Rapport 2026 de Black Kite sur les rançongiciels dans la fabrication & la distribution : la fabrication reste la cible principale des rançongiciels

Black Kite’s Rapport 2026 sur les rançongiciels dans la fabrication & la distribution : toujours la cible n°1, mais le profil des victimes a migré vers le bas de gamme et à l’étrangers constate que la pression des rançongiciels sur les fabricants n’augmente pas seulement, mais change de forme. Le groupe de recherche Black Kite a analysé des milliers d’incidents de rançongiciels publiquement divulgués de 2023 à juillet 2026, ainsi que les données d’exposition externe actuelles provenant des principaux fabricants et entreprises de distribution. Ses conclusions indiquent un paysage de menaces qui s’étend géographiquement, se déplace vers les entreprises de taille moyenne et devient de plus en plus capable de transformer une seule entreprise compromise en une perturbation beaucoup plus importante de la chaîne d’approvisionnement.

La fabrication continue de se démarquer

La fabrication est restée l’industrie la plus ciblée par Black Kite pendant cinq années consécutives, et le rythme des attaques continue de s’accélérer.

Les sept premiers mois de 2026 ont enregistré 1 183 victimes de rançongiciels dans la fabrication, déjà plus que le total enregistré pendant toute l’année 2023 ou 2024. Comparé à la même période l’année précédente, les attaques ont augmenté d’environ 40 %.

Cette persistance est particulièrement notable parce que la fabrication a continué de croître en tant que cible même pendant les périodes où les actions des forces de l’ordre ont perturbé certains des plus grands opérateurs de l’écosystème des rançongiciels.

L’attrait est relativement simple. Contrairement aux attaques contre des entreprises où les opérations peuvent parfois se poursuivre pendant la restauration des systèmes informatiques, une cyberattaque contre un fabricant peut interrompre la production physique. Les expéditions manquées, les travailleurs inactifs, les pénalités contractuelles et les clients perturbés augmentent rapidement la pression financière sur la victime.

Cette même dynamique rend la fabrication particulièrement précieuse pour les groupes d’extorsion. Chaque heure pendant laquelle une chaîne de production reste hors ligne peut renforcer la position de négociation de l’attaquant.

La victime typique devient plus petite

Les attaques très médiatisées contre les grands fabricants mondiaux dominent souvent les gros titres, mais les données de Black Kite suggèrent que le centre de l’activité des rançongiciels se situe beaucoup plus bas sur le marché.

La victime médiane du secteur manufacturier dans l’ensemble de données génère 42,9 millions de dollars de chiffre d’affaires annuel. Les entreprises dont le chiffre d’affaires se situe entre 10 millions et 100 millions de dollars représentaient environ 70 % des victimes dont le revenu était connu en 2026.

Les grandes entreprises restent des cibles, mais leur part dans l’ensemble des incidents a diminué à mesure que les attaquants s’enfoncent davantage dans le marché intermédiaire.

Ce changement est important car bon nombre de ces entreprises ne sont pas des entités isolées. Les fabricants de taille moyenne fournissent souvent des composants, équipements, produits chimiques, électroniques, produits alimentaires et d’autres intrants à des organisations beaucoup plus grandes.

En conséquence, une attaque contre un fournisseur relativement inconnu peut devenir un problème de continuité d’activité pour des entreprises plusieurs fois plus grandes.

La pression est également largement répartie dans le secteur manufacturier. Les machines représentaient le plus grand sous‑secteur individuel dans l’ensemble de données de Black Kite, mais les métaux fabriqués, les équipements de transport, les produits chimiques, l’électronique et la fabrication alimentaire représentaient tous des parts significatives des incidents. Aucun créneau unique ne domine le paysage des menaces.

Les rançongiciels deviennent plus mondiaux

La répartition géographique des rançongiciels dans la fabrication évolue presque aussi rapidement que le profil des victimes.

