Rançongiciels et revendications de vol de données en Égypte : T1–T3 2026

Synthèse exécutive

Cinq constats méritent l’attention des conseils d’administration et des responsables de la sécurité des systèmes d’information (RSSI) en Égypte, ainsi que des entreprises qui travaillent avec des fournisseurs égyptiens ou opèrent sur ce marché.

1. L’Égypte présente le volume de revendications le plus élevé dans notre jeu de données. Nous avons recensé 36 revendications associées à l’Égypte au cours des neuf premiers mois de 2026, réparties entre les trois trimestres à raison de 9, 17 et 10 revendications. Ce total représente près du double des 19 revendications recensées dans les cinq pays du Maghreb réunis, ainsi que 43 % des 83 revendications relevées sur nos six marchés du Golfe. Ces chiffres correspondent aux observations issues de notre propre collecte. La couverture des sources, l’attribution géographique et les méthodes de déduplication pouvant varier d’un pays à l’autre, ce classement ne constitue pas une mesure de l’incidence réelle des attaques ni de leur prévalence à l’échelle nationale.
2. Les groupes industriels et commerciaux de taille moyenne figurent parmi les principales cibles. L’industrie et l’agroalimentaire (8 revendications), l’immobilier et la construction (7), la distribution (4), ainsi que l’hôtellerie et le voyage (4), représentent ensemble 23 des 36 revendications, soit 64 %. Cinq revendications (14 %) mentionnent des organismes publics ou des entreprises détenues par l’État, notamment un ministère de l’Agriculture, un distributeur national de carburant et la société publique des aéroports.
3. Trois entreprises du secteur pétrolier et gazier ont été citées en quinze semaines. Payload a revendiqué une compromission visant un producteur de gaz le 8 avril, APT73 a cité une raffinerie publique le 27 avril, puis Krybit a mentionné un distributeur national de carburant le 23 juillet. Trois groupes différents, un même secteur.
4. Les filtres géographiques sous-estiment le nombre de revendications associées à l’Égypte. Le suivi principal recense 28 entrées portant l’étiquette « Égypte » au 30 septembre. Après rapprochement et déduplication, notre décompte atteint 36 revendications. Cinq des six victimes égyptiennes revendiquées par Krybit sont en effet classées sous les États-Unis, l’Arabie saoudite, l’Inde, le Kenya ou sans attribution géographique. Un second outil de suivi fait également apparaître cinq revendications supplémentaires. Une veille reposant uniquement sur les filtres géographiques risque ainsi de manquer plus d’un quart des revendications recensées.
5. Le mois d’octobre a vu apparaître des universités parmi les cibles revendiquées, tandis que la période de grâce réglementaire relative à la protection des données arrive à son terme le 31 octobre. Entre le 7 et le 10 octobre, Umbra a revendiqué des compromissions visant trois universités égyptiennes et une entreprise de services informatiques. Selon des synthèses juridiques publiques, les dispositions d’application de la loi égyptienne sur la protection des données personnelles, notamment celles relatives à la notification de l’autorité compétente dans un délai de 72 heures, doivent entrer pleinement en application après le 31 octobre 2026.

Nous évaluons le niveau de risque comme élevé pour les groupes industriels et commerciaux égyptiens, les entreprises de l’immobilier et de la construction, ainsi que les entreprises publiques des secteurs de l’énergie et du transport. Il est jugé soutenu pour les acteurs du crédit à la consommation, de l’hôtellerie et de la santé. Pour les universités et les organismes publics, notre évaluation est également élevée, compte tenu de l’activité observée sur les forums. Il s’agit d’appréciations analytiques fondées sur l’activité observée et l’impact potentiel, et non de probabilités mesurées. Les revendications publiées sur les sites de fuite et les messages diffusés sur les forums n’ont pas été vérifiés de manière indépendante.

