Rançongiciels et revendications de vol de données au Koweït : T1–T3 2026

L’essentiel

Cinq constats comptent pour un conseil d’administration ou un RSSI au Koweït.

1. Le Koweït se situe dans la moitié basse des marchés du Golfe que nous suivons, et le registre laisse entrevoir une hausse. Six revendications observées contre 17 en Arabie saoudite, 45 aux Émirats, sept à Oman, cinq au Qatar et trois à Bahreïn, même si la visibilité varie selon les pays. D’après notre décompte, le Koweït a enregistré trois ou quatre revendications par an de 2022 à 2024, sept en 2025 et six sur les neuf premiers mois de 2026. Les années plus anciennes reposent sur un registre plus mince : nous lisons donc la hausse comme un indice, pas comme un fait établi.
2. Une seule marque a signé la moitié des revendications, contre des entreprises de taille intermédiaire. LockBit 5.0 a publié une société de commerce et de distribution, un intégrateur de systèmes de sécurité et un fabricant de béton préfabriqué entre le 26 janvier et le 13 mars. Aucun autre groupe n’a plus d’une revendication ici.
3. Les sites de fuite se sont tus après mai, mais pas le marché. La dernière revendication koweïtienne date du 28 mai, et le T3 n’en compte aucune. Les forums, eux, ont continué : cinq publications visant le Koweït sont apparues au T3, si bien qu’un registre calme sur les sites de fuite ne signifie pas un marché calme.
4. Les forums sont un marché parallèle à surveiller. Nous avons examiné 24 publications de forums sur neuf mois. Sept proposent des données de ministères et d’organismes de sécurité, cinq nomment des établissements financiers et deux proposent des bases de données de citoyens. Un pseudonyme, cabyc, a listé cinq institutions koweïtiennes le 13 juin, le jour même où il a listé quatre banques qataries. Ces revendications ne sont pas vérifiées, et aucune n’apparaît dans le registre des sites de fuite que nous avons examiné.
5. La guerre ajoute du bruit et un flux politique. Des frappes iraniennes ont touché le Koweït à partir du 28 février, et des campagnes hacktivistes de déni de service ont suivi en mars. Nos données de sites de fuite comptent une revendication liée à la guerre, contre le ministère de l’Intérieur, et elle est venue sans preuve. Défendez-vous contre le comportement des groupes, pas seulement contre le titre local.

Nous évaluons le risque pour les entreprises commerciales koweïtiennes de taille intermédiaire et leurs fournisseurs comme moyen. Pour les ministères, les banques et les détenteurs de fichiers de citoyens, nous l’évaluons comme relevé, du fait des annonces de forums et du contexte de guerre. Ce sont nos évaluations, fondées sur un petit registre.

1. Périmètre, et ce que les chiffres peuvent supporter

Ce rapport couvre les revendications nommant des organisations koweïtiennes publiées entre le 1er janvier et le 30 septembre 2026. Nous n’avons trouvé aucune nouvelle revendication koweïtienne sur un site de fuite entre le 1er et le 10 octobre. Cinq des six revendications sont des revendications d’extorsion à motivation financière. La sixième, contre le ministère de l’Intérieur, est une revendication à caractère politique sans élément de rançon, et nous la comptons séparément lorsque la différence compte. Une entreprise listée deux fois pour le même incident compte une fois. Nous rattachons une organisation à un pays par son siège ou ses principales opérations, à partir de son domaine et de son profil public. Les suivis datent parfois la même revendication différemment, de quelques jours à quelques semaines, et nous montrons les deux dates lorsque cela compte. La visibilité varie selon les pays : les chiffres ne sont donc pas des totaux complets d’incidents ni une mesure comparable du risque national.

Trois réserves s’appliquent à tout ce qui suit.

