Rançongiciels et revendications de vol de données en Arabie saoudite : T1–T3 2026

L’essentiel

Cinq constats comptent pour un conseil d’administration ou un RSSI dans le Royaume.

1. Le volume a plus que doublé, et le T3 a été le pic. Les revendications ont été de 4, 4 puis 9 par trimestre. Neuf revendications au T3, c’est plus que le premier semestre combiné, et quatre d’entre elles viennent d’un seul groupe en 31 jours.
2. Le marché n’a pas de centre. Dix groupes ont produit dix-sept revendications, et sept d’entre eux n’apparaissent qu’une fois. The Gentlemen sont le groupe le plus actif et portent 35 % du total ; aucun autre groupe n’a plus de deux revendications. Bloquer les indicateurs d’un seul opérateur ne protège que contre une minorité du terrain.
3. L’énergie et sa chaîne d’approvisionnement associée sont le principal centre d’attention. Six revendications sur dix-sept la touchent : une société de services de forage, un groupe de produits chimiques pour champs pétrolifères, un entrepreneur de raffinerie, un bureau d’études d’ingénierie qui sert Aramco et SABIC, un développeur d’énergie et Aramco lui-même. Quatre groupes différents sont à l’origine de ces revendications.
4. Des acteurs différents veulent des choses différentes. Les affiliés veulent de l’argent, une persona alignée sur un État veut des dégâts et quelques marques veulent de l’attention. Chacun laisse des traces différentes et exige une réponse différente. La section 6 les présente.
5. Les forums sont la couche d’alerte précoce. Dans les sept semaines jusqu’au 9 octobre, nous avons examiné 36 revendications de forums visant l’Arabie saoudite, dont deux annonces d’accès réseau. Les organismes publics et de sécurité, les plateformes de logistique et les entreprises de taille moyenne dominent. La section 7 les traite.

Nous évaluons le risque pour les entreprises de taille moyenne, les entrepreneurs et les fournisseurs du secteur énergétique saoudiens comme élevé et en hausse. Pour les exploitants d’échelle nationale, nous l’évaluons comme relevé, du fait moins des criminels que du flux géopolitique décrit ci-dessous.

1. Périmètre, et ce que les chiffres peuvent supporter

Ce rapport couvre les revendications nommant des organisations saoudiennes publiées entre le 1er janvier et le 30 septembre 2026. Les 17 comprennent une revendication, contre Aramco, qui est une revendication d’attaque destructrice hacktiviste plutôt qu’une extorsion financière. Nous la conservons dans les chiffres et la traitons séparément. Les revendications datées d’octobre sont citées à part comme évolutions ultérieures et ne figurent ni dans les 17 ni dans les chiffres trimestriels. Sur les 17, 16 sont des revendications d’extorsion à motivation financière et une est une revendication d’attaque destructrice. Les chiffres sont des revendications observées sur des sites de fuite : des revendications publiées qui nomment une organisation, collectées jusqu’au 10 octobre 2026. Une entreprise listée plusieurs fois pour le même incident compte une fois. Nous rattachons une organisation à un pays par son siège ou ses principales opérations, à partir de son domaine et de son profil public, et nous écartons les entrées dont les principales opérations sont ailleurs. La visibilité varie selon les pays : les chiffres ne sont donc pas des totaux complets d’incidents ni une mesure comparable du risque national.

Trois réserves s’appliquent à tout ce qui suit.

• Les sites de fuite ne montrent que les victimes qui n’ont pas payé ou négocié en privé. Le nombre réel d’incidents peut être plus élevé, et personne ne publie de combien.
• La revendication d’un groupe n’est pas la preuve d’une compromission. Nous n’avons vérifié aucun jeu de données.
• Rattacher une victime à un pays est imparfait. Certaines victimes saoudiennes nous échapperont. Considérez nos chiffres comme les cas que nous avons observés, pas comme un décompte complet des incidents.

Termes. RaaS : rançongiciel en tant que service, une plateforme que des développeurs louent à des affiliés indépendants. EDR : détection et réponse sur les terminaux, un logiciel de sécurité sur les serveurs et les portables. Infostealer : logiciel malveillant qui vole les identifiants et sessions enregistrés sur les appareils infectés. Marque blanche : modèle dans lequel les affiliés mènent des attaques sous leur propre marque en s’appuyant sur la plateforme.