1. Périmètre, et ce que les chiffres peuvent supporter

Ce rapport couvre les revendications nommant des organisations dont le siège est en Égypte, publiées sur des sites de fuite de données entre le 1er janvier et le 30 septembre 2026. Les revendications datées d’octobre sont citées à part comme évolution ultérieure. Nous avons combiné deux suivis publics, ransomware.live et RansomLook, gardé le premier comme source principale pour les dates, et attribué chaque revendication selon le siège et le domaine de la victime, pas selon l’étiquette de pays du suivi. Nous avons écarté les entreprises non égyptiennes ayant des bureaux en Égypte, les entrées aux noms masqués ou invérifiables et les doublons d’une même victime à moins de 14 jours.

Trois réserves s’appliquent à tout ce qui suit.

• Les sites de fuite, où les groupes publient les données volées, ne montrent que les victimes qui n’ont pas payé ou négocié en privé. Le nombre réel d’incidents peut être plus élevé.
• La revendication d’un groupe n’est pas la preuve d’une compromission. Nous parlons de « revendication » pour une annonce non vérifiée et d’« incident » seulement pour un événement établi. Nous n’avons vérifié aucune revendication de manière indépendante, et deux suivis datent parfois la même annonce à plusieurs jours ou semaines d’écart.
• Chaque affirmation relève de l’un de trois types : une annonce observée (une revendication présente sur un suivi), un constat corroboré par une source externe (citée dans le texte) ou notre propre évaluation (signalée comme telle). Les comparaisons entre pays reflètent notre seule collecte, et nous ne publions pas de liste de victimes revendication par revendication, car les revendications ne sont pas vérifiées.
• Les annonces de forums et de Telegram viennent d’un seul outil de veille commercial qui n’affiche qu’un aperçu de chaque publication. Nous les décrivons par catégorie sans nommer de victime. Nous ne nommons la nationalité ou le commanditaire d’aucun acteur sauf si des rapports publics le font.

Termes. RaaS : rançongiciel en tant que service, un modèle où des développeurs fournissent leurs outils et leur infrastructure à des affiliés. EDR : détection et réponse sur les terminaux, des logiciels de sécurité sur les postes et les serveurs. Courtier d’accès initial (IAB) : vendeur d’un accès prêt à l’emploi à un réseau. PDPC : le Centre de protection des données personnelles égyptien.

2. Chronologie : un pic au printemps, puis une activité soutenue au T3

Le flux est en moyenne de quatre revendications par mois. Avril est le mois le plus chargé avec 8, suivi de février et mai avec 6 chacun, puis septembre avec 5. Le pic du deuxième trimestre vient de quatre groupes à la fois : Payload et The Gentlemen en avril, Lamashtu et NightSpire en mai et juin. La baisse de 17 à 10 est un retour à la normale et non une accalmie, car Krybit a publié à lui seul six des 10 revendications du troisième trimestre. Les dates diffèrent entre les deux suivis jusqu’à deux semaines pour cinq revendications (un concessionnaire, un hôtel, un groupe d’ingénierie, un producteur de produits chimiques et un promoteur), sans qu’aucune ne change de trimestre.

Les barres annuelles sont des comptes bruts de l’étiquette Égypte du suivi principal, pas les 36 revendications nettoyées. La barre 2026 contient 28 entrées jusqu’au 30 septembre et six en octobre, et dépasse déjà toute l’année 2025. Comme les années anciennes ont été collectées plus mince, nous lisons ces barres comme un signal de hausse, pas comme un taux de croissance mesuré.

3. Les groupes en un coup d’œil

Treize groupes ont publié 36 revendications. The Gentlemen sont en tête avec huit (22 %), Krybit en a revendiqué six et Payload cinq. À eux trois, ils pèsent 19 revendications, soit 53 % du total. NightSpire en a revendiqué quatre, LockBit 5.0 trois, DragonForce et Lamashtu deux chacun, et six groupes une chacun. Contrairement au Maghreb, où le lot d’un seul groupe en une journée a fait le deuxième trimestre, le registre égyptien est réparti sur de nombreux groupes aux activités répétées, signe d’un marché où les affiliés reviennent.

Revendications de la période du 1er janvier au 30 septembre 2026. Lire le rapport sur le Maghreb · Lire le rapport sur le Golfe

4. Qui est touché

Notre propre classification des 36 revendications, à partir des étiquettes sectorielles des suivis, en corrigeant celles dont nous avons vu qu’elles étaient erronées. Chaque revendication est comptée une fois.

