Rançongiciels au 1er trimestre 2026 : pourquoi la double extorsion pose désormais un problème de conformité, et pas seulement de sécurité
Principaux enseignements
- Exfiltration de données plutôt que chiffrement. Les groupes de ransomware misent désormais principalement sur le vol de données pour faire pression, exploitant les failles de conformité comme les manquements au RGPD au lieu de bloquer les systèmes.
- Activité élevée persistante. Les cybermenaces liées aux ransomwares sont restées à un niveau élevé au premier trimestre 2026, avec 119 groupes ayant touché 3 300 organisations industrielles et une hausse de 49 % par rapport à l’année précédente.
- Risque de cascade dans la supply chain. Une seule faille, comme celle d’Indigo Group, a exposé plus de 27 000 entités, aggravée par un délai médian de divulgation de 73 jours, en violation des délais réglementaires.
- Réponse axée sur la conformité requise. Les plans d’intervention doivent considérer le vol de données comme un événement réglementaire, nécessitant des notifications préétablies, des journaux d’audit en temps réel et des échanges de données gouvernés.
Prenons l’exemple d’une entreprise industrielle qui investit massivement dans la détection des endpoints, maintient des sauvegardes à jour et organise des exercices de simulation chaque trimestre. Son plan de réponse aux incidents couvre en détail les ransomwares basés sur le chiffrement. Puis l’appel tombe : un groupe de ransomware a exfiltré 18 mois de documentation technique, de contrats clients et de dossiers employés. Les attaquants n’ont chiffré aucun fichier. Ils menacent de publier les données si l’entreprise ne paie pas—et utilisent les propres manquements de notification RGPD de l’entreprise comme levier dans la négociation.
Voici le nouveau mode opératoire des ransomwares. Le chiffrement devient optionnel. La donnée est l’arme. Et les failles de conformité sont les points de pression.
Le mode opératoire des ransomwares a changé — la plupart des défenses non
Le rapport GuidePoint sur les tendances ransomware et cybermenaces du T1 2026 confirme que l’activité des ransomwares est restée élevée et constante au premier trimestre 2026, avec une évolution des profils d’attaquants et un intérêt croissant pour de nouveaux secteurs. Pour la gestion des risques, cela confirme que les tendances observées en 2025—extorsion ciblée, pivots dans la supply chain et diversification sectorielle—persistent au lieu de s’atténuer.
Le CrowdStrike Global Threat Report 2026 fournit des repères sur la rapidité : le temps moyen de percée eCrime est désormais de 29 minutes, le record étant de 27 secondes, et 82 % des détections en 2025 étaient sans malware. Les groupes de ransomware n’ont plus besoin de malware pour atteindre leurs objectifs. Ils ont besoin de credentials, de patience et de savoir quelles données feront le plus de dégâts.
5 enseignements clés
1. Le ransomware est désormais une condition structurelle, pas un pic temporaire.
Le rapport GuidePoint du T1 2026 confirme que l’activité des ransomwares est restée élevée et constante au premier trimestre 2026, avec une évolution des profils d’attaquants et un intérêt croissant pour de nouveaux secteurs. Les tendances observées en 2025—extorsion ciblée, pivots dans la supply chain, diversification sectorielle—persistent. Les organisations qui considèrent le ransomware comme une menace ponctuelle, et non comme une condition de fonctionnement permanente, se protègent contre le problème de l’an dernier.
2. 119 groupes de ransomware ont ciblé 3 300 organisations industrielles en 2025—soit une hausse de 49 %.
Dragos a suivi l’expansion d’un écosystème fragmenté d’affiliés où les mêmes opérateurs passent d’une marque à l’autre tout en conservant les mêmes méthodes. L’industrie manufacturière a représenté plus des deux tiers des victimes, soulignant la dépendance du secteur aux systèmes IT-OT intégrés où un seul credential compromis peut donner accès à la documentation technique, aux configurations de production et aux accès distants simultanément.
3. L’exfiltration de données est désormais le principal levier d’extorsion, pas le chiffrement.
Des groupes comme Black Shrantac et Secpo utilisent les données volées—et non des systèmes bloqués—pour faire pression sur les victimes, transformant les failles de conformité en outils de négociation. Les sauvegardes permettent de reprendre l’activité mais ne résolvent pas le vol de données. Lorsque des attaquants exfiltrent des données réglementées, les obligations de notification de violation prévues par le RGPD, HIPAA et les lois locales s’appliquent, quel que soit le délai de reprise.