2. Chronologie : deux flux, pas un seul

La courbe trimestrielle cache deux problèmes différents.

Le premier flux est géopolitique. Les frappes iraniennes sur le territoire saoudien ont commencé le 28 février 2026, dont des attaques de drones sur Ras Tanura le 2 mars. Le 3 mars, la persona liée à l’Iran Handala a publié une revendication contre Aramco, un jour après avoir revendiqué Sharjah National Oil Corporation aux Émirats. Les rapports publics relient Handala au ministère iranien du Renseignement et de la Sécurité et décrivent son outillage comme des effaceurs de données (wipers), pas des chiffreurs. Ce n’est pas l’économie du rançongiciel : il n’y a ni note de rançon, ni rien à racheter. Positive Technologies a constaté que le T1 a produit 96 % de tous les incidents cyber du Golfe dans son jeu de données du premier semestre 2026, l’Arabie saoudite prenant 15 % des attaques régionales. La guerre a entraîné le Royaume dans une campagne alignée sur un État au moment où les criminels progressaient.

Le second flux est criminel et continue de croître. Il ne suit pas la guerre. Les revendications des T2 et T3 n’ont rien à voir avec la ligne de front. Nous les attribuons à une activité criminelle à motivation financière qui s’appuie généralement sur des services d’accès exposés et des identifiants faibles. C’est notre interprétation, pas une voie d’intrusion confirmée dans chaque cas. CloudSEK a compté une activité de rançongiciel régionale au Moyen-Orient passant de 17 incidents en avril 2025 à 357 en juin 2026, et son chercheur l’a dit sans détour : les États du Golfe n’étaient pas une cible principale avant 2025, et cela a changé vite.

Planifier pour un flux en ignorant l’autre laisse une brèche. Une revendication de wiper et une revendication de vol de données appellent des décisions différentes, des plans de reprise différents et des personnes différentes autour de la table.

3. Les groupes en un coup d’œil

The Gentlemen sont le groupe le plus actif du Royaume. Six revendications, c’est 35 % du total, et aucun autre groupe n’en a plus de deux. Dans le monde, le groupe a publié 166 victimes au T1 2026 selon Check Point, soit environ 8 % de 2 122 : il est donc surreprésenté ici d’un facteur quatre.

Qilin est absent. Il a mené le monde trois trimestres de suite avec 338 victimes au T1, mais n’a aucune revendication en 2026 dans nos données saoudiennes. Soit ses affiliés ne travaillent pas la région, soit les victimes paient, soit les revendications sont classées sous d’autres pays. Nous ne pouvons pas dire laquelle, et nous ne le lisons pas comme un signe de sécurité.

La traîne est l’histoire. DragonForce, Tengu, Krybit, BlackNevas, Gammax, Panzer et Handala ont chacun revendiqué une victime saoudienne. Plusieurs sont des marques nouvelles ou de faible réputation. De faibles barrières à l’entrée, un outillage loué et un accès d’affilié bon marché permettent à un nouveau nom d’apparaître, de publier deux fois et de disparaître avant qu’une règle de détection ne soit écrite. Une défense bâtie autour des noms de groupes ne passe pas à l’échelle face à cela.

4. Qui est touché

Notre propre classification des 17 revendications. Chaque revendication est comptée une fois.

• Énergie et chaîne d’approvisionnement associée : 6. Sawafi, ACWA Power, Aramco, Al-Saidi, Almeer, SAUDCONSULT. Nous incluons les exploitants ainsi que les fournisseurs, entrepreneurs et consultants dont l’activité principale sert des clients du pétrole, du gaz ou de l’électricité. C’est un cadrage par la chaîne d’approvisionnement, pas un décompte de six exploitants énergétiques.
• Groupes familiaux et holdings diversifiés : 4. Babgi (plus de 7,4 milliards USD de chiffre d’affaires selon un profil commercial de l’entreprise), Arabian Procession Holding, AWJ Holding, MTCO.
• Industrie manufacturière : 2. ALUPCO et Al-Gosaibi GTB.
• Bureau d’études d’ingénierie hors énergie : 1. Khaled Alfagih Engineering Consultancy, qui conçoit des établissements de santé.
• À but non lucratif : 2. SEHA et Al Rawdah Cooperative.
• Commerce et autres : 2. L’azurde, un joaillier coté à Tadawul, et Efada.

