiques peuvent réduire votre exposition :

  • Vérifiez ce que votre employeur, votre profil LinkedIn ou votre biographie professionnelle révèlent sur vos responsabilités précises et votre niveau d’accès.
  • Traitez avec une attention particulière les messages inattendus qui font référence à votre fonction, à votre autorité budgétaire ou à vos systèmes internes, même s’ils semblent provenir d’un contact ou d’un fournisseur connu.
  • Confirmez toute demande de paiement ou de modification de système par un canal vérifié distinct avant d’agir, quelle que soit l’urgence apparente du message.
  • Faites pression pour une planification de la réponse aux incidents et des sauvegardes à l’échelle de l’organisation, plutôt que de supposer que les attaquants viseront toujours l’équipe dirigeante. Le manuel du ransomware à multi-extorsion désormais courant en 2026 montre que les sauvegardes seules ne sont plus un filet de sécurité garanti.

L’essentiel

Les opérateurs de ransomware peaufinent leur ciblage de la même manière que les marketeurs légitimes : en identifiant qui détient réellement le pouvoir de décision et en le contactant directement. Les conclusions de Zscaler ThreatLabz montrent clairement que les cadres intermédiaires de l’informatique et des métiers, et pas seulement les hauts dirigeants, se trouvent désormais en pleine ligne de mire. Les organisations de taille modeste qui ne disposent pas d’équipes de sécurité dédiées sont particulièrement exposées, ce qui explique pourquoi des ressources comme le guide ransomware 2026 conçu pour les PME méritent d’être consultées, quelles que soient la taille de l’entreprise ou sa localisation.

Le message à retenir n’est pas de paniquer, mais de reconnaître que l’intitulé de poste et le niveau d’accès fonctionnent désormais comme une sorte de profil cible. Réduire votre empreinte publique, vérifier les demandes inhabituelles et faire pression pour une planification plus solide de la réponse organisationnelle sont des mesures pratiques et atteignables que tout manager peut commencer à prendre dès aujourd’hui.