Le rapport 2026 de Black Kite sur le ransomware révèle une économie de la menace plus rapide et plus fragmentée

Le rapport 2026 de Black Kite sur le ransomware décrit un marché du ransomware qui n’est plus défini par un seul gang dominant, une seule opération de démantèlement ou une seule méthode d’attaque. Entre le 1er avril 2025 et le 31 mars 2026, l’entreprise a identifié 7 551 victimes de ransomware rendues publiques, contre 6 046 lors de la période de rapport précédente. Plus important que l’augmentation globale, cependant, est la façon dont la croissance s’est produite. L’activité a accéléré rapidement au cours de la deuxième moitié de l’année, de nouveaux groupes de ransomware sont apparus à un rythme rapide et les plateformes logicielles fiables sont de plus en plus devenues des voies d’accès aux organisations qui pourraient avoir sécurisé leurs propres environnements internes.

La croissance du ransomware a changé de forme

Black Kite suit les divulgations de ransomware depuis 2022, lorsque sa première période de rapport a enregistré environ 2 700 victimes. Ce total est ensuite passé à 4 893, puis à 6 046, et maintenant à 7 551, mais l’augmentation annuelle ne reflète pas pleinement à quel point l’activité a accéléré au cours de la dernière période.

Les six premiers mois ont produit 2 904 victimes, contre 4 647 d’octobre 2025 à mars 2026. Mars seul a terminé avec 861 victimes de ransomware rendues publiques, le total mensuel le plus élevé que Black Kite a enregistré en quatre ans. L’élan s’est poursuivi au-delà de la date de clôture du rapport, avec 2 230 victimes supplémentaires observées d’avril à juin 2026.

Contrairement aux cycles de ransomware précédents, la hausse n’a pas été entraînée par un seul groupe dominant ou un seul événement majeur. Elle reflète plusieurs opérateurs qui se sont étendus en même temps, des groupes établis qui ont développé leurs réseaux d’affiliés et de nouveaux entrants qui ont trouvé des moyens moins coûteux de participer.

Un marché encombré conserve toujours des leaders puissants

Le ransomware n’est plus contrôlé par un petit nombre de gangs reconnaissables qui opèrent comme des groupes criminels étroitement organisés. Il fonctionne de plus en plus comme une économie de services. Les opérateurs principaux développent le logiciel malveillant, maintiennent les sites de fuite, gèrent les paiements et fournissent l’infrastructure, tandis que les affiliés trouvent des moyens d’accéder aux réseaux d’entreprise et déployer les attaques. Ce modèle permet aux groupes de s’étendre rapidement sans que chaque participant ait besoin de compétences techniques avancées.

Black Kite a identifié 127 groupes de ransomware actifs au cours de la période de rapport, dont 61 qui sont apparus pour la première fois. Certains étaient de nouvelles opérations entièrement nouvelles, tandis que d’autres pourraient être des reprises ou des groupes scindés formés après la disparition d’organisations établies. Le résultat est un marché plus fluide dans lequel les acteurs peuvent passer d’une marque à l’autre, réutiliser des outils ou lancer de nouveaux sites de fuite sans reconstruire leurs opérations à partir de zéro.

Malgré cette fragmentation, un petit nombre de groupes a toujours généré une grande partie de l’activité. Qilin a été l’exemple le plus important, avec 1 358 victimes au cours de l’année, près de deux fois plus que son concurrent le plus proche. Le groupe opère via une structure de ransomware en tant que service qui donne aux affiliés l’accès à des outils d’attaque tout en centralisant des fonctions telles que les négociations, les paiements et les divulgations de victimes.

D’autres marques ont suivi différents chemins. RansomHub, qui avait été l’une des principales opérations lors de la période précédente, a cessé de publier des victimes au début de 2026. LockBit est revenu après sa perturbation précédente, mais ses 186 victimes revendiquées représentaient une reprise limitée plutôt qu’un retour à son influence précédente.

Ces changements montrent pourquoi les marques de ransomware ne devraient pas être considérées comme des entreprises conventionnelles. Un groupe peut disparaître tandis que ses affiliés, techniques et infrastructures continuent sous d’autres noms. Les opérateurs peuvent fermer boutique après des actions de la police, des conflits internes ou une confiance déclinante, seulement pour que des tactiques familières réapparaissent via un nouveau site de fuite quelques semaines plus tard.

Le marché est donc devenu à la fois plus encombré et plus concentré. De nouveaux entrants peuvent apparaître rapidement, mais l’échelle dépend encore d’un accès fiable aux courtiers, d’affiliés expérimentés, d’une infrastructure de paiement et d’une réputation pour fournir un logiciel malveillant qui fonctionne comme promis.