Trois schémas se dégagent. L’énergie domine : 35 % des revendications se situent dans ou à côté de la chaîne du pétrole, du gaz et de l’électricité. Les groupes familiaux sont une nouvelle classe de cibles : quatre groupes diversifiés dans l’automobile, la distribution aéroportuaire, l’immobilier et le négoce, chacun détenant des données sur de nombreuses filiales et partenaires. Et aucune banque, aucun assureur ni opérateur télécom n’apparaît. Nous ne savons pas pourquoi. Les explications possibles comprennent des contrôles plus solides, les propres intérêts des groupes, ou simplement ce que nous pouvons voir.

La fenêtre de novembre 2025 à janvier 2026 de CYFIRMA montre la même forme sous un autre angle : l’immobilier et la construction d’abord, puis la santé et les services informatiques, dont une entreprise de construction touchée fin décembre avec 4,15 To revendiqués et une demande de 400 000 USD.

Les plus grands programmes du Royaume ne sont aussi sûrs que leur plus petit consultant.

5. Dossiers

Les chiffres montrent la forme du problème. Les cas individuels montrent comment il fonctionne. Chaque cas ci-dessous indique ce qui a été revendiqué, ce que suggèrent le calendrier et la structure, et le degré de confiance que nous lui accordons.

Cas 1. ACWA Power et Larsen & Toubro (INC Ransom, février)

Revendication. INC Ransom a publié une annonce commune nommant ACWA Power et son partenaire Larsen & Toubro, avec 400 Go. Les rapports publics indiquent que les données se trouvent dans un dépôt de projet partagé pour le projet solaire photovoltaïque d’Al Muwayh et comprennent des plans d’ingénierie, des certificats de qualité ISO, des documents du ministère de l’Énergie, des manuels de sécurité et des contrats avec des sous-traitants. Les rapports publics indiquent que l’annonce portait une étiquette de 100 millions USD de chiffre d’affaires. La date de l’acteur lui-même est le 15 février, et la revendication est entrée dans le suivi public le 24 février, soit neuf jours plus tard.
Lecture. La cible n’est le cœur du réseau d’aucune des deux sociétés. C’est un espace partagé où deux entreprises et leurs sous-traitants échangent des fichiers : un seul compte faible chez un partenaire pourrait donc exposer les deux. Les documents ministériels de l’ensemble font passer l’enjeu du commercial à l’étatique. Si l’étiquette de chiffre d’affaires est celle du groupe, elle serait cohérente avec un calibrage de la demande sur la victime.
Confiance. Modérée. La revendication et son contenu sont ceux de l’acteur. Nous n’avons aucune confirmation de l’une ou l’autre société.

Cas 2. L’énergie et sa chaîne d’approvisionnement associée (quatre groupes, six revendications)

Revendications. Sawafi, une société de services de forage et de complétion (Gentlemen, 21 fév.). ACWA Power (INC, 24 fév.). Aramco (Handala, 3 mars). Al-Saidi, produits chimiques et logistique pour champs pétrolifères (DragonForce, 12 juil.). Almeer, un entrepreneur de raffineries et d’usines d’engrais (Gentlemen, 21 août). SAUDCONSULT, un cabinet de conseil que le profil commercial estime à 2 800 employés, avec des clients dont Aramco, SABIC, SADARA et MAADEN (Gentlemen, 31 août).
Lecture. Trois groupes criminels et une persona alignée sur un État ont frappé différents niveaux de la même chaîne, et les criminels s’en sont pris aux fournisseurs, pas aux exploitants. Les exploitants ont le budget et les contrôles. Leurs sous-traitants de forage, fournisseurs de produits chimiques, constructeurs et consultants détiennent leurs plans, calendriers et détails de sites avec moins de protection. Comme les groupes ne se sont pas coordonnés, le schéma reflète une faiblesse structurelle, pas la campagne d’un seul acteur.
Confiance. Élevée sur le schéma des victimes. Faible sur toute cause commune.

