Rançongiciels et revendications de vol de données au Qatar : T1–T3 2026

L’essentiel

Cinq constats comptent pour un conseil d’administration ou un RSSI au Qatar.

1. Le Qatar a le deuxième plus petit nombre de revendications observées des six marchés du Golfe que nous suivons, et les données ne montrent pas de hausse nette. Cinq revendications observées contre 17 en Arabie saoudite, 45 aux Émirats, sept à Oman, six au Koweït et trois à Bahreïn, même si la visibilité varie selon les pays et les années : une série aussi petite ne permet guère plus. D’après notre décompte, il y en a eu 5 en 2023, 2 en 2024 et 4 en 2025 : 2026 reste donc dans sa propre fourchette.
2. L’activité s’est concentrée sur une courte période. Quatre des cinq revendications sont tombées entre le 17 avril et le 12 mai, aucune au T1 et une au T3. Deux d’entre elles ont été publiées par The Gentlemen le 12 mai : un opérateur de réseau de fibre détenu par l’État et un bureau d’études d’ingénierie avec des réalisations de stades et de circuit.
3. Qilin est le groupe récurrent au Qatar, et il n’apparaît pas dans nos données saoudiennes ou émiriennes. Il a publié une société de portefeuille qatarie et une école en octobre 2025, une entreprise de construction en août 2026 et un importateur de produits alimentaires le 7 octobre. Aucun autre groupe n’a de schéma ici.
4. Les forums sont un marché parallèle à surveiller. Nous avons examiné 12 publications de forums sur onze semaines. Un pseudonyme a listé quatre grandes banques du Qatar en une seule journée, le 13 juin, et d’autres ont proposé une caisse de retraite, un hôpital et une chaîne de pharmacies. Ces revendications ne sont pas vérifiées, et aucune n’apparaît dans le registre des sites de fuite que nous avons examiné.
5. Les groupes à l’échelle du Golfe ne font que passer. The Gentlemen opèrent en Arabie saoudite, aux Émirats, à Oman et au Qatar. Payload a revendiqué Bahreïn, les Émirats et le Qatar en 36 jours. Un pseudonyme de forum, Anonymous2090, publie dans le Royaume, aux Émirats et au Qatar. Défendez-vous contre le comportement des groupes, pas seulement contre le titre local.

Nous évaluons le risque pour les cabinets de services professionnels, les entrepreneurs et les fournisseurs d’ingénierie qataris comme moyen et stable. Pour les banques et les exploitants d’infrastructures nationales, nous l’évaluons comme relevé, du fait des annonces d’accès sur les forums et du contexte de guerre physique. Nos données ne montrent pas de revendications cyber liées à la guerre contre des organisations qataries.

1. Périmètre, et ce que les chiffres peuvent supporter

Ce rapport couvre les revendications nommant des organisations qataries publiées entre le 1er janvier et le 30 septembre 2026. Une revendication datée du 7 octobre (Qatar National Import & Export) est citée à part comme évolution ultérieure et ne figure ni dans les cinq ni dans les chiffres trimestriels. Les cinq sont des revendications d’extorsion à motivation financière. Une entreprise listée deux fois pour le même incident compte une fois. Nous rattachons une organisation à un pays par son siège ou ses principales opérations, à partir de son domaine et de son profil public. La visibilité varie selon les pays : les chiffres ne sont donc pas des totaux complets d’incidents ni une mesure comparable du risque national.

Trois réserves s’appliquent à tout ce qui suit.

• Les sites de fuite, sur lesquels les groupes publient les données volées, ne montrent que les victimes qui n’ont pas payé ou négocié en privé. Le nombre réel d’incidents peut être plus élevé. Avec des chiffres aussi petits, un seul incident change le tableau.
• La revendication d’un groupe n’est pas la preuve d’une compromission. Nous n’avons vérifié de manière indépendante aucun jeu de données publié.
• Le rattachement d’une victime à un pays est imparfait, et certaines entreprises opèrent dans toute la région. Considérez nos chiffres comme les cas que nous avons observés, pas comme un décompte complet des incidents.

