Attaque Ransomware : Chiffres 2026, Groupes Actifs et Cas Récents en France

Une attaque ransomware chiffre les fichiers d’une organisation, vole une copie des données, puis exige un paiement pour rendre l’accès et ne pas publier ce qui a été dérobé. En 2026, la menace n’a pas faibli : elle s’est concentrée sur quelques groupes très organisés, et les petites structures restent les victimes les plus fréquentes.

En trois chiffres :

• 128 attaques par rançongiciel traitées par l’ANSSI en France en 2025, contre 141 en 2024.
• 4 641 victimes revendiquées dans le monde au premier semestre 2026, selon Bitdefender.
• Qilin, premier groupe en France comme dans le monde depuis plus d’un an.

L’attaque ransomware en 2026 : où en est-on ?

Les chiffres semblent se contredire, et c’est normal. Ils ne mesurent pas la même chose.

L’ANSSI compte les incidents qu’elle a traités ou qui lui ont été signalés. Dans son panorama publié en mars 2026, elle relève 128 attaques en France sur l’année 2025, un léger recul par rapport à 2024. L’agence l’attribue en partie aux opérations policières internationales, en particulier Operation Endgame, qui a démantelé une partie des outils utilisés par les attaquants et semé la méfiance entre criminels.

Les éditeurs de sécurité, eux, comptent les victimes affichées sur les sites de fuite des groupes criminels. Là, la courbe monte. Bitdefender recense 131 organisations françaises citées entre janvier et juin 2026, ce qui place la France au sixième rang mondial. Au niveau mondial, on passe de 4 381 victimes au premier semestre 2025 à 4 641 un an plus tard.

Les deux lectures sont vraies. Moins d’incidents graves remontent aux autorités, mais davantage d’entreprises voient leur nom exposé, souvent après un simple vol de données sans chiffrement.

Les groupes qui dominent

Le marché du rançongiciel fonctionne comme une franchise. Un groupe développe le logiciel et l’infrastructure, des « affiliés » mènent les intrusions et touchent la plus grande part de la rançon. C’est le modèle RaaS, pour Ransomware-as-a-Service.

Qilin, la tête de série

Qilin occupe la première place depuis le printemps 2025. En France, l’ANSSI lui attribue 21 % des attaques de 2025. Le groupe est derrière la paralysie des lycées des Hauts-de-France en octobre 2025, avec plus d’un téraoctet de données revendiqué, et derrière l’attaque de la mairie de Quiberon en mai 2026.

Akira, The Gentlemen, DragonForce, LockBit

Akira arrive deuxième en France avec 9 % des cas en 2025. Le groupe exploite régulièrement des failles de VPN d’entreprise. The Gentlemen est l’apparition la plus brutale de l’année : quasiment inconnu fin 2025, il se classe deuxième au niveau mondial dès le premier trimestre 2026.

LockBit, que beaucoup croyaient fini après l’opération Cronos de 2024, est revenu avec une version 5.0. Il ne pèse plus ce qu’il pesait, mais il reste dans le top 5.

Selon Check Point, les dix groupes les plus actifs concentraient 71 % des victimes publiées au premier trimestre 2026. Le paysage se resserre autour de quelques acteurs très rodés.

Pourquoi les PME et les mairies sont en première ligne

Les grands groupes ont des équipes de sécurité, des contrats de réponse à incident et des budgets dédiés. Une PME de 40 salariés ou une commune de 5 000 habitants a souvent un seul informaticien, parfois un prestataire qui passe une fois par mois. Les attaquants le savent.

L’ANSSI le répète d’une année sur l’autre : TPE, PME et ETI représentent une part importante des victimes qu’elle accompagne, avec les collectivités juste derrière. Ce ne sont pas des cibles choisies. Ce sont des cibles trouvées, parce qu’un serveur exposé ou un compte sans double authentification est apparu dans un scan automatique.

La rançon demandée s’adapte à la taille de la victime. Quelques dizaines de milliers d’euros pour une petite structure, ce qui paraît « raisonnable » face à des semaines d’arrêt. C’est précisément ce calcul que les groupes encouragent.

Les conséquences dépassent pourtant largement la rançon : production à l’arrêt, factures impossibles à émettre, clients à prévenir, données personnelles à déclarer. Pour une petite entreprise, la reconstruction du système informatique coûte souvent plus cher que la somme réclamée.

Comment les attaquants entrent

Les rapports de 2026 convergent sur deux portes d’entrée principales.

Les identifiants volés

Un mot de passe récupéré par un logiciel espion sur le PC personnel d’un salarié suffit souvent. Les attaquants l’achètent à des « courtiers d’accès », puis se connectent comme n’importe quel employé. Sans authentification à deux facteurs, rien ne les arrête.

Les équipements exposés sur Internet

VPN, pare-feu, passerelles de messagerie : ces appareils sont visibles depuis Internet et rarement mis à jour assez vite. Dès qu’une faille est publiée, des scans automatisés cherchent les équipements non corrigés. Quelques jours suffisent.

Le chiffrement devient presque secondaire

Beaucoup de groupes se contentent désormais de voler les données et de menacer de les publier. C’est plus rapide, plus discret, et cela contourne les sauvegardes. Une entreprise capable de tout restaurer reste exposée au chantage sur ses fichiers clients.

Quand le chiffrement a lieu, il vise en priorité les serveurs de virtualisation (VMware ESXi). Un seul hôte touché peut faire tomber des dizaines de machines virtuelles d’un coup.