Cas 3. Aramco et Sharjah National Oil, coup sur coup (Handala, mars)

Revendication. Le 2 mars, Handala a revendiqué Sharjah National Oil Corporation aux Émirats, avec 1,3 To de données financières, de contrats pétroliers et de détails de projets. Le 3 mars, il a revendiqué Aramco, dans un langage de représailles politiques, sans volume de données. La frappe de drone sur Ras Tanura date du 2 mars.
Lecture. Deux majors de l’énergie dans deux pays deux jours de suite, c’est un message, pas une campagne d’extorsion. La persona annonce sa portée. Son historique public comprend des chiffres gonflés : en avril, elle a affirmé avoir effacé 6 Po de systèmes gouvernementaux dans une place financière du CCG non nommée. Nous n’avons vu aucune preuve de perturbation opérationnelle chez Aramco. Traitez la revendication comme une activité d’influence avec un éventuel piratage-divulgation derrière elle, et préparez-vous quand même à la destruction, car l’outillage du groupe est destructeur.
Confiance. Modérée sur l’attribution à la persona, faible sur tout impact.

Cas 4. The Gentlemen accélèrent (six revendications, de février à août)

Revendications. Sawafi (21 fév.), Arabian Procession Holding (4 juin), Babgi (31 juil.), Almeer et AWJ Holding (toutes deux le 21 août), SAUDCONSULT (31 août). Les intervalles entre publications se réduisent : 103 jours, puis 57, puis 21, puis zéro, puis 10. Quatre des six sont tombées en 31 jours.
Lecture. La réduction des intervalles est cohérente avec un stock d’accès croissant. Les paires le même jour (Almeer et AWJ le 21 août) sont cohérentes avec un seul affilié, un lot d’accès obtenus auparavant ou des annonces sans lien publiées ensemble. Les éléments ne nous disent pas laquelle. Aux Émirats, le même groupe a suivi la trajectoire inverse : quatre revendications au T1, une au T2 et deux au T3. C’est cohérent avec un déplacement de l’attention des affiliés vers le Royaume au fil de l’été, bien que les Émirats ne soient pas devenus silencieux (leur dernière revendication dans nos données émiriennes date du 9 août) et que les chiffres soient petits.
Confiance. Élevée sur la cadence. Modérée sur la lecture de rotation.

Cas 5. 27 avril : un jour, quatre victimes du Golfe (APT73)

Revendications. Al-Gosaibi GTB et Al Rawdah Cooperative dans le Royaume, et aux Émirats un ministère fédéral (Changement climatique et Environnement) ainsi que l’autorité de l’électricité, de l’eau et du gaz de Sharjah. Quatre publications, un groupe, un jour.
Lecture. Un lot transfrontalier le même jour est cohérent avec un seul ensemble d’intrusion ou un seul affilié publiant ensemble, bien que des annonces sans lien soient aussi possibles. Le mélange d’un ministère, d’un service public, d’une entreprise industrielle et d’une coopérative n’a aucune logique sectorielle. Une hypothèse est un vecteur partagé : un produit vulnérable, un fournisseur informatique commun ou des identifiants réutilisés. Les éléments ne l’établissent pas. Toute personne exposée à un fournisseur commun devrait interroger directement ce fournisseur.
Confiance. Modérée sur la lecture en lot, faible sur le vecteur, qui est notre hypothèse.

Cas 6. Du site de fuite au forum : Efada (Krybit, septembre)

Chronologie. 24 sept. : Krybit publie efada.sa sur son site de fuite. 25 et 26 sept. : un vendeur de forum publie deux fois une société saoudienne à efadah.com.sa. 8 oct. : un second pseudonyme publie à nouveau le même domaine.
Lecture. Les domaines diffèrent d’une lettre et d’un suffixe : nous ne prétendons donc pas qu’il s’agit d’une seule victime. Si c’est le cas, la séquence montre le marché secondaire à l’œuvre : après la publication d’extorsion primaire, les mêmes données sont revendues ou ré-annoncées par d’autres en un jour, puis de nouveau deux semaines plus tard. Chaque republication élargit le nombre de détenteurs des données et réduit l’intérêt de payer l’extorqueur d’origine.
Confiance. Faible à modérée sur le lien. Élevée sur le fait que la republication est courante.