Le profil cible est en train de changer

Les attaques de ransomware commencent généralement par un accès plutôt que par un cryptage. Les attaquants peuvent exploiter un système Internet non corrigé, voler des informations d’identification à partir d’appareils d’employés, abuser de logiciels de support à distance ou tromper un service d’assistance pour réinitialiser un compte. Une fois à l’intérieur, ils tentent de se déplacer au sein de l’organisation, d’identifier des systèmes précieux, de copier des données sensibles et de créer suffisamment de pression opérationnelle ou de réputation pour exiger un paiement.

Les États-Unis sont restés le pays le plus souvent visé dans le jeu de données de Black Kite, représentant près de la moitié des victimes observées. Cependant, l’activité de ransomware s’est étendue plus rapidement dans plusieurs autres marchés. L’Allemagne, la France, l’Espagne et l’Italie ont tous enregistré des augmentations substantielles, tandis que plusieurs pays asiatiques ont également connu une croissance rapide à partir de points de départ plus petits.

Cette plus large répartition géographique reflète un marché dans lequel les affiliés poursuivent de plus en plus n’importe quelle organisation accessible plutôt que de se limiter à un ensemble étroit de pays. Les barrières linguistiques et les connaissances régionales rendaient autrefois l’expansion internationale plus difficile. La traduction automatisée, les outils de reconnaissance largement disponibles et l’infrastructure criminelle partagée ont réduit une partie de cette friction.

La fabrication est restée l’industrie la plus ciblée, avec 1 660 victimes rendues publiques. Les fabricants sont attractifs car même une brève interruption peut interrompre la production, retarder les commandes et affecter les fournisseurs et les clients. Beaucoup d’entre eux exploitent également un mélange de systèmes d’entreprise modernes et de technologies opérationnelles plus anciennes, créant des environnements qui peuvent être difficiles à corriger ou à mettre temporairement hors ligne.

Les services professionnels, scientifiques et techniques se sont classés deuxièmes. Ces sociétés détiennent souvent des informations sensibles appartenant à de multiples clients, ce qui signifie qu’une intrusion peut créer une pression qui va bien au-delà de la victime initiale. Les cabinets d’avocats, les sociétés d’ingénierie, les cabinets de conseil et les fournisseurs de technologie peuvent également posséder des informations d’identification ou un accès qui peut mener les attaquants à d’autres organisations.

La construction est passée à la troisième place, reflétant la dépendance du secteur à l’égard d’équipes de projet réparties, de sous-traitants, d’applications cloud et de systèmes de paiement. Les soins de santé sont restés lourdement ciblés car la perturbation du service peut rapidement devenir une question opérationnelle et de sécurité publique.

Le rapport montre également que les attaquants mettent davantage l’accent sur les organisations de taille moyenne. Les entreprises générant entre 10 millions et 100 millions de dollars ont représenté une grande partie de l’activité observée. Ces entreprises peuvent détenir des données précieuses et avoir la capacité de payer, mais elles manquent souvent d’équipes de sécurité dédiées et de défenses en couches disponibles pour les plus grandes entreprises.

Cela ne signifie pas que les grandes entreprises sont ignorées. Au lieu de cela, les opérateurs de ransomware semblent équilibrer les paiements potentiels avec le coût et la difficulté d’une attaque. Un fabricant plus petit, un entrepreneur régional ou une société de services professionnels peut offrir un chemin plus rapide vers la perturbation que une multinationale avec des ressources de surveillance et de réponse aux incidents étendues.

Les plateformes fiables sont devenues partie de la surface d’attaque

Certains des incidents les plus importants de l’année n’ont pas commencé à l’intérieur du réseau principal de la victime. Ils sont passés par des intégrations de logiciels en tant que service, des jetons OAuth, des applications de planification des ressources d’entreprise, des plateformes de support et d’autres systèmes connectés à des données d’entreprise sensibles.

Le rapport met en évidence les campagnes liées à Salesforce (CRM ) comme exemples de la façon dont la confiance déléguée peut devenir un chemin d’attaque. Les jetons OAuth compromis associés à des applications connectées ont apparemment donné aux attaquants l’accès aux environnements Salesforce des clients. Les intégrations avec les plateformes de service client et de réussite client ont créé des routes d’accès supplémentaires aux données.