• Les sites de fuite, sur lesquels les groupes publient les données volées, ne montrent que les victimes qui n’ont pas payé ou négocié en privé. Le nombre réel d’incidents peut être plus élevé. Avec des chiffres aussi petits, un seul incident change le tableau.
• La revendication d’un groupe n’est pas la preuve d’une compromission. Nous n’avons vérifié de manière indépendante aucun jeu de données publié.
• Le rattachement d’une victime à un pays est imparfait, et certaines entreprises opèrent dans toute la région. Considérez nos chiffres comme les cas que nous avons observés, pas comme un décompte complet des incidents.

Termes. RaaS : rançongiciel en tant que service, un modèle où des développeurs fournissent leurs outils et leur infrastructure à des affiliés qui mènent les attaques contre un partage des gains. EDR : détection et réponse sur les terminaux, des logiciels de sécurité qui surveillent l’activité des postes et des serveurs. Courtier d’accès initial : vendeur d’un accès prêt à l’emploi à un réseau.

2. Chronologie : un premier trimestre chargé, puis le silence

L’année est concentrée au début. Quatre revendications sont tombées au T1, trois de LockBit 5.0, puis deux au T2 et aucune au T3. La guerre a commencé le 28 février, mais deux des quatre revendications du T1 étaient déjà publiques à cette date : la guerre n’explique donc pas la série. Les dates seules ne nous disent pas si la série du T1 reflète une campagne d’affiliés ou le moment où nous avons vu les annonces.

Le contexte de guerre est physique et bruyant. Selon la chronologie publique, des frappes iraniennes de missiles et de drones ont commencé à toucher le Koweït le 28 février, dont l’aéroport international, la raffinerie de Mina Al-Ahmadi et des centrales électriques et de dessalement, et se sont poursuivies jusqu’en été. Dans les premiers jours de mars, un profil de SOCRadar sur le groupe de DDoS pro-iranien DieNet dénombre 21 revendications d’attaque contre des cibles koweïtiennes en deux jours, visant le secteur public, les banques, l’aviation et les transports, et cite un décompte où le Koweït représente 28 % des revendications de DDoS hacktivistes au Moyen-Orient sur cette période. Les revendications de déni de service ne sont pas des rançongiciels, et le même profil indique que DieNet gonfle souvent ses revendications. Nous les laissons hors de nos comptes, mais elles montrent que les ministères et les banques du Koweït subissaient en même temps la pression d’un second flux, idéologique.

3. Les groupes en un coup d’œil

Quatre groupes ont signé six revendications, et LockBit 5.0 en a signé la moitié. LockBit 5.0 n’apparaît pas dans nos données saoudiennes, émiriennes ou qataries, mais elle a aussi revendiqué trois entreprises omanaises en février et mars. Qilin apparaît au Koweït et au Qatar mais pas dans les données saoudiennes ou émiriennes que nous avons examinées. Everest apparaît aussi aux Émirats. Cyble et d’autres éditeurs régionaux citent Clop et Everest parmi les groupes actifs contre le Koweït, et Clop a bien publié deux multinationales dont le siège est au Koweït le 21 novembre 2025, hors de cette fenêtre.

4. Qui est touché

Notre propre classification des six revendications. Chaque revendication est comptée une fois.

• Entreprises commerciales de taille intermédiaire : 4. Une société de commerce et de distribution, une chaîne de boulangeries-cafés, un intégrateur de systèmes de sécurité et un fabricant de béton préfabriqué.
• Santé : 1. L’hôpital Sidra Kuwait, un hôpital privé.
• Secteur public, revendication politique : 1. Le ministère de l’Intérieur, revendiqué par une persona alignée sur la guerre.

Le schéma est privé et de taille moyenne. Aucune des cinq revendications d’extorsion ne nomme une banque, une compagnie pétrolière ou un ministère. Le nom le plus lourd de conséquences de la liste est l’intégrateur de systèmes de sécurité, car un fournisseur de ce type peut détenir les plans et les configurations des sites de ses clients. Nous ne savons pas qui sont ses clients.

