Rançongiciels et revendications de vol de données en France : T1–T3 2026

L’essentiel

Cinq constats comptent pour un conseil d’administration ou un RSSI en France, et pour toute organisation active à la fois en France et dans le Golfe.

1. Dans notre suivi, la France affiche plus du double des revendications des six marchés du Golfe réunis. Nous avons observé 185 revendications liées à la France sur les neuf premiers mois de 2026, contre 83 pour les six marchés du Golfe, réparties 66, 57 et 62 par trimestre. Ces volumes sont observés dans notre collecte : ils ne constituent pas une mesure exhaustive ni directement comparable de l’incidence réelle. Les chiffres annuels bruts du suivi, avant dédoublonnage et sur un registre inégal pour les années anciennes, sont de 110 pour 2023, 130 pour 2024, 187 pour 2025 et 200 à ce jour en 2026 : ils n’établissent donc pas de tendance annuelle fiable.
2. Deux marques font deux cinquièmes des revendications. Qilin en a signé 42 (23 %) et The Gentlemen 34 (18 %). L’ANSSI, l’agence nationale française de cybersécurité, cite Qilin comme la souche la plus représentée dans ses incidents de rançongiciel de 2025, à 21 %. Les deux sources indiquent une présence marquée de Qilin, même si la période, la mesure et la méthode de décompte diffèrent. Derrière elles viennent 40 groupes, dont 23 n’apparaissent qu’en France.
3. Les victimes sont de petites entreprises, des conseillers et des collectivités. Les services professionnels sont en tête avec 38 revendications, dont neuf cabinets comptables et juridiques visés par neuf groupes différents, et 12 communes et intercommunalités apparaissent. Les organisations très connues sont minoritaires dans la liste, et plusieurs de leurs annonces émanent de groupes de vol de données aux preuves minces.
4. Les mêmes groupes opèrent en France et dans le Golfe. Dix-neuf des 42 groupes français ont aussi publié des victimes du Golfe sur la même période, et ils ont signé 143 des 185 revendications françaises (77 %). Krybit compte six revendications liées à la France et six dans le Golfe : cinq aux Émirats et une en Arabie saoudite. Ce recoupement justifie une veille commune aux deux régions, mais des noms de groupes identiques ne prouvent ni affiliés, ni infrastructures, ni techniques communs : les contrôles techniques doivent suivre chaque campagne observée.
5. Le marché des forums est une masse de petits fichiers du secteur public et grand public. Un suivi dénombre 1 369 publications de forums visant la France sur son historique, et les cinq pseudonymes les plus actifs en signent 18 %. Dans les dix premiers jours d’octobre, les publications que nous avons relevées proposent des dizaines de milliers d’enregistrements à la fois. L’ANSSI avertit que les données revendiquées peuvent provenir d’anciennes fuites : chaque annonce est donc une tâche de vérification.

Nous évaluons le risque pour les petites et moyennes entreprises françaises, et pour les collectivités, comme élevé et stable. Pour les conseillers comptables et juridiques, la santé et l’éducation, nous l’évaluons comme relevé, car ils détiennent les dossiers d’autres organisations. Ce sont nos évaluations, fondées sur des revendications de sites de fuite que nous n’avons pas vérifiées de manière indépendante.

1. Périmètre, et ce que les chiffres peuvent supporter

Ce rapport couvre les revendications nommant des organisations françaises publiées sur des sites de fuite entre le 1er janvier et le 30 septembre 2026. Les revendications datées d’octobre sont citées à part comme un développement ultérieur. Le suivi liste 200 entrées de ce type. Après suppression des doublons et des organisations dont le siège est ailleurs, il en reste 185. Nous comptons une seule fois le même domaine ou le même nom d’organisation listé à nouveau dans un délai de 14 jours, par le même groupe ou un autre. Cette règle peut fusionner des incidents réellement distincts chez une même organisation : une annonce répétée compte donc pour une revendication, pas comme preuve d’un seul incident. Nous rattachons une organisation à un pays par son siège ou ses principales opérations, à partir de son domaine et de son profil public : une multinationale n’est comptée en France que si son siège ou ses principales opérations s’y trouvent. Les descriptions d’entreprises du suivi sont parfois générées automatiquement, et nous ne les avons pas vérifiées. La visibilité varie selon les pays : les chiffres ne sont donc pas des totaux complets d’incidents.

