Rançongiciels en France : comprendre la menace, s'y préparer, réagir

L'essentiel en bref

• En 2025, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) a eu connaissance de 128 compromissions par rançongiciel en France. C'est un peu moins qu'en 2024. Les PME, TPE et ETI restent les plus touchées, devant les collectivités et les établissements de santé.
• Le rançongiciel ne se limite plus au chiffrement. Les attaquants volent aussi les données et menacent de les publier : c'est la double extorsion. Certains groupes se contentent même du vol de données.
• En 2025, la souche la plus observée par l'ANSSI est Qilin (21 % des cas), devant Akira et LockBit. Au début de l'automne 2026, Qilin reste parmi les groupes les plus actifs.
• Les portes d'entrée les plus fréquentes sont les accès exposés sur Internet : VPN, bureau à distance, pare-feu, NAS et hyperviseurs mal protégés ou non mis à jour.
• Payer la rançon est déconseillé par les autorités. Plusieurs obligations s'appliquent en revanche : plainte sous 72 heures pour être indemnisé par son assureur, notification à la CNIL sous 72 heures si des données personnelles sont touchées.
• En cas d'attaque, de l'aide gratuite existe : le 17Cyber, cybermalveillance.gouv.fr, les CSIRT régionaux et, pour les entités les plus critiques, l'ANSSI.

De quoi parle-t-on ?

Selon l'ANSSI, un rançongiciel (ransomware) est un code malveillant qui empêche la victime d'accéder à ses fichiers, en général en les chiffrant. L'attaquant propose ensuite de fournir le moyen de les récupérer contre le paiement d'une rançon.

Double et triple extorsion

Les attaquants ne se contentent plus de bloquer les systèmes. Avant de chiffrer, ils copient les données de la victime, puis menacent de les divulguer. C'est la double extorsion. On parle de triple extorsion quand la pression s'étend : attaque par déni de service distribué (DDoS) contre la victime, ou chantage auprès de ses clients et partenaires. L'ANSSI constate aussi que des groupes pratiquent l'extorsion sans rançongiciel, à partir des seules données volées. Cette tendance reste encore limitée dans les incidents que l'agence a traités en 2025. En revanche, les incidents d'exfiltration de données portés à sa connaissance sont passés de 130 en 2024 à 196 en 2025.

Le rançongiciel en tant que service

La plupart des grands groupes fonctionnent comme des franchises, selon le modèle du ransomware-as-a-service (RaaS). Un « opérateur » développe le logiciel et l'infrastructure (site de chantage, négociation). Il les met à disposition d'« affiliés » qui mènent les attaques et lui reversent un pourcentage des rançons. Selon l'ANSSI, des franchises comme Akira, Inc Ransom et Qilin ont réussi à fidéliser leurs affiliés et à maintenir un haut niveau d'activité. Ce modèle explique pourquoi l'arrestation d'un membre ne suffit pas à faire disparaître un groupe : voir le cas d'un membre présumé de Qilin arrêté au Japon et remis à l'Allemagne.

Les courtiers d'accès

En amont, des courtiers en accès initiaux (Initial Access Brokers, IAB) revendent des accès à des réseaux d'entreprise ou des identifiants volés. Ces identifiants sont souvent collectés par des infostealers, des logiciels espions qui aspirent les mots de passe enregistrés dans les navigateurs. L'ANSSI décrit ces courtiers comme des intermédiaires indispensables de l'écosystème des rançongiciels. Conséquence pratique : une attaque peut commencer par un simple mot de passe volé sur un poste personnel, des semaines avant le chiffrement.