4. Un délai médian de divulgation de 73 jours signifie que vous apprenez les failles chez vos tiers avec des mois de retard.
Le rapport Black Kite sur les failles chez les tiers en 2026 montre que les organisations qui attendent la notification de leurs fournisseurs opèrent avec des informations obsolètes. Avec le délai de notification RGPD de 72 heures, un délai de divulgation de 73 jours chez un fournisseur signifie que vous êtes déjà en infraction avant même d’apprendre la violation.
5. La faille Indigo Group a exposé plus de 27 000 entités en une seule attaque.
L’attaque du groupe Secpo en avril 2026 contre un opérateur d’infrastructures français montre comment une compromission unique peut entraîner une cascade d’incidents chez des milliers d’organisations en aval—chacune devant potentiellement activer ses propres procédures de réponse et de notification réglementaire. La concentration de la supply chain démultiplie l’impact des ransomwares.
Vous pensez que votre organisation est sécurisée. Mais pouvez-vous le prouver ?
Pour en savoir plus :
Black Shrantac : vivre sur l’existant dans les environnements industriels
Une analyse publiée le 15 avril 2026 révèle que Black Shrantac est un groupe de ransomware actif depuis fin 2025, ciblant spécifiquement les réseaux industriels et OT. Les tactiques du groupe illustrent le passage d’attaques dépendantes de malwares à des intrusions pilotées par l’identité.
Black Shrantac exploite des outils d’administration légitimes—technique dite « living-off-the-land » (LOTL)—après avoir exploité des failles critiques du périmètre pour accéder via VPN et firewalls. Une fois à l’intérieur, le groupe se fond dans l’activité normale, rendant la détection quasi impossible avec les outils classiques basés sur les signatures. L’attaque bascule ensuite vers la double extorsion : vol de données et chiffrement, la donnée volée servant de principal levier de négociation.
Le rapport Dragos 2026 OT/ICS Cybersecurity donne le contexte écosystémique. Dragos a recensé 119 groupes de ransomware ciblant des organisations industrielles en 2025, soit une hausse de 49 % par rapport à 80 en 2024. Ces groupes ont touché au total 3 300 organisations industrielles. L’industrie manufacturière a représenté plus des deux tiers des victimes observées.
Dragos a également documenté un écosystème d’affiliés encore plus fragmenté, où les opérateurs passent fréquemment d’un programme ransomware-as-a-service à l’autre, en utilisant les mêmes méthodes d’intrusion quelle que soit la marque. Devman, Akira, BlackSuit et INC Ransom illustrent la dispersion continue des opérateurs issus de l’écosystème Conti—qui réapparaissent sous de nouveaux noms tout en conservant des techniques similaires. Black Shrantac s’inscrit dans cette logique : nouveau nom, techniques connues, et cible en expansion.
Secpo et Indigo Group : une faille qui se propage à plus de 27 000 entités
Le 14 avril 2026, le groupe Secpo a revendiqué une attaque contre Indigo Group, opérateur français d’infrastructures de stationnement et de mobilité urbaine. Les attaquants affirment avoir accédé à près de 900 000 fichiers contenant des informations sensibles sur plus de 27 000 personnes et plus de 27 000 organisations.
L’ampleur de l’impact en aval montre pourquoi le ransomware est désormais un problème de conformité. Indigo Group opère dans plusieurs pays européens. Chaque personne concernée déclenche potentiellement l’obligation de notification RGPD sous 72 heures. Chaque organisation touchée doit potentiellement mener sa propre analyse d’impact et notifier les autorités. Les obligations de divulgation se propagent à partir d’un seul point de compromission.
Le rapport Black Kite 2026 sur les failles chez les tiers quantifie cette propagation à grande échelle : 136 incidents de violation chez des tiers vérifiés en 2025 ont entraîné la nomination publique de 719 entreprises victimes et environ 26 000 autres sociétés affectées jamais nommées. Le délai médian de divulgation publique était de 73 jours.
