Attaques Ransomware et de la Chaîne d'Approvisionnement en 2025 : Analyse des Records et Implications pour 2026

Les attaques par ransomware et les cyberattaques sur la chaîne d’approvisionnement ont atteint des sommets historiques en 2025, avec une augmentation de plus de 50% des ransomwares et une quasi-double des attaques sur la chaîne d’approvisionnement – des tendances qui laissent présager des problèmes encore plus graves pour 2026.

Ces données proviennent d’un nouveau rapport d’analyse mené par la société de renseignement sur les menaces Cyble. Ces chiffres ne sont pas seulement des statistiques abstraites ; ils représentent des défaillances opérationnelles, des pertes financières massives et des risques pour la sécurité nationale. En France, où la transformation numérique est une priorité nationale, ces attaques menacent directement la souveraineté numérique des entreprises et des administrations publiques.

L’explosion des ransomwares : une menace toujours plus virulente

En 2025, le paysage des ransomwares a subi une mutation brutale. Les groupes criminels ont démontré une résilience et une décentralisation accrues, échappant aux opérations de démantèlement policières. Pour les entreprises françaises, la menace est omniprésente et s’adapte rapidement aux nouveaux environnements de travail.

Des chiffres inquiétants et une intensification des attaques

Les données de Cyble révèlent une tendance alarmante. Il y a eu 6 604 attaques par ransomware en 2025, soit une hausse de 52% par rapport aux 4 346 attaques revendiquées en 2024. Cette escalade n’est pas linéaire ; elle est ponctuée de pics d’activité intense. L’année s’est achevée sur une dynamique particulièrement préoccupante, avec 731 attaques en décembre 2025, un chiffre proche du record historique établi en février 2025.

Cette intensification s’explique par plusieurs facteurs. Premièrement, la décentralisation des groupes criminels les rend plus difficiles à pister. Deuxièmement, les affiliés, ces opérateurs techniques qui louent les logiciels de rançon (Ransomware-as-a-Service, RaaS), sont extrêmement agiles. Ils se réorientent rapidement vers de nouveaux leaders après les actions des forces de l’ordre. Par exemple, la baisse de RansomHub a été immédiatement compensée par la montée en puissance de Qilin.

L’évolution des techniques d’attaque

Les méthodes employées sont de plus en plus sophistiquées. Au-delà du chiffrement simple des fichiers, les groupes pratiquent désormais le double extorsion : ils chiffrent les données et menacent de les publier sur des sites de fuite (leak sites). Certains adoptent même une triple extorsion, incluant un déni de service (DDoS) ou des appels aux clients de la victime.

Pour les DSI français, cela signifie que la simple restauration depuis des sauvegardes n’est plus suffisante. Il faut aussi gérer la fuite d’informations confidentielles, ce qui a des implications directes avec la réglementation RGPD. En effet, une fuite de données personnelles déclenche des obligations de notification sous 72 heures et peut entraîner des amendes colossales.

“Les groupes de ransomware sont devenus des entreprises criminelles organisées, avec des structures hiérarchiques, des services de support client pour les victimes et des modèles économiques sophistiqués. Leur adaptation aux pressions juridiques et policières est impressionnante.” – Expert en cybersécurité, Anssi.

La chaîne d’approvisionnement : la cible privilégiée pour des attaques à grande échelle

Si les ransomwares frappent de manière ciblée, les attaques sur la chaîne d’approvisionnement (supply chain attacks) visent à infecter une source unique pour toucher un grand nombre de victimes. En 2025, cette stratégie a connu une croissance fulgurante.

Une hausse de 93% des incidents

Les attaques sur la chaîne d’approvisionnement ont bondi de 93% en 2025, passant de 154 incidents en 2024 à 297 en 2025. Comme le note Cyble, il existe un lien intrinsèque entre les deux vecteurs d’attaque : les groupes de ransomware sont responsables de plus de la moitié des attaques sur la chaîne d’approvisionnement. Cette convergence crée un effet de levier dévastateur.

Bien que le nombre d’attaques ait légèrement diminué depuis un pic en octobre 2025, il reste bien supérieur à la tendance haussière qui s’était amorcée dès avril 2025. Aucun secteur n’a été épargné, mais les secteurs de l’IT et de la technologie ont été les plus touchés, car ils offrent une porte d’entrée vers l’ensemble de leurs clients.