La menace en chiffres

Selon l'ANSSI (année 2025)

Le Panorama de la cybermenace 2025, publié le 11 mars 2026, retient les points suivants :

• 128 compromissions par rançongiciel portées à la connaissance de l'agence, contre 141 en 2024.
• Les PME, TPE et ETI restent la catégorie la plus touchée.
• La part des établissements de santé est de nouveau en hausse (8 %). Elle concerne des centres hospitaliers, mais aussi des EHPAD et des cliniques.
• La part des collectivités territoriales recule à 11 %, contre 17 % en 2024.
• Les établissements scolaires, notamment du primaire et du secondaire, ont été particulièrement touchés. Certains ont dû fonctionner en mode dégradé pendant plusieurs semaines.
• Les souches les plus représentées sont Qilin (21 %), Akira (9 %) et LockBit 3.0 (5 %). Plus d'une dizaine de nouvelles souches ont été observées pour la première fois, dont Nova, Warlock et Sinobi.

Ces chiffres ne couvrent que les incidents signalés à l'ANSSI : ils ne mesurent pas l'ensemble des attaques en France. L'agence signale aussi plusieurs attaques par rançongiciel contre des sous-traitants industriels de la défense au premier semestre 2025. Elle relève en outre des chiffrements de ressources hébergées dans le cloud : un seul prestataire compromis peut alors toucher de nombreux clients.

Selon cybermalveillance.gouv.fr (année 2025)

Le dispositif national d'assistance aux victimes a reçu 2 700 demandes d'assistance liées aux rançongiciels en 2025, tous publics confondus (+10 %). Parmi elles, 1 691 émanaient de professionnels (+7 %). Selon son rapport d'activité, après une accalmie en 2024, les attaques atteignent leur niveau le plus élevé pour la deuxième fois en cinq ans. Le rapport y voit l'amorce d'une possible reprise.

• Entreprises et associations : 4^e motif de demande d'assistance (8,1 %), en hausse d'environ 9 %.
• Collectivités et administrations : 3^e motif (13,1 %), à volume quasi stable (+1 %).

Pour les professionnels, l'attaque résulte le plus souvent d'une intrusion. Celle-ci passe par une faille dans des accès externes ou des services exposés (bureau à distance RDP, VPN, NAS), dans des équipements de bordure (pare-feu, passerelles) ou dans des logiciels de virtualisation.

Tendances récentes (2026)

Il n'existe pas encore de bilan officiel pour 2026. D'après le suivi de LeMagIT, fondé sur les revendications et les cas rapportés par la presse, plus de 920 incidents ont été recensés dans le monde en juillet 2026, et autant en août. C'est le niveau le plus élevé depuis le début de ce suivi, en 2020. En France, la menace reste élevée, avec un pic en mars 2026. Toujours selon ce suivi, Qilin et The Gentlemen sont les groupes les plus actifs, tandis qu'Akira recule depuis le début de l'année.

La faille CVE-2026-0257 de Palo Alto GlobalProtect, corrigée en mai, illustre ce schéma. Selon ReliaQuest, elle sert encore de porte d'entrée aux groupes Qilin et Settra.

Qui est concerné ?

Toutes les organisations le sont. L'ANSSI souligne que les rançongiciels ciblent « indistinctement » la plupart des secteurs et des régions : les attaques sont avant tout opportunistes. Les attaquants cherchent un accès vulnérable, pas une victime en particulier. Quelques exemples récents :

• la commune de Tarnos (Landes), dont la messagerie est visée depuis le 27 août 2026 ; le maire a confirmé une demande de rançon (source : LeMagIT) ;
• la Maison du souvenir de Maillé, structure mémorielle touchée le 10 septembre 2026 ;
• en Europe, l'attaque contre Collins Aerospace en septembre 2025, revendiquée par le groupe Everest. Selon l'ANSSI, elle a perturbé plusieurs aéroports européens pendant plusieurs jours.

Les prestataires sont un point de fragilité. En octobre 2026, au Japon, une attaque contre l'hébergeur IDCF Cloud a touché 495 clients, dont des collectivités. Les clients ont été invités à reconstruire leurs systèmes à partir de leurs propres sauvegardes.