Trois réserves s’appliquent à tout ce qui suit.

• Les sites de fuite, sur lesquels les groupes publient les données volées, ne montrent que les victimes qui n’ont pas payé ou négocié en privé. Le nombre réel d’incidents peut être plus élevé, et les décomptes d’incidents de l’ANSSI constituent encore une autre mesure.
• La revendication d’un groupe n’est pas la preuve d’une compromission. Nous employons « revendication » pour une annonce non vérifiée et « incident » uniquement pour un événement établi. Nous n’avons vérifié de manière indépendante aucun jeu de données publié, et plusieurs marques de ce rapport publient des revendications avec peu ou pas de preuves.
• Le rattachement d’une victime à un pays est imparfait, et certaines entreprises opèrent dans toute l’Europe. Considérez nos chiffres comme les cas que nous avons observés, pas comme un décompte complet des incidents.

Termes. RaaS : rançongiciel en tant que service, un modèle où des développeurs fournissent leurs outils et leur infrastructure à des affiliés qui mènent les attaques contre un partage des gains. EDR : détection et réponse sur les terminaux, des logiciels de sécurité qui surveillent l’activité des postes et des serveurs. Courtier d’accès initial : vendeur d’un accès prêt à l’emploi à un réseau. Commune : l’échelon le plus bas du pouvoir local français.

2. Chronologie : un flux régulier avec un pic en mars

La chronologie montre un flux régulier d’environ 20 revendications par mois, avec un pic de 34 en mars et un second sommet de 25 en août. Mars est soutenu par quatre revendications visant de grandes marques le 1er mars de la part d’une même persona de vol de données et par quatre revendications de Qilin le 3 mars, et août par trois revendications de Krybit le 7 août. Les sept premiers jours d’octobre ont ajouté six annonces visant cinq organisations : le flux ne s’est donc pas arrêté.

Le regard de l’ANSSI est plus stable. Son Panorama de la cybermenace 2025, publié en mars 2026, indique que 128 compromissions par rançongiciel ont été portées à la connaissance de l’agence en 2025, en légère baisse par rapport à 141 en 2024, tandis que les incidents d’exfiltration de données, avec ou sans rançongiciel, sont passés à 196 contre 130. Les deux séries mesurent des choses différentes : l’ANSSI compte les incidents qui lui sont signalés, et les sites de fuite comptent des revendications publiques. Elles montrent deux tendances simultanées : les compromissions par rançongiciel signalées à l’ANSSI ont légèrement reculé tandis que les incidents d’exfiltration de données ont augmenté.

3. Les groupes en un coup d’œil

Quarante-deux groupes ont signé 185 revendications. Les deux premiers en ont signé 76 (41 %), les sept suivants 45, et 33 groupes 64 à eux tous, dont 22 avec une ou deux revendications. C’est une tête concentrée et une longue traîne. Les deux premiers représentent quatre revendications sur dix, ce qui est une part des revendications observées, pas des intrusions ni des indicateurs, et le reste du terrain est trop varié pour une seule liste.

Les mêmes groupes en France et dans le Golfe

Dix-neuf des 42 groupes ont aussi publié des victimes du Golfe sur la même période, et ils ont signé 143 des revendications françaises. Le tableau montre les douze qui comptent le plus de revendications françaises.

Les chiffres du Golfe proviennent de nos six rapports par pays du Golfe et de la synthèse du Golfe. Lire la synthèse du Golfe

4. Qui est touché

Notre propre classification des 185 revendications, à partir des étiquettes sectorielles du suivi, avec le secteur public regroupé. Chaque revendication est comptée une fois.