L’industrie et l’agroalimentaire arrivent en tête avec 22 %, puis l’immobilier, la construction et l’ingénierie avec 19 %. Avec la distribution et l’hôtellerie, l’économie commerciale fait l’essentiel de la liste. Les services financiers attirent 3 revendications (8 %), toutes contre des prêteurs non bancaires et des sociétés de microfinance, et la technologie une seule. C’est différent du tableau 2025 de Positive Technologies, qui compte tous les types d’attaques et place la finance en premier à 19 %, l’IT en deuxième à 14 %, et le secteur public et les télécoms à 10 % chacun. Les deux lectures ne se contredisent pas : les ventes de données et les intrusions penchent vers la finance et l’IT, tandis que les sites de fuite de rançongiciels penchent vers des entreprises dont l’activité peut être perturbée.

En Égypte, l’organisation listée est le plus souvent un groupe familial ou coté, avec des usines, des sites et du personnel : le genre d’entreprise qui ne peut pas rester à l’arrêt.

5. Dossiers

Les chiffres montrent la forme du problème. Les cas individuels montrent comment il fonctionne. Chaque cas ci-dessous indique ce qui a été revendiqué, ce que suggèrent le calendrier et la structure, et le degré de confiance que nous lui accordons.

Cas 1. The Gentlemen : huit organisations égyptiennes en sept mois

Revendications. The Gentlemen ont listé huit organisations égyptiennes entre le 13 février et le 7 septembre. Deux sont tombées le même jour, le 13 février : une entreprise du verre et une compagnie aérienne. Les autres sont un bureau d’études, un groupe d’ingénierie et de construction métallique, un producteur de produits chimiques, un groupe d’électroménager, un promoteur immobilier et un holding de négoce et de distribution qui importe pneus et marques de mode. Un bureau d’études saoudien ayant des bureaux en Égypte, listé le 31 août, est hors de notre décompte.
Lecture. Le rythme est d’environ une revendication toutes les quatre à cinq semaines, sans longue pause, ce qui ressemble à un processus d’affiliés régulier visant des groupes établis de taille moyenne ou grande, avec plusieurs sites. De tels groupes ont souvent des filiales, un SI partagé et des fournisseurs qui élargissent l’effet d’une intrusion. C’est notre déduction, pas un constat. Nous n’avons trouvé aucune déclaration publique d’aucun des huit.
Niveau de confiance. Élevée sur l’existence des annonces. Modérée sur le schéma. Faible sur ce qui a été pris.

Cas 2. Krybit : six revendications égyptiennes que le filtre par pays cache

Revendications. Krybit a listé un distributeur national de carburant le 23 juillet, un exportateur de légumes surgelés le 26 août, trois autres le 1er septembre (un holding public de construction, un fabricant d’aliments pour animaux et une clinique privée) et la société publique des aéroports le 12 septembre. Dans le suivi principal, seul le distributeur de carburant porte l’étiquette Égypte. Les autres sont classés aux États-Unis, en Arabie saoudite, en Inde, au Kenya ou nulle part, alors que le second suivi décrit chacun comme égyptien. Le 4 octobre, Krybit a aussi listé un centre égyptien de fertilité dont le domaine est le même que celui d’une revendication de Gunra enregistrée en avril 2025.
Lecture. Krybit publie en gros lots couvrant de nombreux pays : le 1er septembre, il a listé 14 organisations dans le monde, dont trois égyptiennes. Un suivi qui étiquette selon le pays majoritaire du lot, ou selon l’hébergement de la victime, en placera certaines à tort. La leçon est pratique pour les défenseurs : rapprochez par nom et domaine, pas par étiquette de pays. Le double listage d’une même marque de santé en 2025 et 2026 montre qu’apparaître une fois ne met pas fin à l’exposition.
Niveau de confiance. Élevée sur l’existence des annonces et leur caractère égyptien. Faible sur les données et sur le fait que le domaine d’octobre soit la même entité qu’en 2025.