Termes. RaaS : rançongiciel en tant que service, un modèle où des développeurs fournissent leurs outils et leur infrastructure à des affiliés qui mènent les attaques contre un partage des gains. EDR : détection et réponse sur les terminaux, des logiciels de sécurité qui surveillent l’activité des postes et des serveurs. Courtier d’accès initial : vendeur d’un accès prêt à l’emploi à un réseau.

2. Chronologie : un registre calme avec une rafale

Le schéma est celui d’une rafale unique. Rien n’est apparu au T1, alors même que la guerre commençait. Quatre revendications sont ensuite tombées entre le 17 avril et le 12 mai, de trois groupes différents, et une de plus est arrivée fin août. Une lecture est que quelques affiliés travaillent des cibles qataries à partir d’accès qu’ils détenaient déjà, mais les dates seules ne disent pas d’où venaient ces accès.

Le contexte de guerre est d’abord physique. Le ministère qatari des Affaires étrangères indique que le pays est visé par des attaques iraniennes de missiles et de drones depuis le 28 février, notamment Ras Laffan, Mesaieed et l’aéroport international Hamad, et qualifie la frappe de Ras Laffan de menace directe pour la sécurité nationale. Nos données de sites de fuite ne contiennent aucune revendication d’une persona alignée sur la guerre contre une organisation qatarie dans la fenêtre, à la différence des Émirats et du Royaume, où de telles revendications sont apparues en mars. Auparavant, une évaluation de CYFIRMA avait relevé qu’un groupe propalestinien, Team Fearless, avait lancé le 10 septembre des attaques DDoS contre plusieurs sites gouvernementaux qataris. La guerre compte pour le risque, mais elle ne prouve pas que les cyberattaques contre des organisations qataries ont augmenté, et nos données ne montrent pas une telle hausse.

3. Les groupes en un coup d’œil

Quatre groupes ont fait cinq revendications : aucun n’en a plus de deux. Seul The Gentlemen apparaît dans les données saoudiennes, émiriennes et qataries. Payload apparaît dans les données du Qatar et des Émirats mais pas dans les données saoudiennes examinées. Crypto24 est propre au Qatar dans nos données du Golfe, et Qilin apparaît aussi au Koweït. Cyble nomme aussi Everest parmi les acteurs de 2026 au Qatar, mais nous n’avons aucune revendication d’Everest contre une organisation qatarie.

4. Qui est touché

Notre propre classification des cinq revendications. Chaque revendication est comptée une fois.

• Services professionnels : 2. Al Sulaiti Law Firm et Focus Design Partners.
• Infrastructure de télécommunications : 1. Qatar National Broadband Network, un opérateur de fibre détenu par l’État.
• Recherche et santé : 1. Qatar Biomedical Research Institute.
• Construction et ingénierie : 1. Black Cat Engineering & Construction.

Le schéma diffère de celui du Royaume et des Émirats. Il n’y a ni groupes familiaux, ni marques grand public, ni industriels. Quatre des cinq victimes sont des cabinets professionnels, d’ingénierie ou d’exploitation dont le travail peut toucher des projets nationaux ou des secteurs critiques, d’après leurs profils publics et leurs projets annoncés, ce qui n’établit pas un lien direct de chacune avec l’État ou le secteur de l’énergie : un cabinet d’avocats avec des clients bancaires et énergétiques, un bureau d’études crédité de projets nationaux de stade et de circuit, un entrepreneur et un réseau d’État. Sur un petit marché où une grande part de l’économie dépend de l’État, les mêmes quelques clients peuvent se trouver derrière de nombreux fournisseurs.

Sur un petit marché, la liste des fournisseurs est courte, et les mêmes noms s’y retrouvent.

5. Dossiers

Les chiffres montrent la forme du problème. Les cas individuels montrent comment il fonctionne. Chaque cas ci-dessous indique ce qui a été revendiqué, ce que suggèrent le calendrier et la structure, et le degré de confiance que nous lui accordons.