Un fournisseur qui installe vos systèmes de sécurité détient aussi les plans de vos bâtiments.

5. Dossiers

Les chiffres montrent la forme du problème. Les cas individuels montrent comment il fonctionne. Chaque cas ci-dessous indique ce qui a été revendiqué, ce que suggèrent le calendrier et la structure, et le degré de confiance que nous lui accordons.

Cas 1. T1 : quatre revendications, dont trois de LockBit 5.0

Revendications. Union Trading Company, une société de commerce et de distribution (26 janvier). La Baguette, une chaîne de boulangeries-cafés, listée par Qilin (17 février). Specialised Security Systems (10 mars). INDEX Precast, un fabricant de béton préfabriqué (13 mars). La première et la troisième portent des dates ultérieures dans certains suivis (20 février et 21 mars).
Lecture. Trois revendications de LockBit 5.0 contre des entreprises koweïtiennes de taille intermédiaire tombent en sept semaines, et la même marque a revendiqué trois entreprises omanaises entre le 25 février et le 18 mars. Ensemble, cela fait six revendications sur deux petits marchés en environ sept semaines. C’est cohérent avec un ou plusieurs affiliés qui exploitent un réservoir d’accès régional, mais les éléments n’établissent pas d’intrusion, de fournisseur ou de vecteur commun.
Confiance. Élevée sur les chiffres et les dates. Faible sur la raison pour laquelle la série s’est formée.

Cas 2. Un intégrateur de sécurité sur la liste (10 mars)

Revendication. Le 10 mars, LockBit 5.0 a listé Specialised Security Systems, un intégrateur koweïtien d’installations de sécurité et de sûreté. Nous n’avons vu aucun volume de données.
Lecture. Les intégrateurs conservent les plans des sites de leurs clients, les configurations des caméras et du contrôle d’accès, les identifiants de maintenance et les documents de projet. Si la revendication est exacte, le risque se reporterait sur les clients de l’intégrateur au lieu de rester chez une seule entreprise, et les clients peuvent ignorer qu’ils sont exposés. C’est une question de risque fournisseur, pas l’affirmation qu’un client a été compromis.
Confiance. Modérée sur le fait que l’annonce a été publiée comme décrit. Faible sur le contenu et sur tout effet pour les clients.

Cas 3. Une revendication contre un ministère sans preuve (5 avril)

Revendication. Le 5 avril, une persona appelée Nasir Security a affirmé avoir piraté le ministère koweïtien de l’Intérieur, avec la phrase « No US Allies is Protected Anymore ». La publication ne donnait ni volume de données ni échantillon. Un agrégateur date la même revendication du 22 août, et nous retenons avril car le registre des sites de fuite et la publication du forum la montrent tous deux.
Lecture. La persona a aussi revendiqué une autorité fédérale émirienne le 26 mars, et la formulation vise des États qui accueillent des forces américaines. Cela se lit comme une activité d’influence liée à la guerre, pas comme de l’extorsion : il n’y a ni demande de rançon, ni délai, ni prix. Une revendication de ce type peut tout de même déclencher une véritable enquête, car ignorer coûte plus cher que vérifier.
Confiance. Élevée sur la publication de la revendication. Faible sur l’existence d’une violation.

Cas 4. Un hôpital privé (Everest, 28 mai)

Revendication. Le 28 mai, Everest a listé l’hôpital Sidra Kuwait, un établissement privé. Le texte de l’annonce que nous avons vu était généré automatiquement et ne donnait aucun volume de données.
Lecture. Les hôpitaux détiennent des dossiers de patients, des informations d’assurance et des données du personnel, et un arrêt a un coût clinique direct, ce qui donne un levier à une équipe d’extorsion. Everest a aussi un historique d’annonces qui se révèlent non vérifiées ou fabriquées : nous traitons donc ceci comme une revendication à vérifier, pas comme un incident à présumer. Même si l’hôpital n’a pas été contacté, il est utile de vérifier les identifiants exposés et l’accès distant.
Confiance. Modérée sur l’existence de l’annonce. Faible sur ce qui a été pris.