Cas 3. Pétrole et gaz : trois sociétés, trois groupes, 15 semaines

Revendications. Payload a listé le 8 avril un producteur égyptien de gaz et de condensats actif dans le delta du Nil et le nord du Sinaï. APT73 a listé le 27 avril un raffineur public d’Alexandrie, à la même date que son lot de quatre institutions marocaines (voir le rapport sur le Maghreb). Krybit a listé le distributeur national de carburant le 23 juillet. Un suivi classe le producteur de gaz en Libye ; nous le comptons comme égyptien et avons corrigé en conséquence notre rapport sur le Maghreb.
Lecture. L’énergie est une petite part de la liste (8 %), mais c’est le seul secteur où trois groupes distincts apparaissent en quelques mois, et deux des trois sociétés sont publiques. Les entreprises d’État détiennent des données opérationnelles sur les champs, les dépôts et les contrats d’approvisionnement qui intéressent d’autres acheteurs que ceux de l’extorsion. Nous n’avons aucune preuve de ce qui a été pris et aucune réaction publique d’aucune des trois.
Niveau de confiance. Élevée sur l’existence des annonces. Faible sur les données, le mobile et tout lien entre elles.

Cas 4. NightSpire : crédit à la consommation et hôtellerie, encore

Revendications. Le 24 mai, NightSpire a listé une société de crédit à la consommation et la franchise égyptienne d’une chaîne internationale de pizzas, le 26 mai une société de microfinance et le 15 juin un hôtel-resort cinq étoiles de la côte de la mer Rouge. En 2025, le même groupe avait listé un hôpital égyptien (mars), une société d’investissement (avril), une association de microfinance (juin) et une quatrième entrée en novembre. Positive Technologies rapporte une revendication visant l’association de microfinance en mai 2025, avec 8 Go de données proposés à la vente ; notre second suivi date l’annonce du 7 juin.
Lecture. Cela fait huit revendications égyptiennes en deux ans, avec la finance et les marques grand public comme thème récurrent. Les prêteurs non bancaires et les sociétés de microfinance détiennent l’identité et les revenus des emprunteurs et ont souvent des budgets de sécurité plus légers que les banques. C’est notre lecture ; les volumes revendiqués ne sont le plus souvent pas indiqués.
Niveau de confiance. Élevée sur l’existence des annonces. Modérée sur le schéma sectoriel. Faible sur les volumes et sur les dates de 2025.

6. Acteurs de la menace actifs : présence, motivation et TTP

Trois acteurs retenus, choisis pour leur intérêt pour les défenseurs et pas seulement par volume, ont publié 19 des 36 revendications et sont présentés ci-dessous. Leurs détails techniques publics proviennent de rapports d’incidents mondiaux, pas des cas égyptiens : lisez donc les tactiques comme des comportements connus de chaque groupe en général, pas comme la preuve de ce qui est arrivé à une entreprise précise. Les identifiants de techniques renvoient à MITRE ATT&CK.

Cinq acteurs disposant de suffisamment de rapports techniques publics sont présentés, chacun avec au moins deux revendications égyptiennes. Krybit n’a pas de colonne car les rapports techniques publics à son sujet sont minces. Les marques reflètent les rapports publics sur chaque groupe dans le monde, pas des preuves d’incidents égyptiens. Une cellule vide signifie que la technique n’est pas documentée dans les sources que nous avons examinées, pas que le groupe ne l’utilise pas.