Cas 1. 12 mai : un réseau d’État et ses concepteurs (The Gentlemen)

Revendication. Le 12 mai, The Gentlemen ont listé Qatar National Broadband Network, un opérateur de fibre détenu par l’État, créé en 2011 et qui fournit une infrastructure passive à tous les fournisseurs agréés, et Focus Design Partners, un bureau d’études d’ingénierie forte d’une cinquantaine d’années d’activité et dont les réalisations incluent un stade national et un circuit automobile. Le texte du groupe pour le bureau d’études indique que la fuite complète sera publiée si l’entreprise ne le contacte pas pour négocier. Les annonces ne mentionnent aucun volume de données que nous ayons pu voir.
Lecture. Deux organisations situées aux extrémités opposées d’un même programme national ont été listées le même jour. Des annonces simultanées sont compatibles avec plusieurs hypothèses : un seul affilié, un lot d’accès obtenus auparavant ou des annonces sans lien publiées ensemble. Les éléments n’établissent ni intrusion, ni fournisseur, ni vecteur commun, et ne montrent pas de lien entre les deux victimes. Si la revendication sur l’opérateur de réseau est exacte, l’exposition compterait au-delà d’une seule entreprise, car ses clients sont les opérateurs de télécommunications agréés, qui desservent à leur tour foyers, entreprises et administrations.
Confiance. Modérée sur le fait que les annonces ont été publiées comme décrit. Faible sur le contenu et sur tout vecteur commun.

Cas 2. La série de Qilin au Qatar (octobre 2025 à octobre 2026)

Revendications. Artan Holding, un groupe familial qatari actif dans l’éducation, l’immobilier et l’industrie (10 oct. 2025). Doha British School, un groupe scolaire de trois campus (24 oct. 2025). Black Cat Engineering & Construction (23 août 2026, listée à nouveau le 30 août). Qatar National Import & Export, un distributeur alimentaire (7 oct. 2026).
Lecture. Qilin est le leader mondial avec 338 victimes au T1 2026, mais n’a aucune revendication dans nos données saoudiennes ou émiriennes. Dans notre registre qatari, il apparaît contre quatre victimes distinctes depuis octobre 2025 : un holding familial, une école, un entrepreneur et une entreprise alimentaire. Seule la revendication de Black Cat tombe dans la fenêtre de janvier à septembre de ce rapport ; les trois autres sont avant ou après. La nouvelle liste de Black Cat une semaine plus tard est typique d’une mise à jour après l’expiration d’un délai, et nous la comptons une fois. La diversité des secteurs et les longs intervalles suggèrent des affiliés opérant de façon opportuniste à partir d’accès achetés, pas une campagne contre une industrie.
Confiance. Élevée sur les chiffres et les dates. Faible sur la raison pour laquelle Qilin apparaît ici et au Koweït mais pas dans les données saoudiennes ou émiriennes.

Cas 3. Un institut de recherche (Crypto24, avril)

Revendication. Le 17 avril, Crypto24 a listé Qatar Biomedical Research Institute, qui relève de l’Université Hamad Bin Khalifa. Nous n’avons vu ni volume de données ni description.
Lecture. Les organismes de recherche détiennent des résultats non publiés, des données génomiques et liées à des patients, et des dossiers de subventions. Crypto24 est connu pour un outillage qui désactive les protections de postes de nombreux éditeurs, ce qui compte pour des institutions dotées de parcs informatiques mixtes de type universitaire avec de nombreux administrateurs. Une seule revendication ne fait pas un schéma, et l’empreinte principale de ce groupe se situe aux États-Unis, en Europe et en Asie.
Confiance. Modérée sur la revendication, faible sur ce qui a été pris.

Cas 4. Payload traverse trois États du Golfe en 36 jours

Revendications. 15 mars : l’hôpital Royal Bahrain, avec 110 Go revendiqués et un délai au 23 mars. 28 mars : A A Al Moosa Enterprises (ARENCO), un conglomérat de Dubaï. 20 avril : Al Sulaiti Law Firm à Doha.
Lecture. Payload existe depuis la mi-février et opérait déjà dans tout le Golfe six semaines plus tard, dans la santé, un conglomérat et les services juridiques. C’est une diffusion géographique rapide pour une nouvelle marque, cohérente avec des affiliés qui réutilisent les mêmes sources d’accès dans plusieurs pays. Un cabinet d’avocats est une cible attrayante sur tout marché : il détient des contrats clients, des litiges et des documents d’opérations pour des entreprises bien plus grandes que lui.
Confiance. Élevée sur les dates. Modérée sur l’explication par un accès partagé, qui est notre déduction.

