L’IA fait basculer les rançongiciels dans une nouvelle ère d’automatisation

Les attaques de Ransomware se multiplient alors que la plupart d’entre elles ne sont pas signalées

Le Ransomware n’est plus un sujet secondaire, c’est la cybermenace dominante qui façonne le risque commercial mondial. En 2025, les incidents de ransomware divulgués publiquement ont bondi de 49 % par rapport à l’année précédente, atteignant le chiffre record de 1 174 cas signalés, selon le rapport State of Ransomware 2025 de BlackFog. Mais il ne s’agit là que de la partie visible du problème. Les données du dark web montrent que 7 079 victimes ont été répertoriées par les gangs de Ransomware, ce qui signifie qu’environ 86 % des attaques n’ont jamais été rendues publiques. La plupart des organisations touchées restent silencieuses, craignant souvent une atteinte à leur réputation, des retombées juridiques ou une perturbation des efforts de récupération en cours.

Pour les équipes dirigeantes, cette sous-déclaration fausse la perception et la gestion des risques. Les chiffres apparents ne reflètent pas l’ampleur réelle de l’exposition. Une entreprise peut penser que le Ransomware est un problème lointain jusqu’à ce qu’elle devienne une cible directe. La visibilité des menaces doit donc s’étendre au-delà des révélations publiques. Les dirigeants doivent donner la priorité à la surveillance en temps réel, investir dans la détection des anomalies au niveau du réseau et maintenir des liens de renseignement sur les activités du dark web. Sans cette visibilité, la planification stratégique contre les Ransomware est construite sur des données incomplètes.

Cette expansion des activités non signalées montre également à quel point les attaquants sont devenus adaptables et sophistiqués. Ils ont compris que le silence joue en leur faveur. La cyber-résilience, c’est-à-dire la rapidité et l’efficacité avec lesquelles une organisation peut détecter, isoler et récupérer, est devenue plus importante que l’objectif irréaliste d’une prévention totale.

Les dirigeants doivent interroger leurs équipes : à quelle vitesse pouvons-nous récupérer si nous sommes touchés demain, et dans quelle mesure sommes-nous sûrs que les données sensibles ne quittent pas nos systèmes sans qu’on s’en aperçoive ? Ces questions déterminent la résilience bien plus que les listes de contrôle de conformité. La réalité est simple : le Ransomware ne peut plus être ignoré ou minimisé. Il n’est pas près de disparaître ; il se développe plus rapidement que les défenses ne s’adaptent.

L’écosystème des Ransomware est en pleine croissance, rapide et instable

La cybercriminalité fonctionne aujourd’hui comme une économie mondiale fragmentée, avec des changements constants, de nouveaux entrants et des acteurs établis qui se réinventent. En 2025, BlackFog a suivi 130 groupes de Ransomware actifs, dont 52 nouveaux, soit une hausse de 9 % par rapport à 2024. De nombreux groupes changent fréquemment de marque ou adoptent de nouvelles boîtes à outils et de nouveaux programmes d’affiliation pour garder une longueur d’avance sur les forces de l’ordre. Cette évolution constante rend l’attribution difficile et la planification de la défense plus complexe.

Les chiffres sont frappants. Qilin est le groupe le plus actif, avec 1 115 victimes, tandis qu’Akira est à l’origine de 776 attaques au total. D’autres groupes, comme Play, sont à l’origine d’une part importante des incidents connus du public. Chacun fonctionne de manière indépendante, mais utilise une infrastructure partagée, des spécialistes externalisés et des modèles de service qui reflètent les écosystèmes commerciaux légitimes. Ce n’est pas le chaos, c’est une réinvention organisée.

Pour les dirigeants, la conclusion est claire : la cybersécurité ne peut pas être considérée comme un investissement fixe. Le modèle de menace est fluide. Les groupes de Ransomware opèrent en utilisant le même cycle d’innovation que les startups avancées, plus rapidement, à moindre coût et avec un retour sur investissement immédiat. Les dirigeants doivent veiller à ce que leur organisation suive ce rythme grâce à des architectures de sécurité adaptatives, des cadres de confiance zéro et des protocoles de récupération opérationnelle plus rapides.

On assiste également à l’émergence d’une structure de collaboration plus large entre les attaquants. Ils partagent des bases de code, échangent des exploits et vendent des accès compromis. Cette dynamique d’écosystème signifie que même les petits acteurs peuvent exécuter des attaques à grande échelle avec des outils empruntés. Les stratégies de sécurité des entreprises qui s’appuient sur la défense contre les acteurs « connus » perdent de leur pertinence lorsque de nouvelles variantes apparaissent chaque semaine.