Profils des acteurs

Autres groupes à connaître

• NightSpire (4), LockBit 5.0 (3), DragonForce (2), Lamashtu (2). Voir les sections 3 et 5. LockBit 5.0 a listé un ministère de l’Agriculture le 23 février, un concessionnaire en avril et un hôtel de la station d’El Alamein, sur la côte nord, en mai. DragonForce a listé un laboratoire pharmaceutique le 4 avril et un casino de Charm el-Cheikh le 16 juillet. Lamashtu a listé un groupe pharma et cosmétique le 4 mai et un agroalimentaire le 17 juin.
• Tengu, The Green Blood Group, Crypto24, Pear, APT73 et Orova (une chacun). Une agence de voyage le 27 janvier (Tengu), un fabricant de matériaux de construction de la zone du canal de Suez le 4 février (The Green Blood Group), un bureau d’ingénierie le 5 mars (Crypto24), une société de services IT le 6 mars (Pear), un raffineur public le 27 avril (APT73) et une société de santé du Caire le 4 août (Orova). The Green Blood Group, Orova et Pear sont des marques récentes, peu documentées publiquement.
• Groupes antérieurs du registre 2025. Positive Technologies cite BlackShrantac, qui a revendiqué 6 To auprès d’une filiale de crédit-bail de la Banque nationale d’Égypte ; DragonForce, qui a listé un prestataire IT et éditeur de logiciels national en décembre 2025 ; FunkSec, qui a revendiqué des données d’un organisme de transport maritime et de logistique ; et Gunra, qui a listé un prestataire médical.

7. Au-delà des sites de fuite : le marché des forums et de Telegram

Les équipes de rançongiciel publient leurs victimes sur leurs propres sites. Tous les autres publient sur des forums criminels et Telegram : vendeurs de données, courtiers d’accès, hacktivistes et chercheurs de notoriété. Un outil de veille commercial liste 73 publications étiquetées Égypte. Son aperçu en montre 12, datées du 15 septembre au 16 octobre : ce qui suit est donc un échantillon et non un décompte.

• L’éducation et la finance dominent l’échantillon visible. Quatre des 12 nomment des universités ou facultés, deux nomment l’autorité de régulation de la finance non bancaire (une fois sur un forum le 28 septembre et une fois sur Telegram le lendemain, par deux pseudonymes), deux nomment des entreprises ou événements technologiques et une nomme une société immobilière. Trois autres ne sont pas classées : un domaine d’entreprise, une marque de place de marché et un titre citant 60 millions d’Égyptiens.
• Quelques pseudonymes reviennent. Les cinq pseudonymes les plus actifs de cette vue dans l’outil totalisent 20 des 73 publications (27 %) : INT3X et CrowStealer 5 chacun, Revesky 4, BIGBROTHER et Keymous 3 chacun. BIGBROTHER et Keymous figurent aussi dans nos données du Maghreb : les mêmes noms opèrent dans toute l’Afrique du Nord.
• Plusieurs forums, un seul marché. L’outil liste des sources sur pwnforums (11 publications), breachforums (8) et trois domaines darkforums (8, 7 et 6). La republication d’un forum à l’autre est courante : 73 publications ne font pas 73 violations.
• Cohérent avec le tableau plus large. Positive Technologies a constaté que 39 % des annonces du dark web examinées pour l’Égypte en 2025 étaient des ventes et 31 % des distributions gratuites, que les bases de données représentaient 59 % des ventes et les accès réseau 29 %, et que le commerce de détail (14 %) et la science et l’éducation (12 %) étaient les secteurs les plus listés. Notre échantillon riche en éducation va dans le même sens.

Comme ailleurs, les données publiées par des attaquants peuvent provenir de fuites plus anciennes ou de plusieurs sources, et les victimes doivent les qualifier avant d’agir. Niveau de confiance. Que les publications existent : élevée. Que chacune décrive une véritable violation : faible. Que l’une corresponde à un incident de rançongiciel : faible.

8. Mise à jour hors de la fenêtre du rapport : octobre 2026

Entre le 4 et le 15 octobre, les suivis listent six revendications égyptiennes de plus. Umbra, un groupe suivi pour la première fois le 6 octobre, a listé une université technologique de Beni Suef le 6 ou 7 octobre (900 Go revendiqués), une société de services IT et de logiciels du Caire le 7 octobre (6 To), la faculté d’arts, de musique et de médias d’une université publique du Caire le 8 octobre (163 Go) et une université technologique d’Helwan le 10 octobre (481 Go). Krybit a listé le centre de fertilité le 4 octobre (cas 2), et un groupe nommé N0n a listé une académie de formation informatique le 15 octobre. Nous avons écarté deux autres entrées : une annonce LockBit 5.0 du 15 octobre pour un domaine en .com.eg, et une annonce NightSpire du 8 octobre pour un domaine que nous n’avons pas pu rattacher à une entreprise égyptienne. Ces volumes sont ceux revendiqués par les groupes eux-mêmes, non vérifiés, et nous n’avons aucune confirmation des universités ni de la société quant à un vol de données. Les quatre annonces d’Umbra en une semaine font de l’éducation le thème d’octobre à surveiller.