Les services professionnels arrivent en tête avec 21 %. Neuf d’entre eux sont des cabinets comptables et juridiques, chacun revendiqué par un groupe différent, ce qui suggère non pas une campagne unique mais un appétit constant pour les entreprises qui détiennent les dossiers financiers d’autres organisations. Le secteur public et l’éducation en comptent 17, dont 12 communes et intercommunalités. Les données 2025 de l’ANSSI montrent que les petites et moyennes entreprises représentent 48 % des victimes de rançongiciel qu’elle a traitées et les collectivités locales 11 %. Cela correspond globalement à la répartition que nous observons, même si les sources et les méthodes de décompte diffèrent. Le tableau du Golfe est différent : davantage de fournisseurs de l’énergie et de l’aviation, peu de communes.

En France, la victime typique n’est pas un nom connu. C’est l’entreprise d’à côté.

5. Dossiers

Les chiffres montrent la forme du problème. Les cas individuels montrent comment il fonctionne. Chaque cas ci-dessous indique ce qui a été revendiqué, ce que suggèrent le calendrier et la structure, et le degré de confiance que nous lui accordons.

Cas 1. Qilin, un flux quotidien régulier (42 revendications)

Revendications. Du 7 janvier au 24 septembre, Qilin a publié 42 organisations françaises. Quatre l’ont été le seul 3 mars. L’ensemble comprend des cabinets juridiques et de conseil, des hôtels et une agence de voyages, un industriel inscrit le 1er mars, un distributeur de technologie le 27 avril, un club sportif le 5 août, trois communes et plusieurs coopératives alimentaires et agricoles.
Lecture. La diversité des secteurs, des tailles et des dates correspond à une marque RaaS dont les affiliés choisissent leurs cibles selon l’accès et non selon l’industrie. L’ANSSI désigne Qilin comme la souche de rançongiciel la plus représentée en France en 2025, à 21 % : le schéma précède donc cette année. Le 9 octobre, la presse a rapporté que le Japon avait confirmé l’arrestation d’un ressortissant russe de 28 ans accusé d’être un membre central de Qilin. Il a été interpellé à Osaka en mai et, selon les comptes rendus, remis à l’Allemagne le 2 octobre. Les comptes rendus le relient à des attaques contre des entreprises allemandes, pas à des victimes françaises. Il est trop tôt pour lire un effet sur l’activité française : les revendications de Qilin se sont poursuivies après l’arrestation de mai, et la dernière revendication liée à la France dans nos données date du 24 septembre.
Confiance. Élevée sur les chiffres et les dates. Faible sur la manière dont les affiliés choisissent leurs cibles.

Cas 2. The Gentlemen, publication par lots (34 revendications)

Revendications. Le groupe a commencé le 20 janvier et a signé 34 revendications, avec des lots de trois le 18 juin, de quatre le 30 juin et de trois le 23 juillet. Les victimes incluent une coopérative de distributeurs indépendants de quincaillerie, une entreprise de blanchisserie et de location de linge, un organisme de gestion de droits, un comité social, des domaines viticoles et une clinique d’ophtalmologie. Deux autres sont tombées la première semaine d’octobre.
Lecture. La publication par lots peut signifier que le groupe publie plusieurs annonces à la fois plutôt qu’au fil de la fin de chaque négociation. Ses fiches se lisent comme construites à partir de bases de données commerciales, ce qui peut expliquer pourquoi elles listent des entreprises dont le site dit peu de choses. La France est son plus grand marché dans nos deux jeux de données, avec 34 revendications ici contre 16 dans le Golfe : la liste française est donc celle où son rythme se voit le mieux.
Confiance. Élevée sur les chiffres et les dates. Faible sur la raison d’une part aussi importante pour la France.

