Rançongiciels et revendications de vol de données à Bahreïn : T1–T3 2026

L’essentiel

Cinq constats comptent pour un conseil d’administration ou un RSSI à Bahreïn.

1. Bahreïn a le plus petit registre des six marchés du Golfe que nous suivons. Trois revendications observées contre 45 aux Émirats, 17 en Arabie saoudite, sept à Oman, six au Koweït et cinq au Qatar, même si la visibilité varie selon les pays. D’après notre décompte, Bahreïn a enregistré une revendication en 2022, deux en 2023, aucune en 2024 et une en 2025. Une série aussi petite ne permet guère plus que de dire que le registre est mince.
2. Trois groupes, trois secteurs, aucune répétition. Un groupe de distribution automobile (INC Ransom, 2 février), un hôpital privé (Payload, 15 mars) et un gestionnaire de complexes hôteliers (DragonForce, 12 juin). Aucun des trois groupes n’a signé une seconde revendication bahreïnie dans la fenêtre.
3. Les sites de fuite sont calmes depuis juin. La dernière revendication date du 12 juin, et le T3 n’en compte aucune. Les offres de forums se sont poursuivies en juillet : un registre calme sur les sites de fuite ne signifie donc pas un marché calme.
4. Les vendeurs de forums recyclent. La même offre de 200 Go d’un organisme de sécurité nationale a été publiée par deux pseudonymes différents à sept mois d’intervalle, et un hôtel a été proposé par deux pseudonymes presque identiques en cinq jours. Traitez les offres répétées comme du réemploi, pas comme de nouvelles violations, tant qu’elles ne sont pas vérifiées.
5. La guerre apparaît comme perturbation, pas comme rançongiciel. Des frappes iraniennes ont touché Bahreïn à partir du 28 février, et un groupe pro-iranien a revendiqué 15 attaques par déni de service contre des cibles bahreïnies en deux jours en mars. Nos données de sites de fuite ne comptent aucune revendication liée à la guerre à Bahreïn. Défendez-vous contre le comportement des groupes, pas seulement contre le titre local.

Nous évaluons le risque pour les entreprises commerciales bahreïnies de taille intermédiaire et la santé privée comme moyen et stable. Pour les organismes publics et les exploitants hôteliers, nous l’évaluons comme relevé, du fait des offres d’accès sur les forums et du contexte de guerre. Ce sont nos évaluations, fondées sur un très petit registre.

1. Périmètre, et ce que les chiffres peuvent supporter

Ce rapport couvre les revendications nommant des organisations bahreïnies publiées entre le 1er janvier et le 30 septembre 2026. Nous n’avons trouvé aucune nouvelle revendication bahreïnie sur un site de fuite entre le 1er et le 10 octobre. Les trois revendications sont des revendications d’extorsion à motivation financière. Une entreprise listée deux fois pour le même incident compte une fois. Nous rattachons une organisation à un pays par son siège ou ses principales opérations, à partir de son domaine et de son profil public : les entreprises dont le siège est ailleurs et qui ont un bureau à Bahreïn ne sont donc pas comptées. La visibilité varie selon les pays : les chiffres ne sont donc pas des totaux complets d’incidents ni une mesure comparable du risque national.

Trois réserves s’appliquent à tout ce qui suit.

• Les sites de fuite, sur lesquels les groupes publient les données volées, ne montrent que les victimes qui n’ont pas payé ou négocié en privé. Le nombre réel d’incidents peut être plus élevé. Avec des chiffres aussi petits, un seul incident change le tableau.
• La revendication d’un groupe n’est pas la preuve d’une compromission. Nous n’avons vérifié de manière indépendante aucun jeu de données publié.
• Le rattachement d’une victime à un pays est imparfait, et certaines entreprises opèrent dans toute la région. Considérez nos chiffres comme les cas que nous avons observés, pas comme un décompte complet des incidents.

Termes. RaaS : rançongiciel en tant que service, un modèle où des développeurs fournissent leurs outils et leur infrastructure à des affiliés qui mènent les attaques contre un partage des gains. EDR : détection et réponse sur les terminaux, des logiciels de sécurité qui surveillent l’activité des postes et des serveurs. Courtier d’accès initial : vendeur d’un accès prêt à l’emploi à un réseau.