9. Comment ils entrent

Les sites de fuite montrent des victimes, pas des intrusions : cette section s’appuie donc sur des rapports publics d’éditeurs, sur l’étude 2025 de Positive Technologies et sur le titrage des annonces de forums.

• Logiciels malveillants et hameçonnage. Positive Technologies indique que les logiciels malveillants (45 %) et l’ingénierie sociale (26 %) ont été les principaux vecteurs des attaques réussies contre des organisations égyptiennes en 2025, avec les rançongiciels (33 %) et les logiciels espions (25 %) comme principaux types. Elle cite des campagnes d’hameçonnage de MuddyWater et d’UpCrypter visant des entreprises IT et industrielles.
• Comptes valides et services distants exposés. Les éditeurs décrivent des affiliés de The Gentlemen et de DragonForce qui passent par des comptes VPN et d’accès distant, souvent avec des identifiants achetés ou volés auparavant, avant de désactiver les outils de sécurité. Les groupes de taille moyenne de notre liste sont la cible typique de cette voie.
• Accès achetés. Positive Technologies a constaté que l’accès aux réseaux d’entreprise représentait 29 % des annonces de vente égyptiennes sur le dark web, dont le réseau interne d’un opérateur télécoms proposé à 12 000 dollars. Un affilié de rançongiciel peut acheter un tel accès et sauter l’étape de l’intrusion.
• Chaîne d’approvisionnement et structure des groupes. La même étude juge l’Égypte très exposée aux attaques de la chaîne d’approvisionnement et note le déplacement des attaquants des banques bien défendues vers les filiales et sous-traitants. Notre liste concorde : crédit-bail, crédit à la consommation et microfinance, un holding de négoce et une société publique d’aéroports se trouvent chacun au sein d’un groupe ou réseau public plus large.

10. Le cadre réglementaire

Nous nous appuyons sur des synthèses juridiques publiques, pas sur les textes officiels. La loi égyptienne n° 151 de 2020 sur la protection des données personnelles fixe des obligations aux responsables de traitement et aux sous-traitants. Son règlement d’application, la décision ministérielle n° 816 de 2025, a été adopté le 1er novembre 2025. Les synthèses indiquent qu’il exige une notification au Centre de protection des données personnelles dans les 72 heures suivant la connaissance d’une violation, avec la description de la violation, le nombre estimé d’enregistrements touchés et les mesures prises, et une notification aux personnes concernées dans les trois jours suivant celle du Centre. Il crée aussi des exigences de licence et de délégué à la protection des données. Les synthèses font état d’un délai de grâce d’un an qui s’achève le 31 octobre 2026, après quoi le Centre devrait appliquer pleinement le texte ; vérifiez la situation actuelle avec un conseil. La fin d’un délai de grâce n’est pas une nouvelle obligation de notification : les délais de 72 heures et de trois jours découlent du règlement lui-même, et les organisations concernées doivent être confirmées avec un conseil. La loi n° 175 de 2018 sur les infractions informatiques, la loi n° 10 de 2003 sur les télécommunications, dont relèvent l’autorité NTRA et l’EG-CERT, et la loi fintech de 2022 ajoutent des obligations sectorielles. Positive Technologies note que l’Égypte a atteint le premier niveau de l’indice mondial de cybersécurité de l’UIT en 2024, et la stratégie nationale de cybersécurité couvre 2023–2027. L’Égypte suivrait aussi une politique de non-paiement des rançons en tant que membre de la Counter Ransomware Initiative.

11. Perspectives pour le T4 2026 et le T1 2027

Ce sont nos prévisions, pas des constats, et chacune repose sur les données ci-dessus.