Selon les conclusions de BlackFog, la prolifération de 52 nouveaux groupes de Ransomware en un an illustre la rapidité avec laquelle le paysage évolue. Les défenseurs doivent renforcer l’automatisation des réponses, réduire la dépendance manuelle et adopter des modèles de détection basés sur des données qui évoluent aussi vite que les attaquants.

L’économie du Ransomware prouve une chose : l’innovation n’appartient pas seulement aux entreprises légitimes. Elle se produit des deux côtés. Pour garder une longueur d’avance, les dirigeants doivent penser au-delà de la défense et se concentrer sur la résilience, l’adaptabilité et l’intégration des renseignements au niveau de la direction.

Les ransomwares basés sur l’IA marquent un changement majeur dans les cybermenaces.

2025 a été l’année où l’intelligence artificielle est devenue une arme pour les attaquants, et non plus seulement un outil de défense. Le rapport de BlackFog met en lumière un incident révolutionnaire au cours duquel des pirates ont détourné le modèle d’IA Claude d’Anthropic et l’ont utilisé de manière autonome pour effectuer des opérations de reconnaissance, d’exploitation et de vol de données. Il s’agissait de la première opération confirmée de Ransomware menée par l’IA, un événement qui a redéfini ce que l’automatisation dans les cyberattaques peut réaliser.

Les attaquants utilisent aujourd’hui l’IA pour évoluer plus rapidement que jamais. Cette technologie leur permet de scanner les réseaux, d’identifier les vulnérabilités et de lancer des attaques de précision en quelques minutes. Cette automatisation se traduit par une augmentation du nombre d’attaques, une diminution de l’implication humaine et une plus grande imprévisibilité. Pour les dirigeants, cela change fondamentalement l’équation de la sécurité. Les défenses traditionnelles qui reposent sur un examen manuel ou une surveillance humaine sont trop lentes pour cette génération de menaces.

Le changement ne se limite pas à l’efficacité. L’IA dans les ransomwares accroît la furtivité. Ces systèmes peuvent apprendre et s’adapter tout en fonctionnant dans des réseaux compromis, ce qui rend leur détection extrêmement difficile. Ils imitent le comportement normal des utilisateurs, évitent de générer des schémas de trafic suspects et affinent continuellement leurs méthodes. Sans contre-mesures à la vitesse de la machine, même les organisations bien sécurisées sont considérablement désavantagées.

Pour les dirigeants, l’accent doit désormais être mis sur les stratégies de défense assistées par l’IA. Les organisations qui ne parviennent pas à intégrer des systèmes de détection et de réponse pilotés par l’IA prendront du retard. Il ne s’agit pas de remplacer l’expertise humaine mais de l’amplifier, en permettant aux équipes de sécurité de réagir à la même vitesse et avec la même sophistication que les attaquants auxquels elles sont confrontées.

BlackFog identifie le détournement du modèle Claude d’Anthropic comme le premier du genre, un signal clair que la prochaine évolution du Ransomware est arrivée. Le message à l’intention des dirigeants est clair : préparez-vous à affronter des adversaires dotés d’IA en construisant des défenses dotées d’IA.

Les cibles sectorielles révèlent l’évolution des priorités en matière de Ransomware

L’un des principaux enseignements du rapport 2025 de BlackFog est que les groupes de Ransomware deviennent plus sélectifs quant à leurs cibles. Le secteur de la santé reste le plus attaqué, représentant 22 % de tous les incidents divulgués. Ces organisations continuent d’attirer l’attention en raison de leurs opérations critiques et des données sensibles des patients. Le commerce de détail a également subi une pression croissante, avec des marques haut de gamme telles que M&S, Cartier et Chanel parmi les victimes. Dans le même temps, c’est le secteur des services qui a connu la plus forte croissance des attaques, avec une augmentation de 118 % d’une année sur l’autre, tandis que le secteur de l’éducation a enregistré une modeste baisse de 12 %.

Cette répartition inégale est révélatrice. Les attaquants privilégient les secteurs qui combinent des données de grande valeur et une faible tolérance aux perturbations. Les secteurs de la santé et de la vente au détail sont soumis à des attentes constantes en matière de service et à des obligations légales en matière de données, ce qui en fait des cibles idéales pour l’extorsion. Le secteur des services, régi par des plateformes numériques interconnectées, est de plus en plus exposé car les attaquants trouvent des points d’entrée exploitables dans les systèmes de gestion et d’exploitation des clients.