2. Chronologie : trois revendications, puis un long creux

Deux revendications sont tombées au T1, à cinq semaines d’intervalle, et une en juin. Rien n’est apparu depuis. La première revendication, le 2 février, précède la guerre de près de quatre semaines : la guerre n’explique donc pas le registre. Avec trois points de données, les dates seules ne nous disent pas si un groupe est actif sur le marché ou si nous avons simplement vu trois annonces sans lien.

Le contexte de guerre est physique, et le versant cyber est surtout de la perturbation. Selon la chronologie publique, des frappes iraniennes de missiles et de drones ont commencé à toucher Bahreïn le 28 février, dont le quartier de Juffair à Manama, où se trouve le siège de la Ve flotte américaine, et ont continué jusqu’en juin. Un profil de SOCRadar sur le groupe de DDoS pro-iranien DieNet dénombre 15 revendications d’attaque contre des cibles bahreïnies les 2 et 3 mars, surtout des portails publics, dont un aéroport, un opérateur de télécommunications et un organisme d’assurance sociale. Le même profil indique que DieNet gonfle souvent ses revendications. Une presse locale citant un décompte d’éditeur indique que la part de Bahreïn dans les incidents de déni de service de la région est passée de 19 % au T1 à 6 % au T2. Les revendications de déni de service ne sont pas des rançongiciels : nous les laissons donc hors de nos comptes, et nos données de sites de fuite ne comptent aucune revendication liée à la guerre à Bahreïn.

3. Les groupes en un coup d’œil

Trois groupes ont signé une revendication chacun : aucun groupe n’a donc de schéma ici. INC Ransom et DragonForce opèrent aussi aux Émirats et en Arabie saoudite, tandis que Payload apparaît à Bahreïn, aux Émirats et au Qatar mais pas dans nos données saoudiennes. Les années plus anciennes ont apporté d’autres noms : BlackByte, BianLian, Cloak et Direwolf.

4. Qui est touché

Notre propre classification des trois revendications. Chaque revendication est comptée une fois.

• Distribution automobile : 1. H-Behbehani Brothers, un groupe fondé en 1957 qui représente plusieurs marques automobiles.
• Santé : 1. L’hôpital Royal Bahrain, un hôpital privé de 70 lits.
• Gestion hôtelière : 1. The DRM, une société de gestion de complexes hôteliers.

La liste des sites de fuite ne comporte ni organismes publics, ni banques, ni industriels. Le secteur public bahreïni apparaît plutôt sur les forums, sous la forme de données revendiquées d’un organisme de sécurité. La revendication contre l’hôpital est la plus grave des trois, car un arrêt de la santé a un coût clinique direct et les données de patients sont très sensibles.

Sur un marché aussi petit, une revendication contre un hôpital représente un tiers du registre.

5. Dossiers

Les chiffres montrent la forme du problème. Les cas individuels montrent comment il fonctionne. Chaque cas ci-dessous indique ce qui a été revendiqué, ce que suggèrent le calendrier et la structure, et le degré de confiance que nous lui accordons.

Cas 1. Un hôpital privé avec un délai (Payload, 15 mars)

Revendication. Le 15 mars, Payload a listé l’hôpital Royal Bahrain, en revendiquant 110 Go et en fixant un délai au 23 mars. La presse spécialisée l’a relayé en deux jours.
Lecture. Payload a ensuite revendiqué un conglomérat émirien le 28 mars et un cabinet d’avocats qatari le 20 avril : Bahreïn a donc été le premier de trois États du Golfe en 36 jours. C’est une diffusion géographique rapide pour une nouvelle marque, cohérente avec des affiliés qui réutilisent les mêmes sources d’accès dans plusieurs pays, mais les éléments n’établissent pas d’intrusion, de fournisseur ou de vecteur commun. Un hôpital détient des dossiers de patients, d’assurance et du personnel, et un délai suggère que le groupe s’attendait à une négociation.
Confiance. Élevée sur les dates. Modérée sur l’explication par un accès partagé, qui est notre déduction.

Cas 2. Un groupe de distribution automobile (INC Ransom, 2 février)

Revendication. Le 2 février, INC Ransom a listé H-Behbehani Brothers, un groupe de distribution automobile fondé en 1957. Nous n’avons vu aucun volume de données.
Lecture. Les groupes de concessionnaires détiennent des documents d’identité de clients, des détails de financement et d’assurance et des historiques d’entretien, ce qui rend les données utiles à la fraude même sans intrusion dans les systèmes des constructeurs. INC Ransom compte cinq revendications aux Émirats et deux dans le Royaume : la revendication s’inscrit donc dans un schéma régional d’entreprises de taille intermédiaire.
Confiance. Modérée sur le fait que l’annonce a été publiée comme décrit. Faible sur ce qui a été pris.

