Rançongiciels et revendications de vol de données dans le Golfe : six marchés, T1–T3 2026

L’essentiel

Cinq constats comptent pour un conseil d’administration ou un RSSI où que ce soit dans le Golfe. Chaque pays a son propre rapport, lié en fin d’article.

1. Les Émirats et l’Arabie saoudite concentrent trois quarts des revendications. Sur 83 revendications observées, 45 visent des organisations émiriennes et 17 des organisations saoudiennes, soit 75 %. Les quatre autres marchés totalisent 21. La visibilité varie selon les pays : c’est une carte de ce que montrent les sites de fuite, pas un classement du risque national.
2. Les groupes franchissent les frontières. Treize groupes sur 28 apparaissent dans deux marchés ou plus et ont signé ensemble 66 des 83 revendications. À elle seule, The Gentlemen apparaît dans quatre marchés avec 16 revendications, soit 19 % du total. Une liste d’indicateurs bâtie sur les incidents d’un pays protège en partie dans le suivant.
3. Il n’y a pas de marée commune. Les revendications se sont élevées à 30, 23 et 30 par trimestre sur les six marchés, mais les marchés ont évolué différemment. L’Arabie saoudite a culminé au T3, le Koweït et Bahreïn se sont tus après le T2, et le Qatar et Oman sont venus par rafales. La guerre qui a débuté le 28 février n’a pas provoqué de hausse uniforme des revendications d’extorsion.
4. Les victimes sont surtout des entreprises de taille intermédiaire et des fournisseurs, avec les infrastructures en périphérie. Des fournisseurs d’énergie en Arabie saoudite, des entreprises de construction et de négoce aux Émirats, des conseillers de l’État au Qatar, des entreprises de taille intermédiaire et un hôpital au Koweït, des entrepreneurs et un groupe logistique à Oman, un hôpital et un groupe de distribution automobile à Bahreïn. Les banques apparaissent sur les forums, pas sur les sites de fuite, dans les marchés que nous avons vérifiés.
5. Les forums sont plus actifs que les sites de fuite, et les vendeurs franchissent aussi les frontières. Nous avons examiné 116 publications de forums. Un même pseudonyme a listé des banques koweïtiennes et qataries le même jour, un vendeur apparaît à la fois au Koweït et à Bahreïn, et la même offre d’un organisme de sécurité bahreïni a été publiée deux fois, à sept mois d’intervalle. Traitez les offres de forums comme des tâches de vérification, pas comme des incidents confirmés.

Nous évaluons le risque global lié aux groupes à motivation financière dans le Golfe comme élevé et stable aux Émirats et en Arabie saoudite, et moyen avec des poches élevées ailleurs : données publiques et de citoyens, banques, santé, logistique et aviation. Ce sont nos évaluations, fondées sur des revendications de sites de fuite que nous n’avons pas vérifiées de manière indépendante.

1. Périmètre et méthode

Ce rapport résume nos six rapports par pays. Chacun compte les revendications nommant des organisations du pays publiées sur des sites de fuite entre le 1er janvier et le 30 septembre 2026, et traite les revendications datées d’octobre comme des développements ultérieurs. Une entreprise listée deux fois pour le même incident compte une fois. Nous rattachons une organisation à un pays par son siège ou ses principales opérations, de sorte que les entreprises dont le siège est ailleurs, avec un bureau local, ne sont pas comptées. Cinq des 83 revendications sont politiques ou destructrices plutôt que d’extorsion, et nous les comptons séparément lorsque la différence compte. Les outils de suivi datent parfois la même revendication différemment, de quelques jours à quelques semaines, et chaque rapport par pays indique les dates retenues.

Trois réserves s’appliquent à tout ce qui suit.

• Les sites de fuite, sur lesquels les groupes publient les données volées, ne montrent que les victimes qui n’ont pas payé ou négocié en privé. Le nombre réel d’incidents peut être plus élevé.
• La revendication d’un groupe n’est pas la preuve d’une compromission. Nous n’avons vérifié de manière indépendante aucun jeu de données publié.
• La visibilité varie selon les pays, et les petits marchés reposent sur de très petits effectifs, où une seule revendication change le tableau. Considérez nos chiffres comme les cas que nous avons observés, pas comme un décompte complet des incidents.

Termes. RaaS : rançongiciel en tant que service, un modèle où des développeurs fournissent leurs outils et leur infrastructure à des affiliés qui mènent les attaques contre un partage des gains. EDR : détection et réponse sur les terminaux, des logiciels de sécurité qui surveillent l’activité des postes et des serveurs. Courtier d’accès initial : vendeur d’un accès prêt à l’emploi à un réseau.