Cas 7. L’azurde et l’émetteur coté (BlackNevas, juillet et septembre)

Revendication. BlackNevas a listé L’azurde, un joaillier de Riyad coté à Tadawul sous 4011, le 14 juillet, et une seconde annonce datée du 9 septembre la nomme à nouveau aux côtés d’un conglomérat omanais. Le groupe vend directement les données volées et a proposé, dans ses annonces émiriennes, un accès à un réseau d’entreprise et un initié informatique contraint à coopérer.
Lecture. Une société cotée a des obligations de communication qu’une entreprise privée n’a pas, et une offre de vente d’accès fait passer l’incident de l’exposition de données à la compromission en cours. Une cible cotée donne aussi au vendeur un levier réputationnel sur son cours. Les conseils des sociétés saoudiennes cotées devraient traiter tout contact de BlackNevas comme un événement pertinent pour la communication financière et informer immédiatement leur conseil juridique.
Confiance. Modérée. Nous nous appuyons sur les annonces du groupe lui-même.

6. Acteurs de la menace actifs : présence, motivation et TTP

Sept acteurs expliquent 14 des 17 revendications. Leurs détails techniques publics proviennent de rapports d’incidents mondiaux, pas des cas saoudiens. Nous n’avons aucune preuve au niveau des incidents provenant de victimes saoudiennes : lisez donc les tactiques ci-dessous comme ce que chaque acteur est connu pour faire, pas comme la preuve de ce qui est arrivé à une entreprise saoudienne précise. Les identifiants de techniques renvoient à MITRE ATT&CK.

Synthèse : motivation et présence

Ce que les acteurs partagent

Les marques diffèrent, mais les comportements convergent. La matrice montre quelles techniques chaque grand groupe est documenté comme utilisant. Une technique que beaucoup de groupes partagent est une meilleure cible de détection que les indicateurs d’un seul groupe.

Les marques reflètent les rapports publics sur chaque groupe dans le monde, pas des preuves d’incidents saoudiens.

Profils des acteurs

La traîne

• Tengu. First observed in late 2025, financially motivated, thinly documented. One claim in each of the Kingdom (14 January) and the UAE (25 February).
• Gammax, Panzer. No reliable public profile. We treat them as unprofiled and assume commodity tradecraft until evidence says otherwise.

Avant 2026 : les revendications gouvernementales ont quitté les sites de fuite

En 2024 et 2025, des cibles gouvernementales et militaires saoudiennes sont apparues sur des sites de fuite de rançongiciels : un conseil de service militaire (RansomHub, août 2024), l’armée de l’air royale saoudienne et un centre interne militaire et gouvernemental (KillSec et Babuk-Bjorka, avril 2025) et le portail de la municipalité de Taïf (Kazu, novembre 2025). La persona liée à l’Iran Abrahams_Ax, rattachée à l’ancien groupe Moses Staff, a publié des données du ministère saoudien de l’Intérieur avec de la propagande. En 2026, nos données de sites de fuite ne contiennent aucune revendication de ce type contre un organisme public saoudien. Ces revendications vivent désormais sur des forums, où le volume est plus élevé et la preuve plus mince. Ce déplacement compte parce que les forums récompensent le volume et le bruit : les revendications gouvernementales qui y figurent exigent donc plus d’examen avant d’être remontées.

7. Au-delà des sites de fuite : les revendications des forums

Les équipes de rançongiciel publient leurs victimes sur leurs propres sites. Tous les autres publient sur des forums criminels : vendeurs de données, courtiers d’accès, hacktivistes et chercheurs de notoriété. Nous avons examiné 36 publications de forums visant l’Arabie saoudite, parues entre le 23 août et le 9 octobre 2026. C’est une fenêtre de sept semaines : nous la lisons donc comme un instantané du marché, pas comme une tendance. Nous ne nommons aucune victime ici, sauf une exception (cas 6) où une publication de forum correspond à une revendication de site de fuite. Les revendications ne sont pas vérifiées, beaucoup sont recyclées, et nommer une cible amplifierait une revendication non prouvée.