Au-delà du poisonnement de paquets : vers une sophistication accrue

L’année 2025 a marqué une rupture dans la sophistication des attaques sur la chaîne d’approvisionnement. Les criminels ont dépassé le stade du simple poisonnement de paquets logiciels (comme dans le cas du logiciel SolarWinds). Leurs cibles sont désormais plus larges et plus complexes.

Les adversaires exploitent désormais les services “en amont” : les fournisseurs d’identité (comme les fournisseurs d’authentification unique), les registres de paquets (comme npm, PyPI) et les canaux de distribution logicielle. Le but est de compromettre l’environnement d’un seul fournisseur pour ensuite s’infiltrer massivement chez tous ses clients.

Un exemple concret illustrant cette menace est l’attaque visant des intégrations tiers de Salesforce. Les attaquants ont abusé de la confiance entre les plateformes SaaS en compromettant des jetons OAuth. Cela montre comment une vulnérabilité dans un écosystème de confiance peut avoir des répercussions en chaîne, affectant des centaines d’entreprises qui utilisent ces intégrations.

Les principaux acteurs du ransomware en 2025

Le leadership dans le monde du ransomware est instable. La chute d’un groupe majeur ouvre rapidement la voie à un nouveau venu. En 2025, la scène a été dominée par un acteur qui a su capitaliser sur les perturbations du marché.

L’ascension de Qilin

Qilin est apparu comme le groupe de ransomware le plus actif en avril 2025, profitant du déclin de RansomHub, probablement saboté par un groupe rival, Dragonforce. La domination de Qilin a été confirmée en décembre avec 190 nouvelles victimes, surpassant un Lockbit en résurgence et des nouveaux entrants comme Sinobi.

Avec 17% de toutes les victimes de ransomware en 2025, Qilin a largement devancé ses concurrents comme Akira, CL0P, Play et SafePay. Une analyse des cinq principaux groupes de 2025 révèle une instabilité notable : seuls Akira et Play figuraient également dans le top 5 en 2024. RansomHub et Lockbit ont décliné, tandis que Hunters semble s’être rebrandé sous le nom de World Leaks.

La prolifération des nouveaux groupes et des souches

L’écosystème criminel est en constante évolution. En 2025, Cyble a documenté 57 nouveaux groupes de ransomware, 27 nouveaux groupes d’extorsion et plus de 350 nouvelles souches de ransomware. La plupart de ces nouvelles variantes sont basées sur les familles existantes MedusaLocker, Chaos et Makop, ce qui indique une évolution plutôt qu’une révolution technologique.

Parmi les nouveaux groupes émergents, certains ciblent spécifiquement les infrastructures critiques. Devman, Sinobi, Warlock et Gunra ont visé à un taux supérieur à la moyenne les secteurs du Gouvernement & Application de la loi et de l’Énergie & Utilités. D’autres, comme RALord/Nova, Warlock, Sinobi, The Gentlemen et BlackNevas, se sont concentrés sur l’IT, la technologie et les transports & logistique.

Analyse géographique et sectorielle des ransomwares

La répartition des attaques ne se fait pas au hasard. Elle reflète des stratégies criminelles ciblant les économies les plus riches et les infrastructures les plus vulnérables.

Un paysage mondial dominé par les États-Unis

Les États-Unis restent la cible numéro un, subissant 55% de toutes les attaques par ransomware en 2025. Cette prédominance s’explique par la concentration d’entreprises riches et l’importance de l’économie numérique américaine. Le Canada, l’Allemagne, le Royaume-Uni, l’Italie et la France complètent le top six des pays les plus attaqués.

La France se retrouve donc dans la ligne de mire des groupes criminels. Pour les entreprises françaises, cela signifie qu’elles sont exposées au même niveau de menace que leurs homologues américaines, malgré un écosystème de cybersécurité différent.

Les secteurs industriels les plus touchés

Les ransomwares ne frappent pas tous les secteurs avec la même intensité. En 2025, les industries les plus ciblées étaient :

1. Construction : Souvent dotée de systèmes informatiques vieillissants et d’une forte pression sur les délais de livraison, ce secteur est une cible privilégiée.
2. Services professionnels (avocats, cabinets de conseil) : Leurs données sont hautement sensibles et leur activité est cruciale pour leurs clients.
3. Manufacture : Les chaînes de production automatisées sont vulnérables aux interruptions.
4. Santé : Les hôpitaux sont des cibles de choix en raison de l’urgence vitale des soins, ce qui les rend plus enclins à payer une rançon.
5. IT : Un secteur cible à la fois pour ses propres données et comme vecteur d’attaque vers ses clients.