Cas 5. Neuf annonces d’un même pseudonyme en un jour (13 juin)

Revendication. Le 13 juin, le pseudonyme de forum cabyc a publié cinq annonces koweïtiennes sur son propre site Tor : la banque centrale, deux organismes publics de crédit et de financement des petites entreprises, et deux des plus grandes banques du pays. Le même pseudonyme a publié quatre annonces de banques qataries le même jour (voir notre rapport sur le Qatar). Le 12 juillet, il a publié une offre de 120 000 enregistrements de monnaies numériques koweïtiennes. Nous n’avons vu le contenu d’aucune annonce.
Lecture. Neuf annonces du secteur financier dans deux pays en un jour par un même pseudonyme ne se lisent pas comme neuf violations. Elles se lisent comme un vendeur qui propose des accès, des identifiants ou des extraits de bases de données, ou qui garnit un catalogue de noms connus. Cela désigne un vendeur régional, pas une exposition propre au Koweït. Les établissements financiers devraient la traiter comme une tâche de vérification, pas comme un incident confirmé : vérifier les identifiants et sessions exposés, les tiers partagés et tout contact du vendeur.
Confiance. Élevée sur l’existence des annonces. Faible sur le fait qu’elles décrivent de vraies violations. Nous ne nommons pas les institutions au-delà des catégories ci-dessus.

Cas 6. Le registre d’état civil et les données de citoyens (de mai à septembre)

Revendications. Le 12 mai, un pseudonyme a proposé des données liées à l’autorité nationale du registre d’état civil. Le 19 août, une publication Telegram sous un nom empruntant la marque d’un groupe connu a revendiqué 3 To de ce même organisme. Le 10 juin, un autre pseudonyme a proposé une base de données qu’il a étiquetée d’une population de 8,5 millions, et le 3 septembre un troisième a proposé des enregistrements de « millions de citoyens koweïtiens ».
Lecture. Quatre revendications de quatre pseudonymes sur quatre mois visent le même type d’actif. Deux éléments suggèrent un recyclage ou un gonflement. Le chiffre de 8,5 millions dépasse la population totale du pays, et emprunter le nom d’une marque connue est un moyen d’attirer l’attention. La revente de données anciennes est courante. Les détenteurs de fichiers de citoyens devraient vérifier si un échantillon correspond à leurs données, contrôler son âge et envisager que l’exposition provienne de fuites plus anciennes et non d’une nouvelle intrusion.
Confiance. Élevée sur l’existence des publications. Faible sur le contenu de chacune.

6. Acteurs de la menace actifs : présence, motivation et TTP

Quatre acteurs ont signé les six revendications. Leurs détails techniques publics proviennent de rapports d’incidents mondiaux, pas des cas koweïtiens. Nous n’avons aucune preuve au niveau des incidents provenant de victimes koweïtiennes : lisez donc les tactiques ci-dessous comme des comportements connus de chaque groupe en général, pas comme la preuve de ce qui est arrivé à une entreprise koweïtienne précise. Les identifiants de techniques renvoient à MITRE ATT&CK.

Synthèse : motivation et présence

Ce que les acteurs partagent

Les trois groupes à motivation financière diffèrent par leur nom mais se recoupent par leurs méthodes. Dans l’activité mondiale documentée publiquement, tous trois volent des données avant le chiffrement, et Qilin désactive aussi des outils de sécurité. Cela ne montre pas que ces méthodes ont été employées dans les revendications koweïtiennes de ce rapport.

Les marques reflètent les rapports publics sur chaque groupe dans le monde, pas des preuves d’incidents koweïtiens.