2. Six marchés en un coup d’œil

La colonne des groupes compte chaque groupe une fois par marché : elle totalise donc 47, alors que 28 groupes distincts ont signé les 83 revendications. Les fenêtres de forums diffèrent légèrement selon les rapports ; Oman et Bahreïn incluent des publications antérieures à 2026.

3. Les groupes qui franchissent les frontières

Vingt-huit groupes ont signé 83 revendications, et 15 d’entre eux n’apparaissent que dans un seul marché. Les 13 autres, listés ci-dessous, en ont signé 66. Trois constats ressortent. Premièrement, quelques marques parcourent toute la région : The Gentlemen, DragonForce et INC Ransom opèrent chacune dans trois ou quatre marchés. Deuxièmement, les nouvelles marques vont vite : Payload a revendiqué Bahreïn, les Émirats et le Qatar en 36 jours, et LockBit 5.0 le Koweït et Oman en environ sept semaines. Troisièmement, certaines marques restent locales : dans le Golfe, Krybit est presque entièrement une affaire émirienne, même si elle publie aussi en France, et Qilin n’apparaît qu’au Qatar et au Koweït.

Groupes vus dans au moins deux marchés : 13 sur 28, pour 66 des 83 revendications. Les profils des groupes, leurs tactiques et les notes de recherche figurent dans les rapports par pays. Dix-neuf des 28 groupes ont aussi publié des victimes françaises sur la même période, ce que couvre notre rapport sur la France.

Un groupe ne s’arrête pas à une frontière, et une liste d’indicateurs non plus.

4. Chronologies comparées

Le total régional paraît plat, mais il cache six profils différents. L’Arabie saoudite a affiché 4, 4, 9, avec quatre revendications du T3 d’un même groupe en 31 jours. Les Émirats ont affiché 16, 12, 17, aidés au T3 par une nouvelle marque, Krybit. Le Qatar a affiché 0, 4, 1, avec quatre revendications en 25 jours. Le Koweït a affiché 4, 2, 0, avec une série de LockBit 5.0 en début d’année. Oman a affiché 4, 0, 3, en deux rafales. Bahreïn a affiché 2, 1, 0. Deux marchés se sont tus sur les sites de fuite depuis le milieu de l’année, et un a doublé son rythme : c’est ce que produisent de petits effectifs et quelques groupes actifs. Nous ne lirions pas de tendance dans le total.

La guerre est d’abord physique. Selon les chronologies publiques, des frappes iraniennes de missiles et de drones ont touché Bahreïn, le Koweït, Oman, le Qatar et l’Arabie saoudite à partir du 28 février ou du 1er mars, et l’autorité cyber des Émirats décrit elle-même un flux d’attaques lié à la guerre. Nos données de sites de fuite ne montrent pas de hausse correspondante des revendications d’extorsion au premier trimestre ni après. L’effet cyber de la guerre apparaît plutôt sous forme de perturbation et de revendications politiques, traitées ensuite.

5. Qui est touché

Chaque rapport par pays classe ses propres revendications : les libellés de secteurs diffèrent. Le fil conducteur tient en ces points.

• Émirats arabes unis. Le plus grand nombre de revendications de tous les marchés, pas de baisse durable, une grappe se forme dans l’aviation. Lire le rapport
• Arabie saoudite. Volume plus que doublé au T3, la chaîne d’approvisionnement de l’énergie en ligne de mire. Lire le rapport
• Oman. Le tropisme énergie s’est estompé, la logistique et l’assurance sont apparues tardivement. Lire le rapport
• Koweït. La moitié des revendications d’une même série, silence après mai, forums actifs. Lire le rapport
• Qatar. Quatre revendications en 25 jours, conseillers de l’État, banques sur les forums. Lire le rapport
• Bahreïn. Plus petit registre, revendications de forums recyclées, forte vague de déni de service. Lire le rapport

Trois thèmes reviennent. Les entreprises de taille intermédiaire sont la victime typique dans chaque marché, parce qu’elles détiennent des données précieuses derrière des défenses plus modestes. Les fournisseurs et les conseillers comptent plus que leur taille ne le laisse croire, parce qu’ils détiennent les dossiers de leurs clients : cabinets d’ingénierie et un intégrateur de sécurité, cabinets juridiques et de conception, entrepreneurs et un groupe logistique. Et la santé apparaît dans les petits marchés, avec des hôpitaux au Koweït et à Bahreïn et un institut de recherche au Qatar. Aucune banque n’apparaît sur un site de fuite aux Émirats, et les banques apparaissent sur les forums, pas sur les sites de fuite, au Qatar et au Koweït.