Ce qui a changé par rapport à 2025

Trois cas qui résument la menace

Les lycées des Hauts-de-France (octobre 2025)

Le 10 octobre 2025, environ 80 % des lycées publics de la région perdent l’accès à leur réseau. Qilin revendique l’attaque et le vol d’un téraoctet de données. Les spécialistes y voient une attaque opportuniste : les attaquants ont trouvé une porte ouverte, ils sont entrés. La cible n’avait rien de stratégique, et c’est justement ce qui inquiète.

La mairie de Quiberon (mai 2026)

Le dimanche 3 mai 2026, le système informatique de cette commune bretonne de moins de 5 000 habitants est chiffré. Qilin revendique l’opération quelques jours plus tard. Plusieurs services municipaux restent difficiles à joindre pendant des jours. Comme beaucoup de collectivités, Quiberon disposait de moyens informatiques limités face à un groupe professionnel.

Synnovis, le cas qui a changé le regard

L’attaque de juin 2024 contre ce laboratoire d’analyses londonien, là encore signée Qilin, a bloqué les résultats sanguins de plusieurs hôpitaux. En 2025, le King’s College Hospital a confirmé qu’un patient était mort en partie à cause des retards de soins provoqués. Le ransomware n’est plus seulement une affaire d’argent.

Payer la rançon : ce que dit le droit français

Payer n’est pas interdit en France. L’ANSSI et les forces de l’ordre le déconseillent pourtant fermement, pour des raisons simples.

Rien ne garantit que la clé de déchiffrement fonctionne, ni que les données volées seront supprimées. Plusieurs entreprises ont payé puis retrouvé leurs fichiers en vente quelques mois plus tard. Payer finance aussi le recrutement de nouveaux affiliés et désigne la victime comme une cible rentable. Certaines organisations sont attaquées une deuxième fois dans l’année.

Depuis la loi LOPMI de 2023, un assureur ne peut rembourser une rançon que si la victime a déposé plainte dans les 72 heures après avoir découvert l’attaque. Ce délai est court, et beaucoup de dirigeants l’ignorent jusqu’au jour où ils en ont besoin.

Dernier point de vigilance : certains groupes figurent sur des listes de sanctions européennes ou américaines. Un paiement à ces groupes peut exposer l’entreprise à des poursuites, en plus de la perte financière.

Les premières heures après une attaque

Les réflexes des deux premières heures pèsent lourd sur la suite. Voici l’ordre que recommandent les équipes de réponse à incident.

Isoler sans éteindre

Débranchez les câbles réseau et coupez le Wi-Fi des machines touchées. Évitez en revanche de les éteindre : la mémoire vive contient parfois des traces utiles à l’enquête, voire des clés de chiffrement.

Garder une trace de tout

Photographiez les messages de rançon, notez l’heure des premiers symptômes, conservez les journaux. Ces éléments serviront pour la plainte, l’assureur et, le cas échéant, la notification à la CNIL si des données personnelles ont été volées.

Prévenir les bonnes personnes

Direction, prestataire informatique, assureur, puis gendarmerie ou police pour la plainte. Une collectivité ou un établissement de santé doit aussi signaler l’incident à l’ANSSI. Si des données personnelles sont concernées, la CNIL doit être notifiée dans les 72 heures.

Ne pas restaurer trop vite

Restaurer les sauvegardes avant d’avoir compris par où l’attaquant est entré revient souvent à le laisser revenir. Il faut d’abord fermer la porte, changer les mots de passe des comptes à privilèges, puis reconstruire.

Se protéger : l’ordre des priorités

Inutile de tout faire en même temps. Voici ce qui bloque le plus d’attaques pour le moins d’efforts.

1. La double authentification partout où c’est possible

Messagerie, VPN, accès distants, console d’administration. C’est la mesure qui neutralise le plus grand nombre d’intrusions par identifiants volés.

2. Corriger vite ce qui est exposé

Listez les équipements visibles depuis Internet et appliquez leurs correctifs en priorité, dans les jours qui suivent leur publication. Un VPN non mis à jour est la porte d’entrée préférée d’Akira.

3. Une sauvegarde que l’attaquant ne peut pas toucher

Une copie déconnectée ou immuable, testée régulièrement. Si vous vous demandez comment l’organiser, notre guide sur la sauvegarde hors ligne détaille la méthode 3-2-1-1.

4. Une détection qui voit les comportements

Un antivirus classique repère les fichiers connus. Les attaquants, eux, utilisent souvent des outils d’administration légitimes. Pour une PME, un EDR change la donne. Nous comparons les deux approches dans notre article EDR vs antivirus.

5. Savoir qui appeler

En cas d’attaque, ne payez pas dans la précipitation et ne redémarrez pas tout. Isolez les machines, puis contactez un prestataire spécialisé. Le dispositif public Cybermalveillance.gouv.fr oriente les particuliers, les PME et les collectivités vers des professionnels référencés.

Et pour un particulier ?

Les groupes cités ici visent les organisations, pas les foyers. Un particulier croise plutôt des rançongiciels « grand public », diffusés par des pièces jointes piégées ou des logiciels piratés.

Les règles restent proches : un compte sans droits administrateur au quotidien, un système à jour, une sauvegarde externe débranchée après usage. Un bon antivirus gratuit complète l’ensemble, comme nous l’expliquons dans faut-il encore un antivirus.