Dans ces cas, une organisation pouvait maintenir des contrôles internes solides et être toujours exposée via une relation avec un fournisseur qu’elle ne comprenait pas pleinement ou ne surveillait pas. Un jeton émis des mois plus tôt, une application ayant reçu des autorisations excessives ou un compte de support mal sécurisé pouvaient donner à un attaquant l’accès sans nécessiter une infection traditionnelle par un logiciel malveillant.

Oracle E-Business Suite a illustré la version d’exploitation de masse du même problème. Black Kite décrit une campagne impliquant des allégations de vol de données à partir d’environnements Oracle EBS et une exploitation possible de CVE-2025-61882 avant qu’un correctif ne soit disponible.

L’activité post-période impliquant PeopleSoft a renforcé l’enseignement plus large. Une plateforme exposée peut créer un grand bassin en aval de victimes, transformant les contrôles d’identité d’un fournisseur, les autorisations ou les vulnérabilités en partie de l’exposition au ransomware de chaque client.

Les signes d’avertissement étaient souvent visibles

L’analyse pré-divulgation de Black Kite a révélé que de nombreuses victimes présentaient des faiblesses observables de l’extérieur avant d’apparaître sur les sites de fuite de ransomware. Les configurations de sécurité incorrectes étaient présentes dans plus des deux tiers de la population analysée, tandis que les services d’accès à distance exposés, les vulnérabilités logicielles, les domaines frauduleux et les informations d’identification volées apparaissaient également fréquemment.

Plus de 60 % présentaient au moins l’un des trois résultats pertinents pour le ransomware : une vulnérabilité logicielle connue, une exposition d’informations d’identification ou des journaux de vol. Près d’une victime sur dix présentait les trois.

Ces signaux ne prouvent pas quelle faiblesse a causé une intrusion particulière. Une organisation avec des informations d’identification exposées peut finalement être compromise via une vulnérabilité différente. Cependant, les résultats montrent que de nombreuses futures victimes étaient déjà visibles comme cibles attractives avant qu’une attaque ne devienne publique.

L’indice de susceptibilité au ransomware du rapport tente de mesurer cette exposition de manière plus directe. Black Kite a constaté que les sociétés du groupe de risque le plus élevé étaient nettement plus susceptibles de subir un incident de ransomware divulgué que les organisations du groupe de risque le plus bas.

La leçon pratique est que le risque de ransomware n’est pas uniformément réparti. Les attaquants se concentrent souvent sur les organisations où plusieurs faiblesses se chevauchent, en particulier lorsque des systèmes non corrigés, des informations d’identification exposées et des contrôles d’identité permissifs créent plusieurs points d’entrée possibles.

Les taux de paiement plus faibles changent les tactiques d’extorsion

Le marché du ransomware s’est étendu même si le comportement de paiement est devenu moins fiable. Black Kite ne mesure pas directement les paiements de rançon, mais il compare plusieurs ensembles de données de réponse aux incidents externes qui suggèrent que moins de victimes choisissent de payer.

Un ensemble de données a signalé un taux de paiement de 26 % au deuxième trimestre 2025. Un autre a placé le taux à 23 % au trimestre suivant, tandis que les incidents d’exfiltration de données uniquement ont produit un taux de 19 %. Ces chiffres proviennent de populations différentes et ne doivent pas être lus comme une mesure continue du marché dans son ensemble, mais ils pointent dans la même direction.

Les montants payés par les organisations qui se conforment peuvent toujours être importants. Un ensemble de données cité dans le rapport a constaté un paiement médian de 1 million de dollars parmi les organisations qui ont payé pour récupérer des données.

Des taux de conversion plus faibles ne rendent pas nécessairement le ransomware moins rentable. Ils peuvent plutôt inciter les opérateurs à poursuivre plus de victimes, à réduire le coût de chaque attaque ou à appliquer d’autres formes de pression. Le cryptage est maintenant fréquemment combiné avec le vol de données, la divulgation publique, l’usurpation d’identité, le contact direct avec les clients et les menaces impliquant les régulateurs ou les partenaires commerciaux.

Lorsque moins de victimes paient simplement pour restaurer les systèmes cryptés, les attaquants ont un incitant à créer des conséquences qui persistent même après que les sauvegardes soient restaurées.

La récupération ne signifie pas que l’exposition a disparu

Les résultats post-incident du rapport sont parmi les plus inquiétants. Certaines mesures de sécurité de surface se sont améliorées après que les victimes aient divulgué des attaques. Les notes de cybersécurité moyennes ont augmenté, tandis que l’activité moyenne des botnets a diminué.