Cas 3. Un gestionnaire de complexes hôteliers (DragonForce, 12 juin)

Revendication. Le 12 juin, DragonForce a listé The DRM, une société qui gère des complexes hôteliers. Nous n’avons vu aucun volume de données.
Lecture. Les gestionnaires de complexes détiennent l’identité des clients et les détails de paiement, les dossiers du personnel et les contrats avec les propriétaires et les exploitants. DragonForce fonctionne par affiliés, et son empreinte principale dans le Golfe se situe aux Émirats, avec une revendication dans le Royaume : c’est donc sa première revendication bahreïnie dans notre registre. L’hôtellerie apparaît aussi parmi les offres de forums en juillet, ce que nous notons sans les relier.
Confiance. Modérée sur l’existence de l’annonce. Faible sur le contenu.

Cas 4. La même revendication de 200 Go, deux fois (juillet 2025 et février 2026)

Revendication. Le 29 juillet 2025, un pseudonyme de forum a proposé 200 Go censés provenir d’un organisme de sécurité nationale. Le 24 février 2026, un autre pseudonyme a publié le même titre : 200 Go du même organisme.
Lecture. Le même chiffre de deux pseudonymes à sept mois d’intervalle suggère un recyclage, une revente ou une annonce copiée plutôt que deux violations. Le second pseudonyme a aussi publié une offre visant une compagnie aérienne koweïtienne le 10 mars, ce qui relie deux de nos marchés par un même vendeur. Les organismes publics devraient vérifier si un échantillon correspond à leurs données et quel âge il a, et traiter la revendication comme une tâche de vérification.
Confiance. Élevée sur l’existence des deux publications. Faible sur le fait que l’une décrive une véritable violation.

Cas 5. Un hôtel proposé deux fois en cinq jours (25 et 30 juillet)

Revendication. Le 25 juillet, une publication Telegram d’un pseudonyme a nommé le domaine d’un hôtel de Bahreïn. Le 30 juillet, une publication de forum d’un pseudonyme presque identique a proposé un accès FortiGate pour le même hôtel.
Lecture. Les deux pseudonymes sont probablement un seul opérateur, et une offre d’identifiants de pare-feu ou d’accès VPN est le type d’annonce qu’un affilié de rançongiciel achète. Si elle est exacte, l’exposition de l’hôtel se situe en bordure de réseau : les premières vérifications portent donc sur le micrologiciel du pare-feu, les comptes VPN sans MFA et les interfaces d’administration exposées. Un hôtel détient l’identité des clients et des données de paiement. C’est une annonce d’accès, pas une revendication de vol de données.
Confiance. Élevée sur l’existence des publications. Faible sur le fait que l’accès fonctionne.

Cas 6. La vague de déni de service de mars

Revendication. Un groupe pro-iranien a revendiqué 15 attaques par déni de service contre des cibles bahreïnies les 2 et 3 mars, surtout des portails publics, dont un aéroport, un opérateur de télécommunications et un organisme d’assurance sociale.
Lecture. Ces attaques étaient calées sur les frappes et n’impliquent ni données volées ni rançon. Leur valeur pour l’attaquant est l’attention et la perturbation des services publics. Le groupe a l’habitude de surestimer ses revendications : certaines des 15 n’ont donc peut-être pas causé de pannes. La leçon pour les exploitants est la capacité et le filtrage, pas un guide anti-rançongiciel.
Confiance. Élevée sur le fait que les revendications ont été faites. Faible sur leur effet.

6. Acteurs de la menace actifs : présence, motivation et TTP

Trois acteurs ont signé les trois revendications. Leurs détails techniques publics proviennent de rapports d’incidents mondiaux, pas des cas bahreïnis. Nous n’avons aucune preuve au niveau des incidents provenant de victimes bahreïnies : lisez donc les tactiques ci-dessous comme des comportements connus de chaque groupe en général, pas comme la preuve de ce qui est arrivé à une entreprise bahreïnie précise. Les identifiants de techniques renvoient à MITRE ATT&CK.

Synthèse : motivation et présence

Ce que les acteurs partagent

Les noms des groupes diffèrent, mais leurs méthodes se recoupent. Dans l’activité mondiale documentée publiquement, tous trois volent des données pour les publier avant ou avec le chiffrement, et certains désactivent aussi des outils de sécurité. Cela ne montre pas que ces méthodes ont été employées dans les revendications bahreïnies de ce rapport.