Faut-il payer ?

Non. C'est la position constante de l'ANSSI et de cybermalveillance.gouv.fr. Leurs raisons :

• payer ne garantit ni la récupération des données, ni l'absence de publication des données volées ;
• la victime peut être de nouveau attaquée, ou recevoir une demande plus élevée ;
• la rançon finance les groupes criminels et leurs prochaines attaques.

Le paiement n'est pas interdit en tant que tel en France. Mais la seule protection solide reste de pouvoir redémarrer sans les attaquants, grâce à des sauvegardes saines. L'écosystème de la négociation fait lui-même l'objet d'enquêtes : le cofondateur d'une société de négociation de rançons a été arrêté aux États-Unis en octobre 2026. Il reste présumé innocent.

Vos obligations

Porter plainte, dans les 72 heures si vous êtes assuré

Depuis la loi d'orientation et de programmation du ministère de l'Intérieur (LOPMI) du 24 janvier 2023, l'article L. 12-10-1 du Code des assurances encadre l'indemnisation des cyberattaques. Pour être indemnisée, la victime doit avoir déposé plainte au plus tard 72 heures après avoir eu connaissance de l'attaque. La règle s'applique aux personnes morales et aux professionnels. Ce dépôt de plainte est une condition nécessaire, mais il ne suffit pas : c'est le contrat qui détermine ce qui est couvert. La plainte se dépose au commissariat, à la gendarmerie, ou par écrit au procureur de la République. Cybermalveillance.gouv.fr recommande de la déposer avant de réinstaller les machines, pour conserver les preuves. Pensez aussi à déclarer le sinistre à votre assureur.

Notifier la CNIL

Un rançongiciel touche presque toujours des données personnelles : fichiers du personnel, des clients, des usagers. Il s'agit alors d'une violation de données. Le responsable du traitement doit la notifier à la Commission nationale de l'informatique et des libertés (CNIL) dans les meilleurs délais, et si possible dans les 72 heures (article 33 du RGPD, le règlement général sur la protection des données). Une notification initiale peut être complétée ensuite. Si le risque est élevé, il faut aussi informer les personnes concernées. Dans tous les cas, l'incident doit être documenté en interne.

Autres signalements

Les opérateurs régulés, les établissements de santé et les administrations peuvent avoir des obligations sectorielles de déclaration. Vérifiez celles qui vous concernent. Le futur cadre issu de la directive européenne NIS2 étendra les obligations de signalement à de nombreuses entités. Voir notre dossier sur NIS2.

Calendrier et repères

• 4 septembre 2020 : publication du guide ANSSI et ministère de la Justice « Attaques par rançongiciels, tous concernés ».
• 24 avril 2023 : entrée en vigueur de l'obligation de plainte sous 72 heures pour l'indemnisation par l'assurance (LOPMI).
• 17 octobre 2024 : date limite de transposition de la directive NIS2, que la France n'a pas respectée.
• 17 décembre 2024 : lancement du 17Cyber.
• 11 mars 2026 : publication du Panorama de la cybermenace 2025 de l'ANSSI.
• Mars 2026 : rapport d'activité 2025 de cybermalveillance.gouv.fr.
• 7 mai 2026 : mise à jour de la fiche réflexe « Rançongiciel » de cybermalveillance.gouv.fr.
• Octobre 2026 : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS2, a été adopté par le Sénat le 12 mars 2025. Son examen à l'Assemblée nationale, prévu à partir du 7 octobre 2026, a été reporté le 6 octobre par la conférence des présidents, sans nouvelle date. Au 12 octobre 2026, il n'est pas promulgué.