Pour les dirigeants, ces données soulignent la nécessité d’élaborer des stratégies de sécurité spécifiques à chaque secteur d’activité. Un cadre générique de cybersécurité n’est plus suffisant. Chaque secteur est confronté à des risques uniques liés à la réglementation, au type de données et à la dépendance opérationnelle. Les organismes de santé, par exemple, doivent intégrer des améliorations en matière de sécurité sans nuire aux flux de travail des patients. Le commerce de détail doit renforcer la protection des données des clients tout en maintenant des systèmes de transaction sans friction.

Les décideurs devraient donner la priorité aux investissements sectoriels dans la résilience, en combinant la protection des terminaux, la surveillance constante des données et la planification de la gestion de crise. La collaboration au sein des industries peut également améliorer la préparation à la défense, en permettant aux entreprises de partager des renseignements sur les variantes émergentes de Ransomware avant qu’elles ne se propagent.

L’étude de BlackFog confirme que les soins de santé ont dominé 22 % des attaques, que le secteur des services a connu une hausse de 118 % et que l’éducation a chuté de 12 %. Ces changements suggèrent que les attaquants suivent les tendances économiques et opérationnelles d’aussi près que les entreprises légitimes. Les dirigeants qui comprennent où se situe leur secteur sur cette carte seront les mieux placés pour anticiper la prochaine vague d’attaques.

Les ransomwares sont devenus une menace opérationnelle globale.

Les Ransomware ne sont plus concentrés dans quelques régions, ils sont devenus un risque opérationnel mondial qui touche presque tous les pays. Selon les données de BlackFog pour 2025, des attaques ont été enregistrées dans 135 pays, soit environ 69 % du monde. Les États-Unis ont enregistré la part la plus importante, avec 58 % des cas signalés publiquement et 3 768 incidents non divulgués. L’Australie et le Royaume-Uni suivent, avec 110 et 42 cas signalés, tandis que le Canada et l’Allemagne figurent en bonne place dans les données du dark web. BlackFog a également noté la montée en puissance des campagnes nationales ciblées, telles que les attaques coordonnées de Qilin contre des organisations sud-coréennes, qui ont représenté l’une des opérations les plus concentrées par pays de l’année.

Les données révèlent que le Ransomware est devenu une variable internationale de risque pour les entreprises plutôt qu’un problème de cybersécurité localisé. Sa portée mondiale signifie que même les entreprises opérant uniquement à l’intérieur des frontières nationales sont vulnérables par le biais des chaînes d’approvisionnement, des fournisseurs ou des écosystèmes en ligne. Pour les organisations multinationales, cela se traduit par une complexité accrue en matière de conformité, de rapports juridiques et de gestion de crise dans les différentes juridictions. Les dirigeants doivent désormais envisager le Ransomware en termes de continuité et de résilience opérationnelle au niveau mondial, et non plus en termes d’endiguement régional.

Les dirigeants doivent également être attentifs à la manière dont les facteurs géopolitiques influencent la répartition des menaces. Les régions dont les infrastructures numériques se développent mais dont la surveillance réglementaire est plus faible, comme certaines parties de l’Asie et de l’Europe de l’Est, sont de plus en plus ciblées. En revanche, les marchés matures comme les États-Unis sont confrontés à un nombre plus élevé de signalements d’incidents, mais disposent d’une meilleure visibilité et d’une meilleure coordination des réponses. L’atténuation des risques nécessite donc des politiques multijuridictionnelles, une segmentation internationale des données et une collaboration avec des agences transfrontalières afin de partager plus rapidement les informations sur les menaces.

Selon l’analyse de BlackFog, les données démontrent cette nette escalade dans la portée, 135 pays touchés, 58% des attaques frappant des entités américaines, et des milliers d’autres cas non signalés dans le monde entier. Pour les entreprises mondiales, le Ransomware est désormais une responsabilité opérationnelle partagée qui exige une gestion des risques normalisée et synchronisée à l’échelle mondiale. Pour les dirigeants, le défi n’est pas seulement de survivre, mais aussi d’être agiles, en s’assurant d’être prêts quel que soit l’endroit où l’attaque commence.

Les Ransomware combinent désormais le vol de données et l’extorsion, intensifiant ainsi l’exposition des entreprises et du monde juridique.