Cette répartition sectorielle montre que la vulnérabilité n’est pas seulement technique, mais aussi économique et opérationnelle. Les secteurs où l’interruption d’activité coûte très cher sont les plus à risque.

Tableau comparatif : Ransomware vs. Attaques de la Chaîne d’Approvisionnement

Pour mieux comprendre les nuances de ces deux menaces, voici un tableau comparatif des caractéristiques clés en 2025.

Mise en œuvre : Étapes actionnables pour les DSI français

Face à ces menaces interconnectées, une approche défensive holistique est indispensable. Voici une feuille de route concrète pour renforcer la résilience.

1. Renforcer la gestion des accès et le principe de moindre privilège : Implémentez des contrôles d’accès stricts (MFA obligatoire, gestion des identités et des accès - IAM) pour limiter la surface d’attaque. C’est la première ligne de défense contre l’accès initial.
2. Segmenter le réseau de manière rigoureuse : Une segmentation réseau efficace (micro-segmentation) empêche la propagation latérale d’une attaque. Si un segment est compromis, l’attaquant ne peut pas facilement passer aux autres.
3. Mettre en place une gestion rigoureuse des vulnérabilités et des correctifs : Prioriser les correctifs pour les vulnérabilités exposées sur Internet (exposition RDP, vulnérabilités zero-day) est crucial, notamment pour les mises à jour d’urgence Windows qui corrigent des failles critiques. Pour la chaîne d’approvisionnement, cela inclut la surveillance des dépendances logicielles et des alertes de sécurité des fournisseurs.
4. Adopter une stratégie de sauvegarde immuable et hors ligne : Les sauvegardes doivent être régulières, testées et, surtout, immuables (non modifiables) et stockées hors ligne ou dans un environnement isolé. C’est la seule garantie de pouvoir restaurer sans payer de rançon.
5. Sensibiliser et former les collaborateurs : La majorité des attaques débute par un email de phishing, souvent lié à des mauvaises pratiques de gestion des mots de passe. Des campagnes de sensibilisation régulières et des simulations de phishing sont essentielles pour créer une culture de la sécurité, en s’appuyant sur des plateformes de formation spécialisées.
6. Surveiller activement le dark web et les fuites de données : Des services de surveillance (comme ceux proposés par Cyble) permettent de détecter précocement si des informations de l’entreprise sont en vente, donnant un avantage tactique.
7. Établir et tester un plan de réponse aux incidents (PRI) : En cas d’attaque, chaque seconde compte. Un PRI clair, avec des rôles définis et des procédures de communication (internes et externes, y compris avec l’ANSSI), permet une réaction coordonnée et efficace.

“La cybersécurité n’est plus une question technique isolée, mais un enjeu de gouvernance d’entreprise. Les conseils d’administration doivent être impliqués, car une attaque ransomware est une crise majeure qui touche à la réputation, aux finances et à la continuité d’activité.” – Directeur de la sécurité des systèmes d’information, groupe industriel français.

Conclusion : Préparer l’avenir en 2026

Les records établis en 2025 par les ransomwares et les attaques sur la chaîne d’approvisionnement ne sont pas une anomalie, mais le reflet d’une évolution du cybercrime vers des modèles plus sophistiqués, plus décentralisés et plus rentables. La convergence de ces deux menaces crée un environnement où une seule vulnérabilité peut avoir des conséquences en cascade.

Pour les organisations françaises, le message est clair : l’approche défensive traditionnelle, basée uniquement sur la protection périmétrique, est obsolète. Il est impératif de passer à une posture de résilience, qui combine une défense en profondeur, une détection proactive et une capacité de récupération rapide.

Les investissements en cybersécurité ne doivent plus être perçus comme une simple charge, mais comme un levier stratégique pour la continuité d’activité et la confiance des parties prenantes. En appliquant les étapes actionnables décrites ci-dessus, les DSI peuvent transformer une menace croissante en un avantage compétitif, démontrant une maturité organisationnelle qui rassure clients, partenaires et régulateurs. La bataille de 2026 est déjà engagée ; la préparation est la clé de la victoire.