Cas 5. Quatre banques dans une même annonce de forum (13 juin)

Revendication. Le 13 juin, un même pseudonyme de forum, cabyc, a publié quatre annonces le même jour, chacune nommant le domaine d’une des grandes banques du Qatar. Nous n’avons pas vu le contenu des annonces.
Lecture. Quatre banques en un jour par un seul pseudonyme ne se lisent pas comme quatre violations distinctes. Cela ressemble à une vente d’accès, d’identifiants ou de base de données touchant plusieurs banques, peut-être via un fournisseur commun ou un même type d’exposition. Il peut aussi s’agir d’un vendeur qui gonfle une annonce avec des noms connus. Le même pseudonyme a publié cinq annonces koweïtiennes le même jour, ce qui indique un vendeur régional, pas une exposition propre au Qatar. Les banques devraient la traiter comme une tâche de vérification, pas comme un incident confirmé : rechercher les identifiants et sessions exposés, les tiers communs et tout contact du vendeur.
Confiance. Élevée sur l’existence des annonces. Faible sur le fait qu’elles décrivent de véritables violations. Nous ne nommons pas les banques, au-delà du fait qu’il s’agit de grandes institutions qataries.

Cas 6. Une exposition qatarie via un fournisseur étranger (avril)

Revendication. Le 29 avril, un groupe nommé Aurora a listé un complexe de luxe aux Maldives, en revendiquant environ 75 000 scans de passeports sur dix ans, dont neuf passeports qu’il attribue à des membres de la famille royale qatarie, ainsi que des profils de clients, des dossiers du personnel, des identifiants et un contrat de gestion. Nous ne nommons aucune personne.
Lecture. La revendication ne vise pas une organisation qatarie, ce qui explique qu’elle soit hors de notre décompte. Elle montre une autre voie d’exposition pour les personnes et institutions qataries : les documents d’identité et les détails de voyage détenus par des fournisseurs d’hôtellerie et de voyage à l’étranger. Si elle est exacte, aucun contrôle qatari n’aurait pu l’empêcher.
Confiance. Faible à modérée. Une seule revendication de l’acteur.

6. Acteurs de la menace actifs : présence, motivation et TTP

Quatre acteurs ont signé les cinq revendications. Leurs détails techniques publics proviennent de rapports d’incidents mondiaux, pas des cas qataris. Nous n’avons aucune preuve au niveau des incidents provenant de victimes qataries : lisez donc les tactiques ci-dessous comme des comportements connus de chaque groupe en général, pas comme la preuve de ce qui est arrivé à une entreprise qatarie précise. Les identifiants de techniques renvoient à MITRE ATT&CK.

Synthèse : motivation et présence

Ce que les acteurs partagent

Les noms des groupes diffèrent, mais leurs méthodes se recoupent. Dans l’activité mondiale documentée publiquement, les quatre groupes présentent des méthodes qui incluent la désactivation des outils de sécurité avant le chiffrement et le vol de données à publier. Cela ne montre pas que ces méthodes ont été employées dans les revendications qataries de ce rapport.

Les marques reflètent les rapports publics sur chaque groupe dans le monde, pas des preuves d’incidents qataris.

Profils des acteurs

Groupes antérieurs dans le registre qatari

• LockBit 3.0. A publié plusieurs entreprises qataries entre 2021 et 2023, dont une société de services de maintenance, un groupe de construction et un fournisseur de services énergétiques. Une évaluation de CYFIRMA indique que LockBit, y compris sa version 5, continue de cibler des organisations qataries.
• Dispossessor. A revendiqué une antenne qatarie d’une université américaine en juillet 2024, avec une vidéo et une référence explicite à la loi qatarie de 2016 sur la vie privée des données comme moyen de pression.
• Annonces de type Babuk. En mars 2025, deux publications proposaient un accès d’entreprise à une société pétrolière qatarie et à des applications d’expédition.
• RansomExx, Rhysida, Sarcoma. Une revendication qatarie chacun entre 2023 et 2024 : un entrepreneur général, un club hippique et automobile lié à l’État et un détaillant d’électronique d’environ 800 employés.