Les États‑Unis restent une source majeure d’incidents divulgués, mais leur part des victimes manufacturières mondiales a fortement chuté en 2026. Cette baisse n’est pas principalement due à la disparition des attaques contre les entreprises américaines. Au contraire, l’activité des rançongiciels s’est développée beaucoup plus rapidement ailleurs.

Les victimes manufacturières européennes ont augmenté de plus de 85 % sur la même période en 2026, l’Allemagne enregistrant le total le plus élevé de la région. L’Italie, le Royaume‑Uni, la France, l’Espagne, la Turquie et la Pologne ont également connu des augmentations importantes.

Cela est particulièrement important dans les économies où la fabrication représente une part significative de la production industrielle et de l’emploi. Une attaque réussie peut donc avoir des conséquences qui dépassent le bilan d’une seule entreprise.

Le déplacement géographique est également influencé par les nouveaux groupes de rançongiciels. Les Gentlemen, par exemple, ne sont apparus dans l’ensemble de données de Black Kite qu’à la fin de 2025, mais sont rapidement devenus l’un des opérateurs les plus actifs ciblant les fabricants, avec un rôle particulièrement visible en Europe.

Le paysage des acteurs de la menace se reconstruit

L’ascension rapide des nouveaux groupes constitue une autre caractéristique déterminante du rapport.

Près de la moitié des incidents manufacturiers enregistrés en 2026 ont été attribués à des acteurs de menace qui n’étaient pas présents dans l’ensemble de données de Black Kite pendant 2023 ou 2024. Le nombre de groupes ciblant les fabricants a également augmenté de façon substantielle.

Les noms établis n’ont pas complètement disparu, mais la hiérarchie évolue.

Qilin a mené les incidents de fabrication pendant les sept premiers mois de 2026, suivi de The Gentlemen, Akira, DragonForce et INC Ransom. Certains opérateurs autrefois dominants ont fortement décliné, tandis que des marques successeurs et de tout nouveaux groupes ont émergé.

Pour les défenseurs, ce turnover crée un défi pratique. Les stratégies de sécurité fondées sur le suivi d’un petit nombre de groupes de ransomware reconnaissables peuvent rapidement devenir obsolètes. Les faiblesses sous-jacentes exploitées par les attaquants, telles que l’accès à distance exposé, les vulnérabilités non corrigées, les identifiants volés et les systèmes mal configurés, peuvent donc constituer des indicateurs plus utiles que le nom du groupe actuellement en tête du classement.

La distribution crée un autre point de défaillance

Black Kite étend son analyse au-delà des usines aux entreprises responsables du transport des marchandises entre elles.

Les entreprises de transport routier, de fret et d’entreposage ont enregistré moins d’incidents de ransomware que les fabricants, mais leur position au sein des chaînes d’approvisionnement peut rendre une perturbation individuelle disproportionnée.

Le rapport souligne l’attaque de 2025 contre le prestataire logistique britannique Peter Green Chilled. L’entreprise a continué à déplacer les marchandises déjà présentes dans son système, mais les nouvelles commandes ne pouvaient plus être traitées. Parce qu’elle servait de nombreuses grandes chaînes de supermarchés, la perturbation a rapidement affecté les fournisseurs dont les produits étaient déjà stockés dans des entrepôts ou en attente d’entrée dans le réseau.

Les entreprises de distribution ont également tendance à être plus petites que les victimes du secteur manufacturier. Black Kite a constaté un chiffre d’affaires annuel médian de 28,7 millions de dollars parmi les victimes de la distribution dont le revenu était connu.

Ces entreprises fonctionnent souvent avec des fenêtres de livraison étroites et une tolérance limitée aux temps d’arrêt prolongés, ce qui rend le ransomware particulièrement perturbateur.

Quand une cyberattaque devient un événement économique

Le rapport utilise Jaguar Land Rover’s 2025 cyberattack pour illustrer ce qui peut se produire lorsqu’un ransomware atteint une entreprise placée au cœur d’un vaste réseau industriel.