Cas 3. Douze collectivités locales, huit groupes

Revendications. Douze communes et intercommunalités ont été listées entre janvier et septembre : Qilin trois, The Gentlemen deux, Kairos deux, et DragonForce, Lynx, MedusaLocker, Payload et Krybit une chacun. Dunkerque en faisait partie le 5 janvier, et des communes du sud, du nord et de la région parisienne ont suivi. S’y ajoutent une revendication visant un réseau scolaire en mai et une visant un ministère le 1er mars.
Lecture. Huit groupes différents ont signé les douze revendications : ce n’est donc pas une seule campagne. Les communes détiennent les registres d’état civil, les données de restauration scolaire et de paie, et font souvent gérer leur informatique par de petits prestataires ou des syndicats mutualisés : un prestataire faible peut ainsi en servir beaucoup. C’est une hypothèse, pas un constat. L’ANSSI indique que les collectivités territoriales représentaient 11 % de ses victimes de rançongiciel en 2025, en légère baisse sur l’année précédente.
Confiance. Élevée sur l’existence des annonces. Faible sur la cause.

Cas 4. Les marques de vol de données et les grands noms

Revendications. Un ensemble de marques qui vendent ou divulguent des données volées, sans chiffrement manifeste, représente les noms français les plus connus de la liste. Une persona se faisant appeler Lapsus$ a listé quatre grands noms d’un coup le 1er mars : un ministère, une université, une maison de vêtements et un groupe d’infrastructure. Coinbase Cartel a signé sept revendications, dont un groupe d’énergie, un éditeur de logiciels et un autre éditeur de logiciels, trois d’entre elles en cinq jours en avril. Clop a listé un fournisseur d’espaces de bureaux, un domaine non identifié et un syndicat. ShinyHunters a revendiqué une société de services de propriété intellectuelle le 1er août, le suivi citant plus de 21 millions d’enregistrements Salesforce.
Lecture. Ces revendications viennent avec des descriptions d’entreprises générées automatiquement et peu de preuves. L’ANSSI note que les données revendiquées peuvent provenir de fuites plus anciennes ou de plusieurs sources, et que les incidents d’exfiltration sont passés de 130 à 196 en 2025. Pour une entreprise nommée, la première étape consiste à qualifier les données : d’où elles viennent, quel âge elles ont et si elles correspondent aux dossiers de l’entreprise.
Confiance. Élevée sur l’existence des annonces. Faible sur le fait que l’une décrive une nouvelle intrusion.

Cas 5. La couche des conseillers : neuf cabinets, neuf groupes

Revendications. Neuf cabinets comptables et juridiques ont été listés : un organisme régional d’experts-comptables (Bravox), un cabinet d’avocats (Kairos), un autre cabinet d’avocats (Qilin), un cabinet comptable (Anubis), un cabinet d’expertise comptable (DragonForce), un cabinet d’audit (LockBit 5.0), un cabinet de comptabilité et de conseil (ZaWoo), une marque de conseil comptable (Everest) et un grand groupe de services comptables (Lamashtu, 30 septembre). Neuf cabinets, neuf groupes différents.
Lecture. Aucune campagne commune n’apparaît. Ce que la liste montre, c’est que de nombreux groupes sans lien se tournent vers le même type de cible : un cabinet dont les dossiers couvrent des dizaines ou des centaines de clients, avec une petite équipe informatique. Pour les clients, l’exposition est secondaire : leurs écritures comptables, leur paie et leurs contrats se trouvent chez quelqu’un d’autre. Les entreprises françaises devraient demander à leur comptable et à leur avocat ce qu’ils feraient le jour d’un incident, et dans quel ordre ils préviendraient leurs clients.
Confiance. Élevée sur les chiffres. Modérée sur la lecture en termes de risque fournisseur, qui est notre déduction.

Cas 6. Octobre a déjà commencé : six annonces, cinq organisations

Revendications. Entre le 1er et le 7 octobre, le suivi liste six autres revendications hors de la fenêtre : Krybit trois fois (deux contre un même groupe de services de télécommunications les 1er et 4 octobre, et une contre une commune le 2 octobre), The Gentlemen deux fois (un cabinet de commissaires de justice et un entrepreneur industriel, tous deux la première semaine d’octobre) et DragonForce une fois (7 octobre).
Lecture. Les cinq revendications de Krybit au T3 plus trois annonces en quatre jours d’octobre, contre deux organisations, en font le nom français qui progresse le plus vite après les deux leaders. Son registre comprend aussi cinq entreprises émiriennes. Une nouvelle annonce de la même organisation par le même groupe trois jours plus tard peut refléter l’expiration d’un délai de négociation, mais cela demande confirmation.
Confiance. Élevée sur les annonces. Modérée sur la croissance de Krybit, qui repose sur quelques semaines.