6. Le flux politique et de guerre

Cinq des 83 revendications sont politiques ou destructrices : deux de la persona liée à l’Iran Handala (une saoudienne, une émirienne) et trois de la persona Nasir Security (une chacune contre une autorité fédérale émirienne, le ministère koweïtien de l’Intérieur et une société d’énergie omanaise). Les trois revendications de Nasir sont venues avec une rhétorique religieuse ou de résistance, sans volume de données ni preuve, et nous les traitons comme de l’activité d’influence jusqu’à preuve du contraire. La persona présente ses cibles comme des alliées des États-Unis. Ces revendications n’ont ni rançon, ni délai, ni prix : elles ne suivent donc pas le schéma de l’extorsion, mais elles peuvent tout de même déclencher une véritable enquête.

Le déni de service est un flux distinct. Un profil de SOCRadar sur le groupe pro-iranien DieNet recense 59 revendications d’attaque les 2 et 3 mars, dont 21 contre des cibles koweïtiennes, 15 contre des cibles bahreïnies, quatre contre les Émirats et une revendication multi-pays visant des systèmes de contrôle industriel qui inclut l’Arabie saoudite, Oman et le Qatar. Le même profil indique que DieNet gonfle souvent ses revendications. Ce ne sont pas des rançongiciels et elles sont hors de nos comptes, mais elles ont frappé les mêmes ministères, aéroports, banques et opérateurs de télécommunications qui apparaissent ailleurs dans ce rapport, et la défense relève de la capacité et du filtrage, pas d’un guide anti-rançongiciel.

7. Au-delà des sites de fuite : les forums

Dans les six rapports, nous avons examiné 116 publications de forums : 36 pour l’Arabie saoudite, 33 pour les Émirats, 24 pour le Koweït, 12 pour le Qatar, six pour Oman et cinq pour Bahreïn. Nous ne nommons aucune victime, parce que les revendications ne sont pas vérifiées et que nommer une cible peut amplifier une revendication non prouvée.

• Des données gouvernementales et de sécurité sont offertes dans chaque marché. Ministères, organismes de sécurité et registres d’état civil apparaissent au Koweït, à Bahreïn, en Arabie saoudite et ailleurs, souvent avec des chiffres ronds en titre. Deux cas évoquent un gonflement ou un recyclage : une base de données koweïtienne annoncée avec plus de personnes que le pays n’en compte, et une revendication bahreïnie de 200 Go publiée deux fois.
• Les vendeurs franchissent les frontières. Le pseudonyme cabyc a publié cinq annonces koweïtiennes et quatre qataries du secteur financier le 13 juin. Un pseudonyme nommé Ashborn au Koweït et TheAshborn à Bahreïn est probablement un seul vendeur. Anonymous2090 apparaît dans les échantillons saoudien, émirien et qatari. Nasir Security apparaît dans trois marchés.
• L’accès à la bordure est à vendre. Les offres d’accès à des pare-feu et à des VPN, dont une visant un hôtel bahreïni, sont le type d’annonce qu’un affilié de rançongiciel achète, et les éditeurs décrivent les équipements de bordure exposés comme le point d’entrée le plus courant.

Confiance. Que les publications existent : élevée. Que chacune décrive une véritable violation : faible. Que l’une corresponde à un incident de rançongiciel : faible. Nous ne pouvons relier aucune annonce à aucune revendication, et nous ne le faisons pas.

8. Comparaison du cadre réglementaire

Un délai de notification de 72 heures est courant dans le Golfe, mais sa source diffère, et cela compte pour savoir dans quelle mesure vous pouvez vous y fier. En Arabie saoudite, le régulateur décrit lui-même la règle. Au Qatar, la loi ne fixe aucun nombre d’heures et les 72 heures proviennent de lignes directrices du régulateur. Sur les autres marchés, nous nous appuyons sur des commentaires de cabinets d’avocats. Le tableau indique ce qu’a trouvé chaque rapport par pays et dans quelle mesure nous avons vérifié. Nous ne sommes pas juristes : prenez un avis juridique pour tout cas précis.

9. Perspectives pour le T4 2026 et le T1 2027

Ce sont nos prévisions, pas des constats, et chacune repose sur les données limitées ci-dessus.

