Le nombre de compromissions par rançongiciel signalées à l’ANSSI baisse légèrement. C’est à peu près la seule bonne nouvelle du Panorama de la cybermenace 2025, publié le 11 mars 2026. Derrière ce chiffre stable, les modes opératoires se déplacent : plus d’exfiltration, plus d’ingénierie sociale, plus d’exploitation d’équipements exposés, et un écosystème criminel plus volatil qu’auparavant.

Les volumes : stabilité apparente

En 2025, 128 compromissions par rançongiciel ont été portées à la connaissance de l’ANSSI, un nombre en léger recul par rapport à 2024. L’Agence a traité au total 3 586 événements de sécurité, en baisse de 18 %, dont 1 366 incidents confirmés — un niveau quasi identique à celui de 2024 (1 361).

Les PME, TPE et ETI restent la catégorie d’entités la plus affectée par les rançongiciels. La part des établissements de santé (8 %) est de nouveau en hausse, avec plusieurs centres hospitaliers ayant subi des perturbations de leurs activités d’accueil et de traitement des patients, et des structures plus petites — EHPAD, cliniques — également touchées. Les collectivités territoriales représentent 11 % des victimes.

Ces chiffres correspondent à la vision de l’ANSSI, consolidée à partir des signalements de ses bénéficiaires. L’Agence précise elle-même qu’ils ne sont pas nécessairement représentatifs de l’ensemble des événements de sécurité en France. Cybermalveillance.gouv.fr, qui couvre un public beaucoup plus large, a pour sa part enregistré plus de 500 000 demandes d’assistance en 2025, en hausse de 20 %.

Qui attaque : des franchises volatiles

Trois souches dominent les incidents traités en France en 2025 : Qilin (21 %), Akira (9 %) et LockBit 3.0 / LockBit Black (5 %). Plus d’une dizaine d’autres souches — Nova, Warlock, Sinobi notamment — ont été observées pour la première fois sur au moins un incident.

Qilin s’impose comme la franchise rançongiciel la plus active de l’année, avec plus de 700 victimes revendiquées sur l’ensemble de 2025, dont 185 pour le seul mois d’octobre.

L’écosystème reste toutefois instable. L’ANSSI rappelle qu’en 2023, la durée de vie moyenne d’un groupe de rançongiciels était estimée à 262 jours. L’année 2025 l’a confirmé : les activités de RansomHub, responsable de près de 239 attaques en 2024, ont cessé fin mars 2025 à la suite de dissensions avec d’autres groupes, tandis que BlackBasta puis LockBit ont fait l’objet de fuites de données majeures.

Cette volatilité a une conséquence défensive importante : suivre les noms de groupes a une valeur limitée. Les affiliés, eux, persistent et changent de bannière. C’est leur outillage et leurs techniques qu’il faut surveiller, pas leur marque.

L’exfiltration prend le pas sur le chiffrement

C’est l’évolution la plus nette du rapport. En 2025, l’ANSSI a été informée de 196 incidents relatifs à des exfiltrations de données, associées ou non à une attaque par rançongiciel, contre 130 en 2024.

La double extorsion — exfiltrer puis chiffrer, et menacer de divulguer — reste la norme. L’ANSSI décrit également des schémas de triple extorsion, complétant la pression par des attaques en déni de service distribué ou par des tentatives d’extorsion directe auprès des partenaires et clients de la victime.

Une nuance mérite d’être relevée. Les éditeurs de sécurité font état d’une accentuation de l’extorsion sans déploiement de rançongiciel ; l’ANSSI constate cette tendance mais la décrit comme encore limitée dans les incidents qu’elle a traités en 2025. Le chiffrement n’a donc pas disparu du paysage français.

Le rapport souligne un point que les équipes de crise sous-estiment : le traitement d’une revendication d’exfiltration mobilise lourdement la victime, que la compromission soit avérée ou non. Sur 460 revendications potentielles, l’ANSSI n’a pu confirmer la réalité de la fuite que dans 42 % des cas. Il faut donc qualifier les données prétendument volées — en identifier la source, vérifier qu’elles ne proviennent pas d’une fuite antérieure — avant même de pouvoir décider d’une communication.

Comment ils entrent

Deux vecteurs dominent, et aucun des deux n’est une nouveauté. C’est précisément ce qui devrait alerter.