6. Acteurs de la menace actifs : présence, motivation et TTP

Cinq acteurs retenus, choisis pour leur intérêt pour les défenseurs et non par volume, ont signé 98 des 185 revendications et sont présentés ci-dessous. Coinbase Cartel et Akira se classent devant Krybit par le nombre et figurent dans la liste qui suit. Leurs détails techniques publics proviennent de rapports d’incidents mondiaux, pas des cas français : lisez donc les tactiques comme des comportements connus de chaque groupe en général, pas comme la preuve de ce qui est arrivé à une entreprise française précise. Les identifiants de techniques renvoient à MITRE ATT&CK.

Quatre acteurs disposant de suffisamment de rapports techniques publics sont présentés. Les marques reflètent les rapports publics sur chaque groupe dans le monde, pas des preuves d’incidents français. Une cellule vide signifie que la technique n’est pas documentée dans les sources que nous avons examinées, pas que le groupe ne l’utilise pas. Krybit n’a pas de colonne car nous disposons de moins de rapports techniques publics à son sujet.

Profils des acteurs

Autres groupes à connaître

• Coinbase Cartel (7) et Lapsus$ (4). Marques de vol de données aux preuves minces et aux descriptions d’entreprises générées automatiquement. Voir le cas 4.
• Akira (6). Quatre au T1, aucune au T3 : une entreprise de location, un fabricant de composants, un fabricant de connecteurs, un cabinet d’ingénierie, une société de diagnostic et un fabricant d’équipements laitiers.
• Lamashtu (5), Nova (4), MedusaLocker (4), Anubis (4), Kairos (4), ZaWoo (4). Marques de taille moyenne avec une poignée de revendications chacune, mêlant petits industriels, écoles, communes, cabinets comptables et, pour Kairos, un centre d’expertise hospitalière le 30 septembre. Anubis formule ses revendications comme une violation de données chez une entreprise nommée, et plusieurs visent des cabinets comptables ou d’ingénierie.
• Lynx (3), Clop (3), ALP-001 (3), Bravox (3), Panzer (3). Trois chacun. Lynx a listé trois entreprises le même jour, le 5 janvier, dont une ville et deux sociétés privées.

7. Au-delà des sites de fuite : les revendications des forums

Les équipes de rançongiciel publient leurs victimes sur leurs propres sites. Tous les autres publient sur des forums criminels : vendeurs de données, courtiers d’accès, hacktivistes et chercheurs de notoriété. Un suivi dénombre 1 369 publications de forums visant la France sur tout son historique, pas seulement la fenêtre de ce rapport. Nous avons relevé 19 annonces du 4 au 10 octobre, ce qui suffit à montrer la forme du marché mais pas à le mesurer. Nous ne nommons aucune victime ici, parce que les revendications ne sont pas vérifiées et que nommer une cible peut amplifier une revendication non prouvée.

À quoi ressemble le marché

• Des pseudonymes concentrés. Les cinq premiers pseudonymes du suivi représentent 251 publications (18 %) : ChimeraZ 122, HexDex 52, misere 34, DumpSec 22 et X-VDP-X 21. ChimeraZ pèse à lui seul 9 % et apparaît aussi dans notre échantillon koweïtien, avec une offre visant une compagnie aérienne le 11 septembre, et dans des annonces étiquetées suisses.
• Des lieux concentrés. La plus grande source, un seul forum, porte 459 publications (34 %), et les quatre sources suivantes en portent 174, 117, 116 et 95.
• Titres avec nombre d’enregistrements. La plupart des annonces relevées indiquent un nombre d’enregistrements dans le titre, d’environ 7 000 à environ 1,4 million. Elles couvrent des portails du secteur public, un service d’un ministère de la Justice, une agence de paiement, un registre de tribunal de commerce, un organisme de l’eau, un fonds d’aide aux vacances, un programme de fidélité d’un distributeur, une association nationale de scoutisme, une école et un courtier en assurance.
• Remontée d’annonces. Un pseudonyme a publié la même annonce d’un service des eaux les 8 et 9 octobre, ce qui est une republication, pas une seconde violation.