1. Le flux des sites de fuite reste entre 8 et 18 revendications par trimestre. Le registre a été de 9, 17 et 10, et six revendications sont apparues dans les 15 premiers jours d’octobre. Nous attendons un T4 au niveau du T3 ou au-dessus.
2. L’éducation est un secteur à surveiller. Quatre éléments d’universités ou de facultés dans un échantillon de 12 publications de forums et les quatre annonces d’Umbra en octobre sont une raison d’examiner l’exposition des universités, pas la preuve d’une campagne durable. Dossiers d’étudiants, données de recherche et comptes du personnel leur donnent de la valeur.
3. The Gentlemen et Krybit continuent. The Gentlemen ont nommé un nouveau groupe égyptien environ toutes les cinq semaines. Krybit publie par lots et peut ajouter des noms liés à l’État. Les deux risquent d’apparaître sous de mauvaises étiquettes de pays.
4. L’énergie et le transport publics restent exposés. Trois sociétés pétrolières et gazières, une société d’aéroports et un ministère de l’Agriculture ont été listés en 2026. Les exploitants de champs, de dépôts et d’aéroports détiennent des données et des systèmes dont la perturbation a des conséquences publiques.
5. L’application effective de la protection des données renchérit une revendication. À partir du 1er novembre, une annonce nommant des données personnelles peut déclencher un compte à rebours de 72 heures. Attendez-vous à des questions au niveau du conseil : qui décide, qui notifie, qui parle publiquement.

12. Que faire ce trimestre

1. Commencez par la périphérie de votre réseau. Inventoriez chaque VPN, pare-feu, passerelle d’accès distant et messagerie web exposés à Internet, corrigez les systèmes exposés, imposez l’authentification multifacteur et passez en revue qui peut atteindre les interfaces d’administration.
2. Vérifiez si vos identifiants sont en vente. Recherchez dans les journaux de voleurs d’informations, les combolists et les annonces de courtiers les comptes d’employés et de fournisseurs, changez les mots de passe des comptes concernés, révoquez les sessions actives et vérifiez la réutilisation des mots de passe.
3. Cartographiez votre groupe, pas seulement une société. Beaucoup d’entreprises égyptiennes listées sont au sein d’un groupe avec SI, domaine et fournisseurs communs. Segmentez les filiales, limitez la confiance entre elles et testez la restauration d’une société sans reconnecter les autres.
4. Universités et organismes publics : auditez avant qu’un forum ne le fasse à votre place. Testez chaque application web publique, retirez les panneaux par défaut et de test, passez en revue les comptes du personnel et des étudiants et gardez des sauvegardes hors ligne des données étudiantes et de recherche.
5. Vérifiez les données revendiquées avant d’agir. Si votre nom apparaît avec un nombre d’enregistrements, vérifiez d’où les données peuvent venir, quel âge elles ont et si elles correspondent à vos dossiers, puis décidez de la notification avec votre responsable de la protection des données et un conseil. N’ouvrez pas de fichiers divulgués sur un poste de travail ordinaire.
6. Répétez le compte à rebours de 72 heures avant le 1er novembre. Décidez qui confirme une violation, qui rédige la notification au Centre, qui informe les personnes dans les trois jours suivants et qui informe le conseil. Faites un exercice sur table à partir d’une annonce de site de fuite.
7. Surveillez par nom et domaine, pas par étiquette de pays. Suivez sites de fuite, canaux Telegram et forums de courtiers pour votre société, vos filiales, vos marques et vos fournisseurs, en graphies anglaise et arabe, afin qu’une annonce mal étiquetée ne passe pas.

Sources

• Ransomware.live, country victim records
• RansomLook, group and post records
• Positive Technologies, Shadows of the pyramids: Egypt's cyberthreat landscape in 2025
• Al Tamimi & Co., Egypt issues executive regulations of the Personal Data Protection Law
• Digital Policy Alert, Decision No. 816 of 2025 entered into force
• Wikipedia, Nile Air (headquarters and ownership)
• ClairSec_, rapport sur les rançongiciels au Maghreb

Le flux de forums que nous avons échantillonné est un service commercial et n’est pas lié.