Les équipements de bordure. Pare-feux, serveurs mandataires, passerelles VPN et anti-spam restent des cibles privilégiées, d’autant plus attractives qu’elles sont largement répandues et exposées sur Internet. L’ANSSI cite notamment les compromissions d’équipements Ivanti Connect Secure via la CVE-2025-22457, et une large campagne visant des équipements Cisco en exploitant une faiblesse du protocole Cisco Smart Install, dépourvu de mécanisme d’authentification et exposé sur Internet. Certaines faiblesses ne font même pas l’objet d’un identifiant CVE, ce qui les rend invisibles aux processus de gestion de vulnérabilités fondés uniquement sur les bulletins éditeurs.

L’ingénierie sociale avancée. Le mode opératoire Scattered Spider s’est distingué par sa maîtrise de techniques visant à contourner l’authentification multifacteur. L’ANSSI attribue son efficacité à la connaissance fine des processus internes des entreprises ciblées et à une phase de reconnaissance importante, incluant la collecte de données personnelles sur les employés visés. Les attaquants utilisent également des outils d’administration légitimes et des manipulations de configuration — contournement de règles de pare-feu, modification de clés de registre, démarrage en mode sans échec — pour échapper aux antivirus et aux EDR.

L’ANSSI note aussi la montée des compromissions d’environnements cloud : en juillet 2025, le chiffrement de ressources cloud d’une entité française d’importance a entraîné une indisponibilité momentanée de services pour des clients professionnels comme pour le grand public.

Quand les États s’y mettent

Le rapport documente une tendance nouvelle : des modes opératoires réputés liés à des États déploient désormais des rançongiciels habituellement utilisés par des groupes cybercriminels. L’ANSSI cite le mode opératoire réputé nord-coréen Moonstone Sleet, qui aurait été employé pour déployer le RaaS Qilin dans un nombre limité d’attaques en 2025, et observe des attaques à finalité lucrative menées par des acteurs réputés chinois. Pour un défenseur, la conséquence est pragmatique : l’attribution ne détermine plus le mode opératoire.

Ce qu’il faut en retirer

Le rapport ne recommande rien d’exotique, et c’est le point. Trois axes en ressortent directement.

Traiter les équipements exposés comme des actifs critiques. Inventaire exhaustif de ce qui est joignable depuis Internet, veille sur les alertes du CERT-FR, priorisation des correctifs croisant sévérité CVSS et criticité métier, et surveillance des configurations — pas seulement des CVE.

Préparer la qualification d’une revendication. Savoir, en quelques heures, si les données publiées viennent de chez vous suppose de disposer d’un inventaire des traitements et d’une classification exploitable. Sans cela, la crise se joue en aveugle.

Ne pas fonder la défense sur la seule MFA. Elle reste indispensable, mais les techniques observées la contournent. La détection des comportements anormaux, la limitation des privilèges et la vérification des demandes d’assistance au support informatique comptent autant.

Pour un RSSI ou un dirigeant de PME ou d’ETI, la difficulté n’est pas d’ignorer ces mesures : c’est de démontrer qu’elles sont réellement en place et de les faire tenir dans le temps. GALEA relie les scénarios d’attaque issus de la base MITRE ATT&CK à votre plan d’actions, de sorte que chaque mesure priorisée soit rattachée à un risque concret plutôt qu’à une case à cocher.

Sources

Sources consultées le 23 septembre 2026.

Questions fréquentes

La baisse du nombre de rançongiciels signifie-t-elle que la menace recule ?

Non. Le recul porte sur les compromissions signalées à l’ANSSI, dont le périmètre est limité à ses bénéficiaires. Sur la même période, les exfiltrations de données traitées par l’Agence sont passées de 130 à 196, et Cybermalveillance.gouv.fr enregistre une hausse de 20 % des demandes d’assistance.

Faut-il payer la rançon ?

Les autorités françaises déconseillent le paiement : il ne garantit ni la restitution des données, ni l’absence de divulgation, et il finance l’écosystème criminel. Par ailleurs, l’indemnisation d’une rançon par une assurance est encadrée par la loi française et subordonnée au dépôt d’une plainte dans un délai déterminé.

Que faire en priorité si l’on dispose de moyens limités ?

Réduire la surface exposée sur Internet et fiabiliser les sauvegardes hors ligne testées. Ce sont les deux mesures qui, dans les incidents décrits par l’ANSSI, font le plus souvent la différence entre une interruption de quelques jours et une paralysie de plusieurs semaines.