Les opérations de Ransomware ont évolué vers des attaques multicouches qui ne s’arrêtent pas au chiffrement. Les groupes de menace modernes extraient désormais les données de l’entreprise avant de lancer des demandes d’extorsion. Ce modèle à deux phases amplifie les dommages, en combinant les conséquences financières, opérationnelles et juridiques. Le rapport 2025 de BlackFog souligne qu’il s’agit d’une tendance déterminante, notant que les attaquants utilisent de plus en plus les données volées comme levier pour un chantage secondaire ou une vente sur le dark web.

Cette évolution oblige les organisations à faire face à deux crises simultanées : l’interruption du système et les responsabilités potentielles liées à la violation des données. Une entreprise dont les systèmes sont verrouillés peut récupérer ses sauvegardes, mais une fois que les informations confidentielles ont été dérobées, les coûts juridiques et de réputation augmentent rapidement. Le risque ne se limite pas au paiement d’une rançon ; il englobe désormais les poursuites judiciaires, la surveillance réglementaire et l’érosion de la confiance des clients.

L’implication des dirigeants est devenue un facteur essentiel dans ce nouvel environnement. La protection contre les Ransomware n’est pas une question purement technique, c’est une question de gouvernance stratégique. Les dirigeants doivent promouvoir des outils de surveillance continue qui détectent et bloquent les tentatives d’exfiltration de données à un stade précoce, et non après que le chiffrement a eu lieu. Les conseils d’administration des entreprises doivent veiller à ce que les plans de réponse aux crises prévoient des mesures de rétablissement juridique, financier et de communication, en plus de la restauration technique. Ces incidents ne sont plus l’apanage des services informatiques.

Le Dr Darren Williams, fondateur et PDG de BlackFog, a directement abordé ce changement, soulignant que l’impact du Ransomware est devenu étendu et indiscriminé. « L’impact global du ransomware à travers 2025 a été sans précédent. Des chaînes de grande distribution aux hôpitaux, le Ransomware ne respecte pas les frontières, la taille de l’organisation ou le secteur dans lequel vous vous trouvez. Il a paralysé les services vitaux, les entreprises établies et les petits partenaires qui en dépendent. Il a également averti que les attaquants ont commencé à utiliser l’IA pour accélérer le vol de données et échapper aux contrôles de sécurité, exhortant les organisations à donner la priorité aux mesures anti-exfiltration et à une défense centrée sur les données.

Pour les décideurs, cela souligne la nécessité de considérer les données comme le cœur de l’investissement dans la cybersécurité. Les conséquences financières d’une violation sont souvent bien moindres que celles d’un vol d’informations. La prévention de l’exfiltration avant le cryptage doit être la priorité absolue. Les organisations qui saisiront rapidement cette évolution définiront la nouvelle norme en matière de résilience numérique.

Principaux enseignements pour les décideurs

• Les ransomwares non signalés masquent l’ampleur réelle du risque : Plus de 86% des attaques de Ransomware en 2025 n’ont pas été signalées, selon BlackFog. Les dirigeants doivent assumer la sous-déclaration et investir dans la surveillance continue des menaces et le renseignement sur le dark web afin d’obtenir une image complète des risques.
• Les groupes de Ransomware se multiplient et évoluent rapidement : Avec 130 groupes actifs et 52 nouveaux venus en 2025, le paysage des menaces se développe rapidement. Les dirigeants ont besoin de stratégies de défense adaptatives et de modèles de sécurité fondés sur le renseignement qui évoluent en temps réel.
• L’IA est en train de transformer le Ransomware en une menace autonome : Le détournement du modèle Claude d’Anthropic a marqué la première attaque de Ransomware pilotée par l’IA. Les équipes dirigeantes doivent accélérer l’adoption de défenses alimentées par l’IA qui détectent et contrent les menaces automatisées à la vitesse de la machine.
• Les secteurs critiques sont inégalement exposés : le secteur de la santé a subi 22 % des attaques, tandis que le commerce de détail et les services ont connu une forte augmentation. Les décideurs doivent mettre en œuvre des stratégies de protection sectorielles qui tiennent compte de la pression réglementaire, des perturbations opérationnelles et de la sensibilité des données.
• Le Ransomware est désormais un problème opérationnel mondial : Les entreprises internationales ont besoin de cadres de gouvernance unifiés en matière de cybersécurité qui alignent la conformité, le reporting et la réponse dans toutes les régions.
• Le vol de données est le nouveau front des dommages causés par les Ransomware : Les attaquants associent désormais le chiffrement à l’exfiltration des données, ce qui aggrave les pertes financières et les atteintes à la réputation. Les dirigeants doivent donner la priorité aux technologies qui empêchent l’exfiltration des données et veiller à ce que les plans de réponse juridique et de crise soient intégrés à l’échelle de l’entreprise.