Par où commencer

Avant : réduire le risque

1. Sauvegarder, dont une copie hors ligne. Faites des sauvegardes régulières, gardez-en au moins une copie déconnectée du réseau, et testez la restauration. Les attaquants cherchent d'abord à détruire les sauvegardes. Si vous êtes hébergé chez un prestataire, ne comptez pas uniquement sur ses instantanés.
2. Mettre à jour en priorité ce qui est exposé sur Internet : VPN, pare-feu, messagerie, accès distants, NAS, hyperviseurs. Après une faille critique, appliquer le correctif ne suffit pas toujours : vérifiez aussi qu'aucun accès suspect n'a eu lieu avant la mise à jour.
3. Activer l'authentification multifacteur (MFA) sur tous les accès distants (y compris la télémaintenance des prestataires), sur la messagerie et sur les services en ligne.
4. Limiter les droits. Pas de compte administrateur pour l'usage courant. Administrez depuis des postes dédiés. Changez les mots de passe par défaut.
5. Équiper postes et serveurs d'un antivirus ou d'un outil de détection (EDR). Conservez les journaux d'activité.
6. Former les équipes à repérer l'hameçonnage et à savoir qui alerter.
7. Préparer la crise. Tenez à jour la liste des contacts (prestataire, assureur, 17Cyber, CSIRT régional), une fiche réflexe imprimée et un plan de continuité et de reprise d'activité (PCA/PRA). Relisez votre contrat d'assurance.

Pendant : contenir sans détruire les preuves

1. Isoler : coupez l'accès Internet, débranchez du réseau les machines touchées et les sauvegardes connectées.
2. Ne pas éteindre les machines touchées : leur mémoire contient des preuves. Si le chiffrement est en cours, préférez la mise en veille prolongée. Ne rallumez pas les machines éteintes dont les données ont pu être épargnées. L'ANSSI cite le cas d'une entité qui a coupé l'alimentation de son centre de données : il en a résulté plusieurs semaines d'arrêt et la perte de traces utiles à l'enquête.
3. Alerter : votre prestataire informatique, le 17Cyber ou votre CSIRT régional. Les entités critiques alertent l'ANSSI.
4. Piloter la crise : constituez une cellule de crise, tenez un registre horodaté des actions et préparez la communication interne et externe.
5. Conserver les preuves : journaux, message de rançon, fichiers chiffrés, copies de disques.
6. Déclarer : plainte sous 72 heures, déclaration à l'assureur, notification à la CNIL si des données personnelles sont touchées. Ne payez pas.

Après : reconstruire proprement

1. Identifiez la porte d'entrée et corrigez-la avant toute remise en service.
2. Recherchez les traces laissées par l'attaquant : comptes créés, tâches planifiées, programmes inconnus.
3. Vérifiez sur No More Ransom (Europol) si un outil de déchiffrement existe.
4. Réinstallez les systèmes et restaurez à partir d'une sauvegarde saine, antérieure à l'intrusion.
5. Changez tous les mots de passe concernés et mettez tout à jour.
6. Reprenez l'activité progressivement, sous surveillance renforcée, puis faites un retour d'expérience.

Pour aller plus loin

• 17Cyber (17cyber.gouv.fr) : diagnostic en ligne et conseils, accessibles 24 h/24. Le service est proposé par la Police nationale, la Gendarmerie nationale et cybermalveillance.gouv.fr. Selon la gravité, un échange par tchat avec un policier ou un gendarme est possible. En cas d'urgence vitale, appelez le 17 ou le 112.
• Cybermalveillance.gouv.fr : fiche réflexe « Rançongiciel », mise en relation avec des prestataires labellisés (ExpertCyber).
• CSIRT régionaux : centres de réponse aux incidents gratuits, destinés aux entreprises, collectivités, associations et établissements de taille intermédiaire. Ils qualifient l'incident et orientent vers des prestataires de confiance. Leurs coordonnées figurent sur le site de votre région.
• ANSSI (cyber.gouv.fr) : Panorama de la cybermenace, guide « Attaques par rançongiciels, tous concernés », appui aux entités critiques.
• CNIL : téléservice de notification des violations de données.