Profils des acteurs

Une persona alignée sur la guerre

• Nasir Security. A war-aligned persona that also claimed the UAE Federal Customs Authority on 26 March. On 5 April its post claimed the Kuwaiti Ministry of Interior, with the line “No US Allies is Protected Anymore”. No data volume or proof was offered, and one aggregator dates the same claim to 22 August. Public descriptions of the persona mention social engineering, business email compromise, and weak third-party cloud services, not ransomware or custom malware. We treat the claim as influence activity until evidence appears.

Groupes antérieurs dans le registre koweïtien

• LockBit 3.0. A publié une minoterie et une compagnie aérienne nationale en 2022, un ministère du Commerce et une société d’ingénieurs en 2023, et un grand groupe de construction en 2024.
• Alphv, Quantum, Rhysida, Noescape. Une revendication koweïtienne chacun entre 2022 et 2023 : une société de logistique, une compagnie aérienne, un ministère des Finances et une entreprise de matériel de construction.
• Sarcoma et Chort. En 2024, un groupe hôtelier et une autorité publique de l’agriculture. Chort est un groupe d’extorsion de données plus récent qui a aussi touché des établissements d’enseignement américains.
• Revendications 2025. Nightspire (une société gazière), The Gentlemen (un cimentier), Kraken (une société de services de télécommunications), Radar (un groupe commercial), Kazu (un ministère des Travaux publics) et Clop (deux multinationales dont le siège est au Koweït, le 21 novembre, un schéma compatible avec des campagnes qui exploitent une seule faille pour atteindre de nombreuses victimes, même si nous ne pouvons pas relier ces deux cas à une faille précise).

7. Au-delà des sites de fuite : les revendications des forums

Les équipes de rançongiciel publient leurs victimes sur leurs propres sites. Tous les autres publient sur des forums criminels : vendeurs de données, courtiers d’accès, hacktivistes et chercheurs de notoriété. Nous avons examiné 24 publications visant le Koweït parues entre le 26 janvier et le 23 septembre 2026 : 15 sur des forums, trois sur Telegram et six sur le site Tor d’un seul vendeur. Par trimestre, cela donne 6, 13 et 5, juin portant à lui seul 8. Nous ne nommons aucune victime ici, parce que les revendications ne sont pas vérifiées et que nommer une cible peut amplifier une revendication non prouvée.

Ce que visent les 24 publications

• Secteur public et sécurité : 7. Des publications nommant les ministères de l’Intérieur, de la Défense, de l’Enseignement supérieur et de l’Électricité, un service de sécurité nationale et le registre d’état civil (deux fois).
• Finance : 5. Les cinq annonces du 13 juin : la banque centrale, deux prêteurs publics et deux grandes banques.
• Bases de données de citoyens : 2. Une étiquetée d’une population de 8,5 millions et une de « millions de citoyens koweïtiens ».
• Télécoms : 2. Deux offres de bases de données d’un même pseudonyme en février, nommant deux opérateurs mobiles.
• Aviation : 2. Deux offres de données d’une compagnie aérienne par deux pseudonymes, à six mois d’intervalle, l’une revendiquant 15 millions d’enregistrements de passagers et l’autre datée du 11 septembre.
• Éducation, énergie et autres : 6. Une université, une société pétrolière et gazière et quatre annonces grand public ou non classées, dont l’offre de monnaies numériques du 12 juillet.

Qui publie

Seize pseudonymes ont fait 24 publications. cabyc en a fait six (un quart), 0cx00iq trois, toutes contre des organismes publics et de sécurité, et un pseudonyme a fait deux offres dans les télécoms. Les treize autres ont publié une fois chacun. Trois pseudonymes relient le Koweït à ses voisins : cabyc a aussi publié au Qatar, un pseudonyme nommé Ashborn ici et TheAshborn dans notre échantillon bahreïni est probablement le même vendeur, même si nous ne pouvons pas le confirmer, et Nasir Security a aussi revendiqué les Émirats et Oman.