7. Au-delà des sites de fuite : les revendications des forums

Les équipes de rançongiciel publient leurs victimes sur leurs propres sites. Tous les autres publient sur des forums criminels : vendeurs de données, courtiers d’accès, hacktivistes et chercheurs de notoriété. Nous avons examiné 12 publications de forums visant le Qatar, parues entre le 13 juin et le 27 août 2026. C’est un échantillon court : nous le lisons donc comme un instantané du marché, pas comme une tendance. Nous ne nommons aucune victime ici, parce que les revendications ne sont pas vérifiées et que nommer une cible peut amplifier une revendication non prouvée.

Ce que visent les 12 publications

• Finance et assurance sociale : 5. L’annonce des quatre banques du 13 juin et une publication visant un organisme public de retraite et d’assurance sociale.
• Santé : 2. Un hôpital privé et une chaîne régionale de pharmacies.
• Secteur public et sécurité : 2. Une publication intitulée d’après la sécurité de l’État qatari et une société de services Internet classée sous gouvernement.
• Grand public, humanitaire et autres : 3. Une plateforme d’achats avec 36 000 enregistrements, une société humanitaire nationale et une annonce non classée.

Qui publie

Neuf pseudonymes ont fait 12 publications, et l’un d’eux, cabyc, en a fait quatre (un tiers). Les huit autres ont publié une fois chacun. L’échantillon montre une concentration limitée, un pseudonyme apportant un tiers des publications. Anonymous2090 est le seul pseudonyme qui figure aussi dans nos échantillons saoudien et émirien, ce qui en fait un vendeur régional à suivre au-delà des frontières.

Une évaluation de CYFIRMA ajoute trois points de données issus de forums russophones et sinophones : un courtier d’accès initial proposant un accès d’entreprise à une grande organisation qatarie pour 4 900 USD, un accès SSH aux serveurs d’une société qatarie et un vendeur de 100 000 paires d’identifiants sur le thème du Qatar. Cyble constate que la banque, les services financiers, l’assurance et le commerce représentent plus de la moitié des annonces d’accès liées au Qatar, et que l’éducation a les incidents de fuite les plus fréquents. Les prix des accès sont bas par rapport à la taille des cibles.

Pourquoi cela compte pour le risque de rançongiciel

Un accès vendu à bas prix est le début de la chaîne du rançongiciel. Un registre de cinq revendications de sites de fuite dit peu de choses de la quantité d’accès en vente, et les éléments des forums suggèrent que l’offre est plus large que le registre des sites de fuite. Nous ne pouvons relier aucune annonce à aucune revendication, et nous ne le faisons pas. La raison de surveiller les forums est l’intervalle entre une vente et une revendication publique, qui est généralement de quelques jours à quelques semaines.

Confiance. Que les publications existent : élevée. Que chacune décrive une véritable violation : faible. Que l’une corresponde à un incident de rançongiciel : faible. Pour les revendications visant des organismes publics et de sécurité, vérifiez avant d’escalader. Contrôlez si les données sont anciennes ou publiques, si elles correspondent à vos dossiers et si l’auteur propose des échantillons.

8. Mise à jour hors de la fenêtre du rapport : octobre 2026

Le 7 octobre, Qilin a listé Qatar National Import & Export, un distributeur alimentaire, sans description. C’est la quatrième revendication qatarie de Qilin en douze mois, hors de la fenêtre de ce rapport et hors des cinq.