Ce que visent les 36 publications

• Gouvernement, défense et sécurité : 6 (17 %). Des revendications contre des ministères, des organismes militaires et de renseignement, un jeu de données de 80 000 enregistrements d’un régulateur et un document lié aux armements. Les enjeux les plus élevés et les moins vérifiables. Attendez-vous à ce qu’une part soit ancienne, publique ou fabriquée.
• Logistique et livraison : 6 publications, 5 entreprises. Des plateformes grand public qui détiennent adresses, numéros de téléphone et historiques de commandes à grande échelle.
• Accès réseau à vendre : 2. Une annonce d’accès VPN et un accès à une entreprise industrielle annoncé avec une étiquette « 30kk+ ». Dans l’usage des forums, « kk » signifie généralement mille milliers : le chiffre est donc probablement d’environ 30 millions, mais le vendeur ne dit pas ce qu’il mesure.
• Santé : 2. Deux hôpitaux, dont un décrit comme un grand établissement militaire.
• Finance, biens de consommation, télécoms et médias, hôtellerie : 1 chacun. Plus 1 annonce d’environ 9 millions d’enregistrements personnels, 2 groupes holdings et 2 entreprises technologiques.
• Non classées : 11. Surtout des noms de domaine sans autre description.

Qui publie

Vingt-cinq pseudonymes ont produit les 36 publications, et quelques-uns dominent. Une famille d’opérateurs, publiant sous les noms UWAYS et UWAYS QARANI, représente 6 publications réparties entre gouvernement, santé, logistique et technologie. Travailler autant de secteurs à la fois est le profil d’un courtier de données qui revend du matériel agrégé ou ancien. Sept autres pseudonymes ont publié deux fois chacun. Ensemble, huit opérateurs expliquent 20 des 36 publications (56 %).

Six des pseudonymes apparaissent aussi dans notre échantillon de forums émirien sur les mêmes semaines (DaOnlySpark, Keishell, 4ss3, honeydutch, Anonymous2090 et s-root). C’est une base de vendeurs régionale qui travaille les deux marchés, et c’est pourquoi une revendication saoudienne et une revendication émirienne du même pseudonyme devraient être examinées ensemble.

Les motivations sont mixtes. La plupart des publications sont commerciales : quelqu’un vend des données ou un accès. Quatre portent une marque hacktiviste, de type Anonymous ou des noms d’équipes cyber nationales, mais elles visent aussi bien des hôtels, des hôpitaux et des sociétés holdings que le gouvernement. L’idéologie est mince. La visibilité est le produit.

Recyclage et rythme

Le nombre de publications surestime le nombre de victimes. Un domaine est apparu trois fois de deux pseudonymes en 13 jours, et un autre deux fois du même pseudonyme en deux jours. Les 36 publications couvrent environ 33 cibles distinctes. Le cas 6 ci-dessus suit le domaine apparu trois fois.

Le volume hebdomadaire a été irrégulier : 7, 5, 6, 3, puis 10 publications du 22 au 30 septembre, et 5 dans les neuf premiers jours d’octobre. Les rafales suivent les stocks des vendeurs et les cycles d’attention, pas l’actualité.

Pourquoi cela compte pour le risque de rançongiciel

Les annonces d’accès sont le début de la chaîne du rançongiciel. Les affiliés achètent l’accès, puis chiffrent et extorquent. L’annonce industrielle a le même profil que les victimes industrielles du flux des sites de fuite : une entreprise saoudienne de taille moyenne dont l’accès à distance est exposé. Nous ne pouvons relier aucune annonce à aucune revendication, et nous ne le faisons pas. La chaîne annonce de forum, puis quelques jours ou semaines, puis publication sur un site de fuite est la raison de surveiller les forums et pas seulement les sites de fuite.

Confiance. Que les publications existent : élevée. Que chacune décrive une véritable violation : faible. Que l’une corresponde à un incident de rançongiciel : faible. Pour les revendications gouvernementales et militaires, vérifiez avant de remonter. Contrôlez si les données sont anciennes ou publiques, si elles correspondent à vos enregistrements et si l’auteur propose des échantillons.