1. Les Émirats et l’Arabie saoudite restent les centres de volume. Leurs flux d’entreprises de taille intermédiaire sont réguliers, et de nouvelles marques comme Krybit continuent d’arriver.
2. The Gentlemen et LockBit 5.0 sont les noms les plus susceptibles de revenir à l’échelle régionale. La première a des revendications dans quatre marchés, et la seconde a signé deux séries par pays en huit semaines.
3. Les petits marchés restent irréguliers. De zéro à cinq revendications par trimestre pour chacun du Qatar, du Koweït, d’Oman et de Bahreïn est une fourchette raisonnable, et un seul groupe actif peut faire bouger n’importe lequel. C’est une fourchette à faible confiance.
4. Des annonces de forums ressortiront sous forme de revendications. Certains accès listés sur des forums réapparaîtront comme victimes de sites de fuite en quelques semaines, et les annonces visant des banques, l’administration et l’hôtellerie méritent d’être vérifiées dès maintenant.
5. Le flux de la guerre est un facteur imprévisible. Des vagues de déni de service et des revendications politiques ont suivi les frappes et peuvent revenir rapidement à la moindre escalade, dans l’un des six marchés.

10. Que faire ce trimestre

1. Bâtissez vos défenses autour du comportement des groupes, pas des frontières. Partagez indicateurs et tactiques entre vos bureaux dans les différents pays et vos pairs régionaux, puisque les mêmes groupes opèrent dans plusieurs marchés.
2. Commencez par la bordure de votre réseau. Recensez chaque VPN, pare-feu et passerelle d’accès distant exposé à Internet. Fixez un objectif interne proposé de 48 heures pour corriger les failles activement exploitées, utilisez des mesures compensatoires lorsque la correction ne peut être immédiate, et hiérarchisez selon l’exploitation confirmée, l’exposition, la criticité de l’actif et les consignes de l’éditeur.
3. Vérifiez si vos identifiants sont en vente. Recherchez dans les journaux de voleurs d’informations, les combolists et les annonces de courtiers les comptes d’employés et de fournisseurs, changez les mots de passe des comptes dont les identifiants apparaissent, révoquez les sessions actives et vérifiez la réutilisation des mots de passe. Les banques, les ministères et les exploitants hôteliers devraient commencer par là.
4. Classez vos fournisseurs selon ce qu’ils détiennent. Les conseillers en ingénierie et en droit, les intégrateurs, les entrepreneurs et les prestataires logistiques détiennent vos plans, contrats et identifiants. Demandez à chacun des preuves de MFA, d’EDR et de sauvegardes hors ligne.
5. Supposez que la sécurité des postes peut être désactivée, et protégez la restauration. Alertez sur les arrêts de services, les nouvelles tâches planifiées et les outils de gestion à distance inattendus, protégez l’infrastructure de virtualisation, y compris les hyperviseurs, et testez les sauvegardes hors ligne, surtout pour les systèmes cliniques.
6. Préparez-vous au déni de service. Les portails du secteur public, de l’aviation, des banques et des télécoms devraient confirmer avec leurs fournisseurs les dispositifs de filtrage en amont et d’épuration du trafic avant la prochaine escalade.
7. Répétez le scénario de la double extorsion, et identifiez le bon régulateur. Sachez qui notifie quelle autorité et dans quel délai dans chaque pays où vous opérez, qui informe le conseil et qui décide de négocier. Documentez-le et testez-le.
8. Surveillez le nom de votre organisation. Les sites de fuite, les canaux Telegram et les forums de courtiers peuvent diffuser vos données avant que vous n’appreniez une violation. Une détection à ce stade peut faire gagner des jours.

Les six rapports par pays

• Rançongiciels et revendications de vol de données en Arabie saoudite : T1–T3 2026
• Rançongiciels et revendications de vol de données aux Émirats arabes unis : T1–T3 2026
• Rançongiciels et revendications de vol de données au Qatar : T1–T3 2026
• Rançongiciels et revendications de vol de données au Koweït : T1–T3 2026
• Rançongiciels et revendications de vol de données à Oman : T1–T3 2026
• Rançongiciels et revendications de vol de données à Bahreïn : T1–T3 2026

Sources

Chaque rapport par pays dresse la liste de ses propres sources. Celles qui nourrissent cette synthèse :

• Check Point Research, The State of Ransomware Q1 2026
• SOCRadar, Dark Web Profile: DieNet
• Infosecurity Magazine, The Gentlemen overtakes Qilin
• The National, Ransomware activity rises across Middle East (CloudSEK data)
• Check Point, LockBit 5.0 returns

Les sources sont liées dans leur langue d’origine.