Pour les 27 000 organisations dont les données ont été exposées lors de la faille Indigo, le compte à rebours RGPD a commencé au moment de la violation—et non à la revendication publique de Secpo. Le rapport Thales Data Threat 2026 révèle que seulement 33 % des organisations savent précisément où sont stockées leurs données. Si une organisation ignore que ses données étaient hébergées chez Indigo Group, elle ne peut pas évaluer sa propre exposition—et encore moins notifier les régulateurs dans les délais requis.
L’exfiltration de données comme levier réglementaire : le nouveau modèle d’extorsion
Le passage du chiffrement à l’exfiltration de données change fondamentalement la donne en matière de conformité pour les victimes. Quand les attaquants chiffrent les systèmes, l’impact principal est l’interruption opérationnelle. Les sauvegardes restaurent l’activité. Les plans de continuité sont déclenchés. L’incident est avant tout un événement de sécurité.
Quand les attaquants exfiltrent des données, l’impact principal est réglementaire. L’organisation doit alors notifier la violation selon le RGPD, HIPAA, les lois locales, les règles de la SEC ou des réglementations sectorielles—même si les systèmes sont restaurés. La donnée est compromise de façon permanente. Et l’attaquant le sait.
Dragos a documenté cette évolution de façon explicite : une tendance croissante en 2025 était l’utilisation de fausses allégations d’accès ICS dans les extorsions ransomware, où les opérateurs exagéraient leur accès aux systèmes industriels pour amplifier l’impact perçu et accroître la pression lors des négociations. Même techniquement fausses, ces allégations créaient de l’incertitude chez les victimes, compliquaient la prise de décision des dirigeants et attiraient l’attention des médias—montrant que le ransomware est désormais autant une opération psychologique et juridique que technique.
Le rapport DTEX/Ponemon Insider Threat 2026 indique que le coût annuel moyen des menaces internes atteint 19,5 millions de dollars, avec le partage de fichiers non surveillé, les webmails personnels et l’IA fantôme comme principaux vecteurs de fuite de données par négligence. Lorsque les groupes de ransomware exfiltrent des données, ils découvrent souvent que celles-ci fuyaient déjà par ces canaux—la faille ne fait que rendre la fuite visible et sanctionnable.
La concentration de la supply chain crée une exposition systémique
La faille Indigo Group et la cible industrielle de Black Shrantac mettent en lumière une vulnérabilité structurelle que les cadres de conformité n’ont pas suffisamment prise en compte : le risque de concentration dans la supply chain.
Le rapport Black Kite montre que parmi les 50 principaux fournisseurs communs, 70 % présentaient une vulnérabilité référencée CISA KEV, 84 % des vulnérabilités critiques CVSS 8+, 62 % des credentials d’entreprise dans des logs de stealer, et 80 % une exposition au phishing. Ces chiffres ne sont pas des exceptions : ils décrivent la posture de sécurité de base des fournisseurs qui structurent la supply chain mondiale.
Dragos a constaté la même tendance dans l’industrie : tout au long de 2025, les affiliés ransomware ont continué de compromettre des bureaux d’ingénierie, des prestataires OT, des fournisseurs d’équipements ICS et des intégrateurs systèmes—des organisations qui détiennent la documentation technique, les sauvegardes de configuration, les credentials d’accès distant et des accès privilégiés à de nombreux sites industriels. L’exploitation par Cl0p de Cleo MFT, CrushFTP et Oracle E-Business Suite a montré qu’une seule faille dans un logiciel de transfert de fichiers ou d’ERP largement utilisé peut exposer des documents opérationnels dans des centaines d’organisations industrielles—même sans accès direct aux réseaux OT.
Le rapport CrowdStrike 2026 confirme la dimension supply chain : les acteurs eCrime exploitent systématiquement les zero-days sur les systèmes d’entreprise exposés à Internet, notamment MFT, ITSM et ERP—autant de points chauds de conformité que les programmes de gestion des risques fournisseurs doivent traiter explicitement.
Comment Kiteworks réduit le rayon d’impact réglementaire des ransomwares
Le Réseau de données privé Kiteworks s’attaque à la racine du problème de conformité lié aux ransomwares : la gouvernance des échanges de données sensibles pour qu’en cas de faille, le rayon d’impact soit limité, les preuves immédiatement disponibles et les obligations de notification respectées dans les délais légaux.