Pourquoi cela compte pour le risque de rançongiciel

Aucune de ces annonces n’est une revendication de rançongiciel, mais les accès et identifiants vendus sur des forums sont la porte d’entrée de la chaîne du rançongiciel. Un registre de six revendications de sites de fuite dit peu de choses de la quantité d’accès en vente, et 24 publications de forums suggèrent que l’offre est plus large que ce registre. Nous ne pouvons relier aucune annonce à aucune revendication, et nous ne le faisons pas. La raison de surveiller les forums est l’intervalle entre une vente et une revendication publique, qui est généralement de quelques jours à quelques semaines.

Confiance. Que les publications existent : élevée. Que chacune décrive une véritable violation : faible. Que l’une corresponde à un incident de rançongiciel : faible. Pour les revendications visant des organismes publics et de sécurité, vérifiez avant d’escalader. Contrôlez si les données sont anciennes ou publiques, si elles correspondent à vos dossiers et si l’auteur propose des échantillons.

8. Mise à jour hors de la fenêtre du rapport : octobre 2026

Nous n’avons trouvé aucune nouvelle revendication liée au Koweït sur un site de fuite entre le 1er et le 10 octobre. La plus récente reste celle de l’hôpital du 28 mai, environ quatre mois et demi avant ce rapport. Nous ne lisons pas cet écart comme un gage de sécurité : il suit une série portée par un groupe, et les offres de forums se sont poursuivies jusqu’en septembre.

9. Comment ils entrent

Les sites de fuite montrent les victimes, pas les intrusions : cette section s’appuie donc sur des rapports publics régionaux et d’éditeurs. Le tableau cohérent :

• Accès distant exposé et comptes valides. Des affiliés de Qilin et de LockBit 5.0 utiliseraient des comptes VPN valides, des services distants exposés et des outils de gestion à distance qui se fondent dans l’administration normale.
• Accès achetés et identifiants volés. Les vendeurs de forums proposent identifiants, accès et extraits de bases de données à bas prix, et les combolists alimentent le bourrage d’identifiants, la prise de contrôle de comptes et la compromission de messagerie d’entreprise.
• Confiance envers les fournisseurs. La revendication contre l’intégrateur de sécurité et les annonces communes du 13 juin pourraient toutes deux refléter des tiers partagés, ce qui est une hypothèse à examiner parmi d’autres.
• Perturbation sans intrusion. Les campagnes de DDoS reposent sur une infrastructure louée, pas sur une pénétration des réseaux : la défense, c’est la capacité et le filtrage, pas les outils de poste de travail.

10. Le cadre réglementaire

Nous n’avons pas trouvé de loi générale de protection des données personnelles pour le Koweït. Des commentaires de cabinets d’avocats décrivent plutôt un patchwork : la loi no 20 de 2014 sur les transactions électroniques, qui restreint la collecte illicite de données personnelles, et la loi no 63 de 2015 sur la cybercriminalité, qui sanctionne l’accès non autorisé et la divulgation. L’Autorité de régulation des communications et des technologies de l’information (CITRA) a publié un règlement sur la confidentialité des données qui s’applique aux fournisseurs qu’elle agrée, et des commentateurs décrivent une obligation de signaler les violations à la CITRA et aux personnes concernées sous 24 heures, avec une exemption lorsque des garanties efficaces étaient appliquées. Les sources divergent sur le numéro et l’année du règlement (42 de 2021 ou 26 de 2024), et nous n’avons pu confirmer ni l’un ni l’autre sur le site de la CITRA : nous ne nous appuyons donc pas sur un numéro. Les banques relèvent de la Banque centrale du Koweït, dont nous n’avons pas examiné les règles. Tout ceci repose sur des rapports secondaires, pas sur le texte des instruments. Prenez un avis juridique pour tout cas précis. Nous ne sommes pas juristes.

11. Perspectives pour le T4 2026 et le T1 2027

Ce sont nos prévisions, pas des constats, et chacune repose sur les données limitées ci-dessus.