Les indicateurs spécifiques du ransomware plus profonds ont souvent évolué dans le sens inverse. L’exposition des journaux de vol était substantiellement plus élevée dans la comparaison post-incident, tandis que la susceptibilité au ransomware et l’exposition des vulnérabilités logicielles ont également augmenté parmi de nombreuses victimes.

Le modèle suggère que les organisations peuvent résoudre les problèmes de salubrité les plus visibles tout en laissant derrière les conditions qui les rendent attractives pour les attaquants. Une entreprise peut fermer la vulnérabilité censée avoir causé la faille initiale, mais ne pas révoquer les informations d’identification volées, examiner l’accès des fournisseurs, supprimer les comptes inactifs ou enquêter sur d’autres systèmes exposés.

L’analyse de l’état actuel de Black Kite renforce cette préoccupation. De nombreuses victimes passées ont continué à présenter des enregistrements de sécurité de messagerie mal configurés, des vulnérabilités critiques non corrigées, des vulnérabilités exploitées connues et des informations d’identification d’employés circulant dans les journaux de vol.

La réponse aux incidents est souvent organisée autour de la restauration des opérations et de la limitation de l’intrusion confirmée. Le rapport soutient que cela ne suffit pas. La récupération devrait inclure une nouvelle évaluation de la surface d’attaque entièrement visible de l’organisation, et non seulement du système associé à l’incident initial.

Le AI réduit le coût de participation

Le rapport ne soutient pas que l’intelligence artificielle a causé la hausse du ransomware. Au lieu de cela, il décrit l’IA comme un multiplicateur de force qui rend le travail existant plus rapide et moins cher.

La reconnaissance peut être résumée plus rapidement, les scripts de phishing et de voice-phishing peuvent être localisés, les dossiers volés peuvent être organisés en récits plus persuasifs et les messages de négociation peuvent être produits par des équipes plus petites. Les attaquants de niveau inférieur peuvent également utiliser des outils assistés par l’IA pour dépanner les scripts, modifier les logiciels malveillants et automatiser les tâches répétitives.

L’impact le plus clair se situe actuellement dans la couche humaine. La clonage vocal, les appâts multilingues, les audio deepfake, la manipulation de l’assistance et l’adaptation de la personnalité en temps réel peuvent rendre l’ingénierie sociale plus facile à mettre à l’échelle. L’IA peut aider un attaquant à paraître plus crédible dans une langue qu’il ne parle pas ou produire des messages personnalisés pour des centaines d’employés sans devoir les écrire manuellement.

Black Kite signale des signes précoces de l’IA pénétrant à la fois l’exécution technique et le marquage de l’extorsion. Le risque à court terme n’est pas nécessairement un ransomware entièrement autonome. Il s’agit d’opérations criminelles semi-automatisées dans lesquelles des équipes plus petites peuvent effectuer un travail qui nécessitait auparavant plus de temps, d’expertise et de coordination.

L’IA ne supprime pas la nécessité d’accès ou d’opérateurs qualifiés. Elle réduit la friction entre les étapes d’une attaque et donne à davantage de participants la capacité de se comporter comme des entreprises de ransomware organisées.

Implications futures

Le message central est que le ransomware évolue d’un marché mené par quelques marques reconnaissables en un écosystème plus large et plus opérationnalisé. Les défenseurs doivent toujours corriger les vulnérabilités et sécuriser les points de terminaison, mais les données montrent une responsabilité plus large qui inclut la révision continue de l’accès des fournisseurs, des intégrations de logiciels en tant que service, des contrôles d’identité, de l’infrastructure de messagerie, des informations d’identification exposées et des conditions post-incident.

Les organisations devraient également réévaluer la façon dont elles mesurent la récupération. La restauration des systèmes peut clore l’incident immédiat, mais elle ne prouve pas que les informations d’identification volées ont été annulées, que les autorisations excessives des fournisseurs ont été supprimées ou que d’autres actifs exposés ont été traités.

Le rapport 2026 sur le ransomware montre finalement pourquoi les seuls comptes de victimes ne sont plus suffisants. La menace est en train de croître par une combinaison de volume soutenu, d’opérateurs de ransomware en tant que service à haute production, de ciblage du marché intermédiaire en expansion, de levier de chaîne d’approvisionnement et de coûts d’exploitation plus faibles. La clôture d’un incident peut restaurer les opérations normales, mais la réduction de la probabilité d’un autre incident nécessite de traiter l’exposition comme une condition continue plutôt que comme un cas qui se termine lorsque le processus de récupération est terminé.