La plateforme se déploie sous forme d’appliance virtuelle durcie avec des contrôles de sécurité intégrés—pare-feu réseau, WAF, détection d’intrusion—ne nécessitant aucune configuration côté client. Contrairement aux plateformes de productivité où la sécurité dépend d’un paramétrage correct, Kiteworks propose la sécurité comme une fonction produit, réduisant la surface d’attaque liée aux erreurs de configuration que les groupes de ransomware exploitent via les techniques LOTL et l’abus de credentials.
Chaque échange de données sensibles—e-mail, partage de fichiers, SFTP, MFT, API, formulaires web—est consigné dans un journal d’audit unifié, transmis en temps réel aux systèmes SIEM. En cas de faille, ce journal d’audit fournit immédiatement les réponses attendues par les régulateurs : quelles données ont été consultées, par qui, quand, et via quel canal. Cette infrastructure de preuve fait la différence entre une notification RGPD sous 72 heures fondée sur des faits, et une notification basée sur des suppositions.
Pour le risque tiers en particulier, la documentation de la chaîne de traçabilité de Kiteworks apporte la preuve de quelles données ont été partagées avec quels partenaires, sous quelles règles, et avec quelles protections. Si un fournisseur comme Indigo Group est compromis, les organisations utilisant Kiteworks peuvent évaluer rapidement leur propre exposition—plutôt que d’attendre 73 jours une divulgation qui ne les nommera peut-être jamais.
Que doivent faire les organisations pour considérer le ransomware comme un risque de conformité ?
Premièrement, mettez à jour votre plan de réponse aux incidents pour traiter explicitement les scénarios d’exfiltration de données sans chiffrement. La plupart des plans IR ransomware sont conçus pour le chiffrement et la restauration des systèmes. Si l’attaquant ne chiffre rien—il vole simplement les données et menace de les divulguer—la réponse doit être différente : il s’agit d’un événement réglementaire, pas opérationnel.
Deuxièmement, cartographiez vos obligations de notification réglementaire avant toute faille. Pour chaque juridiction où vous traitez des données personnelles, documentez le délai de notification, l’autorité à contacter, les informations requises et le workflow interne pour rassembler ces éléments. Le délai médian de divulgation de 73 jours du rapport Black Kite montre qu’il ne faut pas compter sur les fournisseurs pour vous prévenir à temps.
Troisièmement, mettez en place une classification des données et une gouvernance des échanges produisant des journaux d’audit en temps réel. Le rapport Thales indique que seulement 33 % des organisations savent où sont stockées leurs données. Si vous ne pouvez pas prouver quelles données un groupe de ransomware a consultées, votre notification sera au pire—et votre exposition réglementaire maximale.
Quatrièmement, évaluez le risque de concentration de votre supply chain à partir de données opérationnelles, pas de questionnaires. Le rapport Black Kite montre que de bonnes notes de conformité coexistent avec des fondamentaux faibles dans plus de la moitié des organisations suivies. Les questionnaires statiques et les attestations fournisseurs ne détectent pas les risques exploités par les groupes de ransomware. Surveillez les signaux de menace en temps réel—exposition de credentials, présence de vulnérabilités, indicateurs de phishing—chez vos fournisseurs critiques.
Cinquièmement, segmentez les échanges de données sensibles des plateformes de collaboration et de stockage généralistes. Quand un groupe de ransomware accède au réseau, il cherche les données à plus forte valeur sur tous les systèmes accessibles. Si les données sensibles—mises en demeure, dossiers financiers, PII clients, documentation technique—partagent la même plateforme que la collaboration courante, chaque incident ransomware devient un potentiel événement de notification réglementaire. Une plateforme dédiée et gouvernée réduit la probabilité que les données exfiltrées déclenchent des obligations réglementaires.
Le ransomware n’est plus un incident de sécurité avec des implications réglementaires. C’est un incident réglementaire qui exploite des failles de sécurité comme point d’entrée. Les organisations qui l’abordent ainsi—avec des journaux d’audit en temps réel, des workflows de notification cartographiés et des échanges de données gouvernés—sont celles qui survivent à une faille sans crise réglementaire dépassant le montant de la rançon.
Pour en savoir plus sur la protection de vos données sensibles contre les ransomwares, réservez votre démo sans attendre !