8. Mise à jour hors de la fenêtre du rapport : octobre 2026

Le 3 octobre, un groupe se faisant appeler Wallstreet a revendiqué une violation de la branche saoudienne d’un consortium China Railway Construction qui construit le stade Jeddah Central pour la Coupe du monde 2034. Il allègue 17 To et 1,5 million de fichiers, dont des documents contractuels, des certificats de paiement et des données personnelles de plus de 150 000 employés. Nous n’avons pas vérifié la revendication, et elle est hors de la fenêtre de ce rapport. Nous l’incluons parce que c’est le schéma de ce rapport à sa plus grande échelle : un fournisseur qui détient les joyaux d’un programme national. Wallstreet n’est pas profilé.

9. Comment ils entrent

Les sites de fuite montrent des victimes, pas des intrusions : cette section s’appuie donc sur des rapports régionaux publics. Le tableau est cohérent :

• L’exploitation de vulnérabilités arrive en tête. Positive Technologies lui attribue 38 % des incidents du Golfe, suivie des logiciels malveillants (31 %) et de l’ingénierie sociale (27 %). Les systèmes industriels hérités font partie de la cause.
• Les équipements de bordure sont la porte. Des pare-feu et passerelles VPN non corrigés reviennent dans les rapports de CloudSEK, de CYFIRMA et des éditeurs.
• L’accès s’achète. Des courtiers d’accès initial et des identifiants volés alimentent des affiliés qui n’avaient jamais touché la cible avant la vente.
• L’IA entre dans le flux de travail. CloudSEK rapporte que MuddyWater, lié à l’Iran, utilise Gemini pour développer des outils et que APT42 utilise l’IA pour des leurres d’hameçonnage. C’est un accélérateur, pas une nouvelle technique.

10. Le cadre réglementaire

Deux régimes se recoupent. L’Autorité nationale de cybersécurité (NCA) a publié les contrôles NCNICC-1:2025 pour les entités privées hors infrastructures critiques ; le texte principal figure sur le site de la NCA, et nous avons repris la hiérarchisation et la date d’adoption de synthèses de cabinets d’avocats plutôt que de notre propre lecture du document complet. Par ailleurs, l’Autorité saoudienne des données et de l’IA (SDAIA) administre la loi sur la protection des données personnelles (PDPL) et ses règlements d’application. Le service de notification des violations de la SDAIA décrit la règle en vigueur au titre de l’article 24 des règlements d’application : informer la SDAIA dans les 72 heures suivant la prise de connaissance d’une violation susceptible de nuire aux données personnelles, à la personne concernée ou à ses droits. Les dispositions pénales (articles 35 et 36 de la loi) ne nous sont connues que par les commentaires de cabinets d’avocats, qui les fixent jusqu’à 5 millions SAR ; nous n’avons pas vérifié ces chiffres par rapport au texte officiel. La SDAIA a publié des projets de modification soumis à consultation du 6 octobre au 5 novembre 2026 qui, selon les mêmes commentaires, supprimeraient le seuil de préjudice pour notifier la SDAIA. Ce sont des propositions, pas des règles en vigueur, et elles peuvent changer. Un incident de double extorsion peut donc soulever à la fois une question de contrôle NCA et une question PDPL, et les émetteurs cotés peuvent avoir en plus des obligations de communication financière. Prenez un avis juridique pour tout cas précis. Nous ne sommes pas juristes.

11. Perspectives pour le T4 2026 et le T1 2027

Ce sont nos prévisions, pas des constats, et chacune repose sur les données limitées ci-dessus.