1. Le volume des sites de fuite reste faible, avec des séries. Nous attendons une à quatre revendications au trimestre, une fourchette à faible confiance reposant sur un très petit registre que l’activité des groupes et la couverture des sites de fuite pourraient modifier.
2. LockBit 5.0 est le nom le plus susceptible de revenir. Elle a signé la moitié des revendications ici et une seconde série régionale à Oman : attendez-vous à d’autres cibles de taille intermédiaire en séries.
3. Les fournisseurs restent dans le viseur. Les intégrateurs, entrepreneurs et distributeurs détiennent des dossiers de clients avec des défenses plus faibles que celles des clients eux-mêmes.
4. Des annonces de forums ressortiront sous forme de revendications. Certains accès koweïtiens listés sur des forums peuvent réapparaître comme victimes de sites de fuite en quelques semaines, et les annonces financières et publiques méritent d’être vérifiées dès maintenant.
5. Le flux de la guerre est un facteur imprévisible. Le DDoS hacktiviste et les revendications politiques ont suivi les frappes en mars et peuvent revenir rapidement à la moindre escalade.

12. Que faire ce trimestre

1. Commencez par la bordure de votre réseau. Recensez chaque VPN, pare-feu et passerelle d’accès distant exposé à Internet. Fixez un objectif interne proposé de 48 heures pour corriger les failles activement exploitées, utilisez des mesures compensatoires lorsque la correction ne peut être immédiate, et hiérarchisez selon l’exploitation confirmée, l’exposition, la criticité de l’actif et les consignes de l’éditeur.
2. Vérifiez si vos identifiants sont en vente. Recherchez dans les journaux de voleurs d’informations, les combolists et les annonces de courtiers les comptes d’employés et de fournisseurs, changez les mots de passe des comptes dont les identifiants apparaissent, révoquez les sessions actives et vérifiez la réutilisation des mots de passe. Les banques et les ministères devraient commencer par là, vu les cas 5 et 6.
3. Classez vos intégrateurs et fournisseurs selon ce qu’ils détiennent. Les intégrateurs de sécurité, entrepreneurs, distributeurs et prestataires informatiques de votre chaîne d’approvisionnement détiennent vos plans, contrats et identifiants. Demandez à chacun des preuves de MFA, d’EDR et de sauvegardes hors ligne.
4. Surveillez les outils de gestion à distance que vous n’avez pas installés. Des affiliés de LockBit 5.0 en feraient usage : alertez donc sur les nouvelles tâches planifiées, les nouveaux agents de gestion à distance et les gros transferts sortants avant tout changement de fichier.
5. Préparez-vous au déni de service. Les portails du secteur public, des banques et de l’aviation devraient confirmer avec leurs fournisseurs les dispositifs de filtrage en amont et d’épuration du trafic avant la prochaine escalade.
6. Répétez le scénario de la double extorsion. Sachez qui notifie votre régulateur, qui informe le conseil et qui décide de négocier. Documentez-le et testez-le.
7. Surveillez le nom de votre organisation. Les sites de fuite, les canaux Telegram et les forums de courtiers peuvent diffuser vos données avant que vous n’appreniez une violation. Une détection à ce stade peut faire gagner des jours.

Sources

• Check Point Research, The State of Ransomware Q1 2026
• Check Point, LockBit 5.0 returns
• Proven Data, LockBit 5.0 technical analysis and TTPs
• Proven Data, Qilin attack chain and MITRE ATT&CK TTPs
• DeXpose, Everest strikes Sidra Kuwait Hospital
• DeXpose, Nasirsecurity targets Kuwait Ministry of Interior (secondary source, dates the claim to 22 August)
• Kuwait in the 2026 Iran war (event timeline)
• SOCRadar, Dark Web Profile: DieNet
• DLA Piper, Data protection laws in Kuwait (secondary source)
• Access Partnership, Kuwaiti regulator introduces new data protection regulation (secondary source)

Les sources sont liées dans leur langue d’origine.