Les marques reflètent les rapports publics sur chaque groupe dans le monde, pas des preuves d’incidents bahreïnis.

Profils des acteurs

Groupes antérieurs dans le registre bahreïni

• BlackByte. Un fournisseur de solutions informatiques et de télécommunications en octobre 2022.
• BianLian et Cloak. En 2023, un chantier naval régional de construction et de réparation et une société d’électricité.
• Direwolf. Une société d’investissement immobilier au printemps 2025.

7. Au-delà des sites de fuite : les revendications des forums

Les équipes de rançongiciel publient leurs victimes sur leurs propres sites. Tous les autres publient sur des forums criminels : vendeurs de données, courtiers d’accès, hacktivistes et chercheurs de notoriété. Nous avons examiné cinq publications visant Bahreïn, dont quatre parues entre le 24 février et le 30 juillet 2026 et une de juillet 2025. C’est un échantillon très court : nous le lisons donc comme un instantané, pas comme une tendance. Nous ne nommons aucune victime ici, parce que les revendications ne sont pas vérifiées et que nommer une cible peut amplifier une revendication non prouvée.

Ce que visent les cinq publications

• Secteur public et sécurité : 2. L’offre de 200 Go d’un organisme de sécurité nationale, publiée en juillet 2025 puis à nouveau en février 2026.
• Hôtellerie : 2. Un domaine d’hôtel sur Telegram et une offre d’accès FortiGate pour le même hôtel (cas 5).
• Médias et web : 1. Une offre du 4 mars d’un accès d’administrateur au site d’une salle d’exposition.

Qui publie

Cinq pseudonymes ont fait cinq publications, une chacun. Deux d’entre eux ont des noms presque identiques et sont probablement un seul opérateur. Un pseudonyme, TheAshborn, apparaît aussi dans notre échantillon koweïtien, ce qui relie les deux marchés par un même vendeur.

Pourquoi cela compte pour le risque de rançongiciel

L’accès aux équipements de bordure vendu sur des forums est la porte d’entrée de la chaîne du rançongiciel. Un registre de trois revendications de sites de fuite dit peu de choses de la quantité d’accès en vente, et nous ne pouvons relier aucune annonce à aucune revendication, et nous ne le faisons pas. La raison de surveiller les forums est l’intervalle entre une vente et une revendication publique, qui est généralement de quelques jours à quelques semaines.

Confiance. Que les publications existent : élevée. Que chacune décrive une véritable violation : faible. Que l’une corresponde à un incident de rançongiciel : faible. Pour les revendications visant des organismes publics et de sécurité, vérifiez avant d’escalader. Contrôlez si les données sont anciennes ou publiques, si elles correspondent à vos dossiers et si l’auteur propose des échantillons.

8. Mise à jour hors de la fenêtre du rapport : octobre 2026

Nous n’avons trouvé aucune nouvelle revendication liée à Bahreïn sur un site de fuite entre le 1er et le 10 octobre. La plus récente est la revendication du 12 juin contre un gestionnaire de complexes hôteliers, environ quatre mois avant ce rapport. Nous ne lisons pas cet écart comme un gage de sécurité : le registre est trop petit pour montrer une tendance, et les offres de forums se sont poursuivies en juillet.

9. Comment ils entrent

Les sites de fuite montrent les victimes, pas les intrusions : cette section s’appuie donc sur des rapports publics régionaux et d’éditeurs. Le tableau cohérent :

• Équipements de bordure exposés et comptes valides. Les offres d’accès à des pare-feu et à des VPN, comme l’annonce de l’hôtel, sont la voie d’entrée que les éditeurs décrivent le plus souvent pour les groupes de ce rapport.
• Accès achetés et identifiants volés. Les vendeurs de forums proposent accès et extraits de bases de données à bas prix, et les combolists alimentent le bourrage d’identifiants, la prise de contrôle de comptes et la compromission de messagerie d’entreprise.
• Perturbation louée. La vague de déni de service de mars reposait sur une infrastructure louée, pas sur une pénétration des réseaux : la défense, c’est la capacité et le filtrage.