1. Le T4 restera au niveau du T3 ou au-dessus. Une revendication a été enregistrée dans les trois premiers jours d’octobre 2026. Rien ne suggère que l’offre d’affiliés ou d’accès diminue. Nous l’évaluons comme probable.
2. La compromission de tiers devient le titre. Attendez-vous à davantage de revendications contre des entrepreneurs, des cabinets de conseil et des prestataires informatiques externalisés dont la vraie cible est un client nommé.
3. The Gentlemen gardent le Royaume dans leur viseur. Quatre revendications en 31 jours ne sont pas un schéma de pause. Nous attendons au moins deux autres revendications saoudiennes du groupe avant la fin de l’année.
4. La fragmentation continue. Attendez-vous à au moins cinq nouveaux noms de groupes avec des victimes saoudiennes. Défendez-vous contre les comportements, pas contre les marques.
5. Des annonces d’accès ressortiront sous forme de revendications. Attendez-vous à ce que certains accès saoudiens de taille moyenne listés sur des forums réapparaissent comme victimes de sites de fuite en quelques semaines.
6. Le flux de la guerre est un facteur imprévisible. Un cessez-le-feu réduit le risque de wipers. Une escalade l’augmente vite, et l’énergie, l’eau et le gouvernement sont en première ligne.

12. Que faire ce trimestre

1. Corrigez d’abord la bordure. Recensez chaque VPN, pare-feu et passerelle d’accès distant exposé à Internet. Fixez un objectif interne proposé de 72 heures pour corriger les failles activement exploitées, utilisez des mesures compensatoires lorsque la correction ne peut être immédiate, et hiérarchisez selon l’exploitation confirmée, l’exposition, la criticité de l’actif et les consignes de l’éditeur.
2. Cherchez vos propres identifiants. Vérifiez les journaux de voleurs d’informations et les places de marché de courtiers pour les comptes d’employés et de fournisseurs. Réinitialisez ce qui apparaît et révoquez les sessions autant que les mots de passe. C’est le contrôle le moins cher de la liste.
3. Classez vos fournisseurs selon ce qu’ils détiennent. Identifiez les cinq entreprises extérieures détenant les données les plus sensibles sur vous, en commençant par les consultants, les entrepreneurs et les dépôts de coentreprises. Demandez à chacune des preuves de MFA sur l’accès à distance, de couverture EDR et de sauvegardes hors ligne.
4. Partez du principe que l’EDR sera neutralisé. Alertez sur les chargements de pilotes et sur l’arrêt des services de sécurité. Ne comptez pas sur un seul agent comme dernière ligne.
5. Séparez le plan wiper du plan d’extorsion. Restaurations hors ligne testées pour les wipers. Préparation juridique, de communication et de négociation pour le vol de données. Ce sont des exercices différents.
6. Préparez-vous à la coercition du personnel. Certains groupes abordent directement le personnel informatique et financier. Donnez aux employés un moyen sûr et rapide de signaler une approche, et traitez-la comme un incident.
7. Répétez le scénario de la double extorsion. Qui parle à la NCA, qui à la SDAIA, qui à Tadawul si vous êtes coté, qui au conseil, et qui décide de négocier. Documentez-le et testez-le.
8. Surveillez votre nom. Les sites de fuite, les canaux Telegram et les forums de courtiers publient vos données avant que vous n’en entendiez parler. Une détection à ces endroits fait gagner des jours.

Sources

• National Cybersecurity Authority, NCNICC-1:2025 controls (primary text, Arabic)
• SDAIA, Personal Data Breach Notification service (Article 24 rule as described by the regulator)
• Clyde & Co, SDAIA publishes draft amendments to the PDPL (secondary source for Article 24 and the consultation dates)
• Check Point Research, The State of Ransomware Q1 2026
• The National, Ransomware activity rises across Middle East (CloudSEK data)
• Positive Technologies H1 2026 Gulf findings, via TECHx
• CYFIRMA, Converging Threat Vectors: Saudi Arabia 2025 to 2026
• 2026 Iranian strikes on Saudi Arabia (event timeline)
• Picus Security, Handala threat group profile
• Check Point Research, Handala Hack: unveiling the group's modus operandi
• Hive Pro, Handala claims destructive wiper attack on GCC nation
• Infosecurity Magazine, The Gentlemen overtakes Qilin
• Cybereason, The Gentlemen ransomware
• Sophos, GOLD IONIC deploys INC ransomware
• Proven Data, Qilin attack chain and MITRE ATT&CK TTPs
• Blackpoint Cyber, DragonForce threat profile
• CloudSEK, Unmasking media-hungry ransomware groups: Bashe and APT73
• SOCRadar, Dark Web Profile: Krybit
• CMS, NCA Cybersecurity Controls for the Private Sector

Les sources sont liées dans leur langue d’origine.