9. Comment ils entrent

Les sites de fuite montrent des victimes, pas des intrusions : cette section s’appuie donc sur des rapports régionaux publics. Le tableau est cohérent :

• Produits d’accès à distance exploités. Cyble note une hausse de l’exploitation des outils d’accès à distance de Microsoft, Fortinet, Ivanti et Citrix touchant le Qatar.
• Accès achetés et identifiants volés. Les courtiers d’accès vendent l’entrée à bas prix, et les combolists alimentent le credential stuffing, la prise de contrôle de comptes et la compromission de messagerie d’entreprise.
• Désactivation des outils de sécurité. Crypto24 et Payload coupent tous deux la protection avant de chiffrer : l’outillage de poste seul n’est donc pas une dernière ligne de défense.
• Confiance envers les fournisseurs. La paire de The Gentlemen le même jour et l’annonce des quatre banques pourraient refléter des tiers communs, une hypothèse à examiner parmi d’autres.

10. Le cadre réglementaire

La loi qatarie sur la protection de la vie privée des données personnelles (loi no 13 de 2016, PDPPL) est le texte applicable. Nous avons vérifié les points ci-dessous par rapport au texte arabe et à la traduction anglaise publiés sur Al Meezan, le portail juridique du Qatar, qui précise lui-même que le texte affiché n’est pas officiel, ainsi que par rapport aux lignes directrices de notification des violations de données personnelles pour les entités réglementées de l’Agence nationale de cybersécurité (NCSA) (version 2.0, septembre 2022). La loi confie les signalements de violations au « Département compétent », une unité du ministère ; la ligne directrice présente le département des affaires de gouvernance et d’assurance cyber nationales de la NCSA comme l’organe qui les traite. Il faut distinguer trois choses.

• L’obligation légale. L’article 13 impose aux responsables du traitement et aux sous-traitants de prendre des précautions contre la perte, l’endommagement, la modification, la divulgation, l’accès et l’usage involontaire ou illicite, proportionnées à la nature et à l’importance des données, et impose au sous-traitant d’informer « sans délai » le responsable de toute atteinte à ces précautions ou de tout risque pour les données. L’article 14 impose au responsable d’informer la personne et le Département compétent d’une atteinte aux précautions si elle peut causer un préjudice grave aux données ou à la vie privée de la personne. La loi ne fixe aucun nombre d’heures ou de jours.
• Le délai de la ligne directrice. Le délai de 72 heures, à compter de la prise de connaissance de la violation, provient de la ligne directrice de la NCSA, pas de la loi. C’est une orientation du régulateur sur la manière de respecter l’article 14, à lire comme l’attente du régulateur et non comme du texte légal.
• Les sanctions, séparément. L’article 23 prévoit une amende pouvant aller jusqu’à 1 000 000 QAR pour la violation d’une liste de dispositions incluant l’article 14 (défaut de signalement) et l’article 8 (les mesures de protection du responsable lui-même). L’article 24 prévoit une amende pouvant aller jusqu’à 5 000 000 QAR pour la violation de l’article 13 (les précautions et l’obligation du sous-traitant d’informer le responsable), du troisième alinéa de l’article 16 ou de l’article 17. L’article 25 ajoute une amende pouvant aller jusqu’à 1 000 000 QAR à l’encontre d’une personne morale lorsqu’une infraction est commise en son nom ou pour son compte, sans préjudice de la responsabilité de la personne physique concernée. Le texte dit « ne dépassera pas » ; il ne dit pas « par violation ».

Les entreprises du Centre financier du Qatar et les établissements financiers réglementés relèvent en outre de leurs propres régimes, que nous n’avons pas examinés. Prenez un avis juridique pour tout cas précis. Nous ne sommes pas juristes.

11. Perspectives pour le T4 2026 et le T1 2027

Ce sont nos prévisions, pas des constats, et chacune repose sur les données limitées ci-dessus.