La production a été arrêtée pendant plus de cinq semaines dans trois usines britanniques, affectant des sites qui produisent collectivement environ 1 000 véhicules par jour.

Mais les dommages se sont étendus bien au‑delà de JLR.

Plus de 5 000 organisations auraient été touchées dans l’ensemble de l’écosystème de l’entreprise, dont beaucoup de petits fournisseurs. L’impact économique estimé a atteint 1,9 milliard de livres sterling, tandis que le gouvernement britannique a introduit une garantie de prêt de 1,5 milliard de livres pour soutenir JLR et sa chaîne d’approvisionnement.

La perturbation était suffisamment importante pour être citée par la Banque d’Angleterre comme l’un des facteurs ayant contribué à une croissance économique britannique plus faible que prévu au cours du trimestre.

Il s’agit d’un exemple extrême, mais il illustre le thème plus large qui traverse les recherches de Black Kite : le risque cybernétique dans la fabrication reste rarement confiné à la victime initiale.

De nombreux signaux d’alerte sont déjà visibles

L’une des conclusions les plus importantes du rapport est que de nombreuses victimes de ransomware ont présenté des signes observables d’un risque accru avant que leurs incidents ne deviennent publics.

L’Indice de susceptibilité au ransomware de Black Kite évalue des facteurs tels que les services exposés, les vulnérabilités exploitables, les identifiants divulgués et d’autres indicateurs visibles à l’extérieur.

Près des trois quarts des victimes manufacturières se trouvaient déjà dans la zone critique de l’indice au moment où leurs incidents ont été divulgués.

L’exposition actuelle parmi les plus grands fabricants du monde reste également importante. Black Kite a constaté des vulnérabilités critiques répandues et des identifiants divulgués dans l’ensemble de la population surveillée, même si certaines mesures de gestion des vulnérabilités se sont améliorées.

L’exposition des identifiants se démarque en particulier. Bien que les organisations aient progressé dans la réduction de certaines vulnérabilités logicielles, la prévalence des identifiants circulant dans les journaux de logiciels de vol est restée obstinément élevée.

Cela crée une surface d’attaque qui ne peut pas nécessairement être traitée uniquement par les correctifs traditionnels.

Le ransomware est désormais un problème de chaîne d’approvisionnement

L’implication plus large est que les fabricants ne peuvent plus considérer le ransomware uniquement comme un problème de cybersécurité interne.

Une entreprise hérite du risque provenant des fournisseurs de logiciels, des fournisseurs et des entreprises logistiques dont elle dépend. En même temps, sa propre posture cyber devient partie du profil de risque de chaque client qui dépend de ses produits.

Les régulateurs reflètent de plus en plus cette réalité interconnectée. Des règles européennes comme le NIS2 accordent une plus grande importance à la sécurité des chaînes d’approvisionnement, tandis que les initiatives du Royaume‑Uni et des États‑Unis élargissent les attentes en matière de cybersécurité aux prestataires de services, aux sous‑traitants et aux fournisseurs critiques.

Pour les fabricants, cela signifie que les questionnaires annuels aux fournisseurs et les évaluations internes isolées peuvent ne plus être suffisants. La surface d’attaque évolue trop rapidement, tout comme les groupes de ransomware qui l’exploitent.

Le rapport de Black Kite décrit finalement une menace qui devient plus large plutôt que simplement plus importante. Les attaques se dirigent vers des entreprises de taille moyenne, s’étendent à l’international et exploitent de plus en plus les liens entre les fabricants, les fournisseurs de technologie, les réseaux logistiques et les clients. Le résultat est un problème de ransomware où la question la plus importante n’est peut‑être plus de savoir si une entreprise peut résister à une attaque, mais combien de la chaîne d’approvisionnement environnante en dépend.