L’ANSSI met en garde : les données publiées par des attaquants peuvent provenir de fuites plus anciennes ou de plusieurs sources, et les victimes doivent les qualifier avant d’agir. Nous appliquons la même règle. Pour un organisme public ou un distributeur, cela signifie vérifier si un échantillon correspond aux enregistrements actuels, quel âge semblent avoir les champs et si l’auteur de l’annonce revend quelque chose de déjà public.

Confiance. Que les publications existent : élevée. Que chacune décrive une véritable violation : faible. Que l’une corresponde à un incident de rançongiciel : faible. Nous ne pouvons relier aucune annonce à aucune revendication, et nous ne le faisons pas.

8. Mise à jour hors de la fenêtre du rapport : octobre 2026

Entre le 1er et le 7 octobre, le suivi liste six autres revendications liées à la France sur des sites de fuite contre cinq organisations (cas 6), et notre relevé des forums montre des annonces chaque jour du 4 au 10 octobre. Le 9 octobre, la presse a rapporté l’arrestation de Qilin décrite dans le cas 1. Aucun de ces éléments n’entre dans les 185.

9. Comment ils entrent

Les sites de fuite montrent les victimes, pas les intrusions : cette section s’appuie donc sur des rapports publics de l’ANSSI et d’éditeurs. Le tableau cohérent :

• Accès distant exposé et comptes valides. Les éditeurs décrivent des affiliés de Qilin et de LockBit 5.0 qui passent par des comptes VPN, des services distants et des outils de gestion qui se fondent dans l’administration normale.
• Vol de données sans chiffrement. L’ANSSI indique que des éditeurs signalent une part croissante d’extorsion sans déploiement de rançongiciel, même si elle reste limitée dans ses propres dossiers, et que les incidents d’exfiltration de données dont elle a connaissance, avec ou sans rançongiciel, sont passés de 130 à 196 en 2025.
• Accès achetés et identifiants volés. Les vendeurs de forums proposent enregistrements et accès à bas prix, et les combolists alimentent le bourrage d’identifiants, la prise de contrôle de comptes et la compromission de messagerie d’entreprise.
• Prestataires mutualisés. Les cabinets comptables, les petits prestataires informatiques et les syndicats qui servent de nombreuses communes détiennent les dossiers de nombreuses organisations, ce qui est une hypothèse à examiner parmi d’autres.

10. Le cadre réglementaire

La France applique le Règlement général de l’UE sur la protection des données. L’autorité de protection des données, la CNIL, indique qu’une violation de données personnelles créant un risque pour les personnes doit lui être notifiée dans les meilleurs délais après sa découverte, sous 72 heures si possible, avec une explication si le délai est dépassé, et que les personnes doivent aussi être informées lorsque le risque est élevé. Les notifications passent par le service en ligne de la CNIL. Le panorama de l’ANSSI ajoute que la victime dont les données sont confirmées volées doit aussi remplir ses obligations réglementaires, y compris la déclaration à la CNIL. Sur les règles de cybersécurité, la France est encore en train de transposer la directive européenne NIS 2 par le projet de loi Résilience (projet no 1779). Des commentateurs indiquent que le Sénat l’a adopté, et le site de l’Assemblée nationale montre des amendements en cours de traitement début octobre : nous le considérons donc comme pas encore en vigueur. Nous n’avons pas vérifié son stade exact dans le dossier officiel, et nous n’avons pas pu étayer un renvoi signalé devant la Cour de justice de l’UE : nous ne nous appuyons donc pas dessus. La séquence de notification de la directive, une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous un mois, ne s’applique qu’aux entités concernées une fois la loi nationale entrée en vigueur. Prenez un avis juridique pour tout cas précis. Nous ne sommes pas juristes.