1. Le volume des sites de fuite reste faible, avec des rafales. Une revendication a été enregistrée la première semaine d’octobre. Nous attendons deux à cinq revendications au trimestre, une fourchette à faible confiance reposant sur un très petit registre que l’activité des groupes et la couverture des sites de fuite pourraient modifier.
2. Qilin reste le nom le plus susceptible de revenir. Il a le registre qatari le plus long et le plus régulier : attendez-vous à d’autres revendications contre des entreprises et des écoles de taille moyenne.
3. Les conseillers de l’État restent dans le viseur. Les cabinets juridiques, d’ingénierie, de conception et de conseil détiennent les mêmes dossiers clients que des cibles plus grandes, avec des défenses plus modestes.
4. Des annonces de forums ressortiront sous forme de revendications. Certains accès qataris listés sur des forums peuvent réapparaître comme victimes de sites de fuite en quelques semaines, et les annonces liées aux banques méritent d’être vérifiées dès maintenant.
5. Le flux de la guerre est un facteur imprévisible. Les installations d’énergie et d’aviation ont été des cibles physiques. Une dimension cyber n’est pas apparue dans nos données de sites de fuite, mais elle peut apparaître rapidement.

12. Que faire ce trimestre

1. Commencez par la bordure de votre réseau. Recensez chaque VPN, pare-feu et passerelle d’accès distant exposé à Internet de Microsoft, Fortinet, Ivanti et Citrix. Fixez un objectif interne proposé de 48 heures pour corriger les failles activement exploitées, utilisez des mesures compensatoires lorsque la correction ne peut être immédiate, et hiérarchisez selon l’exploitation confirmée, l’exposition, la criticité de l’actif et les consignes de l’éditeur.
2. Vérifiez si vos identifiants sont en vente. Recherchez dans les journaux de voleurs d’informations, les combolists et les annonces de courtiers les comptes d’employés et de fournisseurs, changez les mots de passe des comptes dont les identifiants apparaissent, révoquez les sessions actives et vérifiez la réutilisation des mots de passe. Les banques devraient commencer par là, vu le cas 5.
3. Classez vos conseillers et fournisseurs selon ce qu’ils détiennent. Les cabinets d’avocats, bureaux d’études d’ingénierie et de conception, entrepreneurs et opérateurs de réseau de votre chaîne d’approvisionnement détiennent vos contrats et vos plans. Demandez à chacun des preuves de MFA, d’EDR et de sauvegardes hors ligne.
4. Partez du principe que la sécurité des postes peut être désactivée. Alertez sur les arrêts de services, les chargements de pilotes noyau et les comportements inhabituels de svchost, et gardez une seconde ligne de détection sur le réseau.
5. Protégez la couche d’hyperviseur. Payload cible VMware ESXi. Isolez les réseaux d’administration et conservez des sauvegardes hors ligne testées.
6. Répétez le scénario de la double extorsion. Sachez qui notifie la NCSA, qui informe le conseil, qui s’adresse à votre régulateur et qui décide de négocier. Documentez-le et testez-le.
7. Surveillez le nom de votre organisation. Les sites de fuite, les canaux Telegram et les forums de courtiers peuvent diffuser vos données avant que vous n’appreniez une violation. Une détection à ce stade peut faire gagner des jours.

Sources

• Cyble, Qatar's digital boom has a blind spot
• CYFIRMA, Qatar threat landscape assessment
• HookPhish, The Gentlemen hits Qatar National Broadband
• DeXpose, TheGentlemen targets Focus Design Partners
• Qatar Ministry of Foreign Affairs, Iranian attacks statement, 11 March 2026
• Newsquawk, Qatar says Iranian Ras Laffan attack is a direct threat to its national security
• Check Point Research, The State of Ransomware Q1 2026
• Infosecurity Magazine, The Gentlemen overtakes Qilin
• Proven Data, Qilin attack chain and MITRE ATT&CK TTPs
• Hive Pro, Crypto24 ransomware and its custom EDR bypass
• Proven Data, Payload ransomware variant analysis
• UpGuard, Payload claims data breach on Royal Bahrain Hospital
• NCSA, Personal Data Breach Notification Guidelines for Regulated Entities, version 2.0 (September 2022)
• Al Meezan, Qatar Law No. 13 of 2016 on Protecting Personal Data Privacy (Arabic text, 3 November 2016)
• Al Meezan, Law No. 13 of 2016, English translation (PDF)

Les sources sont liées dans leur langue d’origine.