MtoM Mag - Le journal de l'MtoM.

L’étude met en lumière l’utilisation croissante de l’IA par les cybercriminels, la multiplication des attaques et des méthodes d’extorsion, ainsi que les lacunes persistantes dans la capacité des organisations à restaurer leurs systèmes d’identité.

Semperis, spécialiste de la cyber-résilience et de la gestion de crise centrées sur l’identité, publie aujourd’hui les résultats de son Ransomware Risk Report 2026. En France, l’IA a été utilisée dans 100 % des attaques par ransomware étudiées, contre 84 % à l’échelle mondiale. L’étude met également en évidence une évolution des méthodes d’extorsion, avec des cybercriminels qui n’hésitent plus à exercer des pressions psychologiques ou physiques sur les salariés des organisations victimes et leurs proches.

En France, cette évolution se traduit notamment par des menaces physiques dans 6 % des attaques et des menaces visant des membres de la famille ou des proches dans 17 % des cas. Par ailleurs, 40 % des attaques ont ciblé les infrastructures d’identité, alors que seules 31 % des organisations interrogées disposent de systèmes de sauvegarde dédiés à l’identité.

« Le fait que l’IA ait été utilisée dans 100 % des attaques recensées en France montre à quel point elle est désormais intégrée à l’arsenal des cybercriminels. Mais l’évolution la plus préoccupante va au-delà de la technologie : les attaquants cherchent de nouveaux moyens d’exercer une pression directe sur les organisations, jusqu’à menacer leurs salariés et leurs proches. Face à cette évolution, les entreprises françaises doivent se préparer non seulement à prévenir une attaque, mais surtout à poursuivre leurs activités et à restaurer rapidement leurs systèmes critiques lorsqu’elle survient », déclare Matthieu Trivier, VP of Pre-Sales, EMEA de Semperis.

A l’échelle mondiale, le Ransomware Risk Report 2026 révèle également que les acteurs malveillants recourent à l’intimidation psychologique dans près de 25 % des attaques recensées dans les neuf pays étudiés : la France, les États-Unis, le Royaume-Uni, l’Allemagne, l’Italie, l’Espagne, Singapour, le Canada et l’Australie. Dans 53 % des cas, les victimes ont déclaré que les pirates avaient mis leurs menaces à exécution. Par ailleurs 24 % des victimes travaillant dans les entreprises attaquées ou des membres de leur famille ont subi du swatting, c’est-à-dire une intervention des forces de l’ordre provoquée par un faux signalement ; 25 % ont nécessité une prise en charge médicale ou psychologique à la suite d’une attaque par ransomware ; et 24 % des victimes ou de leurs familles ont fait appel à des services de protection personnelle.

« Les équipes informatiques et de cybersécurité sont déjà soumises à un stress important », explique Tim Beasley, Senior Incident Response Consultant de Semperis. « Une attaque par ransomware fait monter ce stress à un tout autre niveau. J’ai vu des RSSI dire : « J’arrête. C’est fini. Je ne peux plus faire ça. Ça n’en vaut pas la peine. » J’ai vu des personnes quitter l’entreprise parce que la direction estimait qu’une erreur de gestion de leur part avait provoqué la compromission. Tout cela pèse sur la santé mentale. »

Principaux résultats

L’IA transforme les attaques par ransomware.

Les attaquants ont eu recours à l’IA dans 100 % des attaques étudiées en France, contre 84 % à l’échelle mondiale.

Les attaquants exercent des pressions psychologiques et physiques sur les salariés des entreprises victimes et leurs familles.

En France, 6 % des attaques ont comporté des menaces physiques et 17 % des menaces visant des membres de la famille ou des amis. Les menaces psychologiques ou physiques contre les salariés ont concerné 40 % des attaques recensées dans l’ensemble des pays étudiés.

Les attaques répétées et les paiements multiples restent fréquents.

Dans près de 70 % des cas, les organisations victimes de ransomware ont été ciblées à plusieurs reprises ; 31 % ont effectué plusieurs paiements aux attaquants.

Les infrastructures d’identité restent une cible privilégiée, tandis que la préparation à leur restauration demeure insuffisante.

En France, 40 % des attaques ont ciblé les infrastructures d’identité. Pourtant, seules 31 % des entreprises interrogées disposent de systèmes de sauvegarde dédiés à l’identité et 30 % ont automatisé la restauration de leur système d’identité. À l’échelle mondiale, 87 % de l’ensemble des attaques par ransomware étudiées ont ciblé des systèmes d’identité tels qu’Active Directory (AD), Entra ID et Okta.

« Les cybercriminels font constamment évoluer leurs tactiques », déclare Mickey Bresman, CEO de Semperis. « Lors de la première vague d’attaques par ransomware, la plupart se concentrent sur le chiffrement des données. Puis, lorsque les systèmes de sauvegarde et de restauration des données ont commencé à se généraliser et à permettre aux entreprises de résister aux demandes de rançon, nous avons vu apparaître la double extorsion : le chiffrement s’accompagnait du vol de données et de menaces de les divulguer ou de les vendre. Les attaquants poursuivent ainsi l’évolution de leurs méthodes d’extorsion pour accroître la pression sur leurs victimes et les contraindre à payer. »

Ces résultats soulignent l’importance des infrastructures d’identité dans les stratégies des cybercriminels, mais aussi les difficultés des organisations à assurer leur restauration après une attaque. À l’échelle mondiale, dans près de 75 % des cas où une attaque par ransomware a réussi, les attaquants ont ciblé ou exploité le système d’identité. En France, les dispositifs de reprise restent limités : seules 31 % des entreprises disposent de systèmes de sauvegarde dédiés à l’identité et 30 % ont automatisé la restauration de leur système d’identité. Les plans de reprise après sinistre ou de gestion de crise des organisations françaises interrogées comprennent des procédures de restauration d’Active Directory dans 23 % des cas, d’Entra ID dans 33 % des cas et d’Okta dans 19 % des cas.

En France, les plans de réponse obsolètes constituent le principal obstacle à une gestion efficace des crises. Le manque de personnel expérimenté et les lacunes en matière de formation des salariés compliquent également la résilience opérationnelle des organisations.

« L’identité est la monnaie d’échange. Si un attaquant parvient à en voler une, il peut agir très vite. Les menaces internes ne proviennent pas toujours d’une personne qui abuse de son autorité », explique Chris Inglis. « Souvent, il s’agit d’une personne au sein de l’organisation qui agit pour le compte d’un attaquant externe en faisant un usage abusif de privilèges internes. Parfois, c’est un processus qui devient incontrôlable. Dans tous les cas, l’identité est au cœur du problème. »