11. Perspectives pour le T4 2026 et le T1 2027

Ce sont nos prévisions, pas des constats, et chacune repose sur les données ci-dessus.

1. Le flux se poursuit à 50 à 80 revendications par trimestre. La première semaine d’octobre a ajouté six annonces, et le registre trimestriel est resté entre 57 et 66. C’est un scénario qualitatif, pas une prévision statistique. Il suppose une couverture de collecte et des règles d’attribution globalement stables, et un changement de l’une ou l’autre, ou la perte d’un grand site de fuite, le ferait bouger.
2. Qilin et The Gentlemen restent en tête. Ensemble, elles détiennent 41 % du registre. L’arrestation de Qilin en Allemagne ne changera probablement pas cela à elle seule, puisque ce sont les affiliés, pas la personne arrêtée, qui choisissent les cibles.
3. Krybit continue de croître. Elle est passée de zéro au T1 à cinq revendications au T3 et trois annonces début octobre, sur un historique court, et elle opère aussi dans le Golfe.
4. Les collectivités et les conseillers restent des cibles. Les communes et les cabinets comptables et juridiques ont attiré des revendications de nombreux groupes : attendez-vous donc à en voir aussi de nouvelles marques.
5. Les annonces de vol de données visant de grands noms continuent. Elles sont peu coûteuses à publier et peu prouvées : chacune doit donc être qualifiée avant toute réaction.

12. Que faire ce trimestre

1. Commencez par la bordure de votre réseau. Recensez chaque VPN, pare-feu et passerelle d’accès distant exposé à Internet. Fixez un objectif interne proposé de 48 heures pour corriger les failles activement exploitées, utilisez des mesures compensatoires lorsque la correction ne peut être immédiate, et hiérarchisez selon l’exploitation confirmée, l’exposition, la criticité de l’actif et les consignes de l’éditeur.
2. Vérifiez si vos identifiants sont en vente. Recherchez dans les journaux de voleurs d’informations, les combolists et les annonces de courtiers les comptes d’employés et de fournisseurs, changez les mots de passe des comptes dont les identifiants apparaissent, révoquez les sessions actives et vérifiez la réutilisation des mots de passe.
3. Demandez à votre comptable, à votre avocat et à votre prestataire informatique ce qu’ils détiennent et comment ils le protègent. Exigez des preuves de MFA, d’EDR et de sauvegardes hors ligne, et convenez à l’avance de la manière et du moment où ils vous informeront d’un incident.
4. Collectivités : séparez les prestataires mutualisés. Listez le syndicat ou le prestataire qui héberge vos systèmes d’état civil, de paie et de scolaire, vérifiez ses sauvegardes et testez leur restauration sans le réseau de production.
5. Qualifiez les données revendiquées avant de réagir. Si votre nom apparaît avec un nombre d’enregistrements, vérifiez d’où les données peuvent venir, quel âge elles ont et si elles correspondent à vos dossiers, puis décidez de la notification avec votre délégué à la protection des données.
6. Répétez le scénario de la double extorsion. Sachez qui notifie la CNIL et l’ANSSI, qui informe le conseil et qui décide de négocier. Documentez-le et testez-le.
7. Surveillez le nom de votre organisation. Les sites de fuite, les canaux Telegram et les forums de courtiers peuvent diffuser vos données avant que vous n’appreniez une violation. Une détection à ce stade peut faire gagner des jours.

Sources

• ANSSI / CERT-FR, Panorama de la cybermenace 2025 (March 2026)
• CNIL, Notifier une violation de données personnelles
• The Record, Japan confirms arrest of Russian Qilin operative, extradition to Germany
• SecurityWeek, Qilin ransomware suspect arrested in Japan, extradited to Germany
• Check Point Research, The State of Ransomware Q1 2026
• Infosecurity Magazine, The Gentlemen overtakes Qilin
• Proven Data, Qilin attack chain and MITRE ATT&CK TTPs
• Proven Data, LockBit 5.0 technical analysis and TTPs
• NIS Solutions, NIS2 in France (secondary source, status of the Résilience bill)

Les sources sont liées dans leur langue d’origine.