Foire aux questions
Non. Les sauvegardes traitent la perturbation opérationnelle due au chiffrement mais ne réduisent pas l’exposition réglementaire liée à l’exfiltration de données. Si un groupe de ransomware vole des données personnelles, les obligations de notification de violation prévues par le RGPD, HIPAA ou les lois locales s’appliquent, quel que soit le délai de reprise. L’exfiltration de données est désormais le principal levier d’extorsion—la préparation à la conformité est aussi essentielle que l’infrastructure de sauvegarde.
Black Shrantac cible spécifiquement les réseaux industriels et OT en utilisant des outils d’administration légitimes et l’exploitation de failles du périmètre. Les industriels doivent prioriser la correction des failles VPN et firewall, segmenter les réseaux OT et IT, et mettre en place une gouvernance des échanges de données pour la documentation technique et les communications fournisseurs. Le rapport Dragos 2026 a recensé 119 groupes de ransomware touchant 3 300 organisations industrielles en 2025.
Le rapport Black Kite 2026 fait état d’un délai médian de divulgation de 73 jours, avec de nombreuses victimes en aval jamais nommées. Tenez à jour vos propres registres des données partagées avec chaque fournisseur, via quels canaux et sous quelles protections. Le Réseau de données privé Kiteworks fournit une traçabilité complète de tous les échanges de données sensibles, permettant une évaluation indépendante de l’exposition sans dépendre des délais de notification du fournisseur.
Intégrez dans vos exercices des scénarios où l’attaquant ne chiffre pas les systèmes mais menace de publier les données volées. Testez les workflows de notification réglementaire, l’assemblage des preuves et la récupération des journaux d’audit sous contrainte de temps. Le rapport GuidePoint T1 2026 confirme que la double extorsion axée sur la donnée est le modèle persistant—des exercices qui ne testent que la restauration à partir des sauvegardes préparent à un mauvais incident.
Une gouvernance des échanges de données produit des journaux d’audit en temps réel pour chaque interaction sensible—qui a accédé à quoi, quand, via quel canal et sous quelle règle. Lorsqu’un groupe de ransomware exfiltre des données, ces preuves permettent de déterminer précisément le périmètre de la faille et de notifier sur des bases solides, plutôt que sur des hypothèses pessimistes. Le rapport Thales Data Threat 2026 révèle que seulement 33 % des organisations savent où sont stockées leurs données—ce qui fait de la classification des données et de l’audit une différence majeure entre une gestion maîtrisée de la faille et une crise réglementaire.
Ressources complémentaires
- Article de blog Comment protéger les données d’essais cliniques dans la recherche internationale
- Article de blog Le CLOUD Act et la protection des données au Royaume-Uni : pourquoi la juridiction compte
- Article de blog Protection des données Zero Trust : stratégies de mise en œuvre pour plus de sécurité
- Article de blog Protection des données dès la conception : comment intégrer des contrôles RGPD à votre programme MFT
- Article de blog Comment prévenir les violations de données avec le partage sécurisé de fichiers à l’international
Foire aux questions
Le chiffrement est désormais optionnel pour les attaquants. Des groupes comme Black Shrantac et Secpo utilisent les données volées—et non des systèmes bloqués—pour faire pression sur les victimes, transformant les failles de conformité RGPD, HIPAA et les lois locales en outils de négociation. Les sauvegardes restaurent l’activité mais ne résolvent pas le vol de données ni les notifications de violation déclenchées.
Dragos a recensé 119 groupes de ransomware ciblant 3 300 organisations industrielles en 2025—soit une hausse de 49 % par rapport à l’année précédente. L’industrie manufacturière a représenté plus des deux tiers des victimes, les groupes exploitant les systèmes IT-OT intégrés et les voies de la supply chain.
Avec le délai de notification RGPD de 72 heures, un délai de 73 jours signifie que les organisations sont souvent déjà en infraction avant même d’apprendre la faille chez un fournisseur. L’incident Indigo Group à lui seul a exposé des données concernant plus de 27 000 entités, déclenchant des obligations de notification en cascade qui ne peuvent pas reposer sur les divulgations des fournisseurs.
Les plans doivent couvrir explicitement les scénarios d’exfiltration de données sans chiffrement. Cela inclut la cartographie préalable des workflows de notification réglementaire, la mise en place de journaux d’audit en temps réel pour les échanges de données et l’évaluation des risques de concentration de la supply chain à partir de signaux de menace en direct plutôt que de questionnaires statiques.