10. Le cadre réglementaire

La loi bahreïnie sur la protection des données personnelles est la loi no 30 de 2018, en vigueur depuis le 1er août 2019 et supervisée par l’Autorité de protection des données personnelles. Des commentaires de cabinets d’avocats indiquent que le responsable du traitement qui prend connaissance d’une violation doit en informer l’Autorité sous 72 heures, avec une justification documentée en cas de retard, et doit informer les personnes concernées lorsque le risque est élevé. Nous n’avons pas vérifié ces points par rapport au texte de la loi. Le Centre national de cybersécurité de Bahreïn publie aussi des contrôles de cybersécurité pour les secteurs d’infrastructures nationales critiques, et nous ne les avons pas examinés. Les établissements financiers réglementés relèvent en outre de la Banque centrale de Bahreïn, dont nous n’avons pas examiné les règles. Prenez un avis juridique pour tout cas précis. Nous ne sommes pas juristes.

11. Perspectives pour le T4 2026 et le T1 2027

Ce sont nos prévisions, pas des constats, et chacune repose sur les données limitées ci-dessus.

1. Le volume des sites de fuite reste très faible. Nous attendons zéro à trois revendications au trimestre, une fourchette à faible confiance reposant sur un registre de trois revendications qu’un seul groupe pourrait modifier.
2. Les entreprises de taille intermédiaire et la santé restent les cibles probables. Les trois revendications nommaient des entreprises privées de ce type, et les groupes concernés opèrent tous aux Émirats.
3. Des offres d’accès de forums ressortiront sous forme de revendications. Certains accès bahreïnis listés sur des forums peuvent réapparaître comme victimes de sites de fuite en quelques semaines, et les offres visant l’hôtellerie et le secteur public méritent d’être vérifiées dès maintenant.
4. Le flux de la guerre est un facteur imprévisible. Des vagues de déni de service ont suivi les frappes et peuvent revenir rapidement à la moindre escalade.

12. Que faire ce trimestre

1. Commencez par la bordure de votre réseau. Recensez chaque VPN, pare-feu et passerelle d’accès distant exposé à Internet, y compris les équipements Fortinet. Fixez un objectif interne proposé de 48 heures pour corriger les failles activement exploitées, utilisez des mesures compensatoires lorsque la correction ne peut être immédiate, et hiérarchisez selon l’exploitation confirmée, l’exposition, la criticité de l’actif et les consignes de l’éditeur.
2. Vérifiez si vos identifiants sont en vente. Recherchez dans les journaux de voleurs d’informations, les combolists et les annonces de courtiers les comptes d’employés et de fournisseurs, changez les mots de passe des comptes dont les identifiants apparaissent, révoquez les sessions actives et vérifiez la réutilisation des mots de passe. L’hôtellerie et les organismes publics devraient commencer par là, vu les cas 4 et 5.
3. Classez vos fournisseurs selon ce qu’ils détiennent. Les gestionnaires hôteliers, concessionnaires, partenaires de santé et prestataires informatiques de votre chaîne d’approvisionnement détiennent des données d’identité et de paiement. Demandez à chacun des preuves de MFA, d’EDR et de sauvegardes hors ligne.
4. Testez les sauvegardes hors ligne des systèmes cliniques. Les exploitants de santé devraient confirmer que les dossiers et les systèmes d’imagerie peuvent être restaurés sans le réseau de production.
5. Préparez-vous au déni de service. Les portails du secteur public, de l’aviation et des télécoms devraient confirmer avec leurs fournisseurs les dispositifs de filtrage en amont et d’épuration du trafic avant la prochaine escalade.
6. Répétez le scénario de la double extorsion. Sachez qui notifie l’Autorité, qui informe le conseil et qui décide de négocier. Documentez-le et testez-le.
7. Surveillez le nom de votre organisation. Les sites de fuite, les canaux Telegram et les forums de courtiers peuvent diffuser vos données avant que vous n’appreniez une violation. Une détection à ce stade peut faire gagner des jours.

Sources

• Check Point Research, The State of Ransomware Q1 2026
• UpGuard, Payload claims data breach on Royal Bahrain Hospital
• Proven Data, Payload ransomware variant analysis
• 2026 Iranian strikes on Bahrain (event timeline)
• SOCRadar, Dark Web Profile: DieNet
• The Hacker News, 149 hacktivist DDoS attacks hit 110 organizations in 16 countries
• Gulf Daily News, Hacktivists behind 83% of Q2 DDoS attacks in MENA
• Bahrain National Cyber Security Center, CNI cybersecurity controls
• DLA Piper, Data protection laws in Bahrain (secondary source)
• Lex Mundi, Bahrain data privacy guide (secondary source)

Les sources sont liées dans leur langue d’origine.