Rançongiciels et revendications de vol de données aux Émirats arabes unis : T1–T3 2026

L’essentiel

Cinq constats comptent pour un conseil d’administration ou un RSSI aux Émirats.

1. Les Émirats ont le plus grand nombre de revendications d’extorsion publiées de tous les marchés du Golfe dans nos données, et le compte ne montre pas de baisse durable. Les revendications ont été de 16, 12 puis 17 par trimestre. Le rebond du T3 est venu d’une nouvelle marque (Krybit, cinq revendications depuis juin) et de DragonForce et INC, qui travaillent des entreprises de taille moyenne par lots réguliers.
2. Quatre groupes produisent plus de la moitié. The Gentlemen et DragonForce ont sept revendications chacun, INC et Krybit cinq chacun : 24 sur 45 (53 %). Derrière eux, dix-sept groupes, dont treize n’apparaissent qu’une fois.
3. Les cibles sont l’économie du bâtiment et du négoce. Les entreprises industrielles et de construction (10) et les groupes familiaux diversifiés (8) représentent 40 % des revendications. La technologie (7), l’hôtellerie et le commerce (4) et la finance (3) suivent. Aucune banque n’apparaît sur un site de fuite.
4. Une grappe aéronautique se forme. Une aile aérienne gouvernementale en janvier, un traiteur aérien et un conglomérat de distribution en août, et Flydubai le 6 octobre. Le Conseil de cybersécurité des Émirats a aussi signalé en août des attaques contenues contre l’aviation, l’énergie et l’éducation.
5. Un second flux, lié à la guerre, court à côté du flux criminel. Le responsable du conseil affirme que les IRGC sont derrière de nombreuses attaques et a cité 640 000 tentatives en une seule journée en septembre. Ce flux apparaît sous forme de revendications hacktivistes et de publications Telegram, pas de demandes de rançon. La section 7 le traite.

Nous évaluons le risque pour les entreprises de taille moyenne, les entrepreneurs et les groupes familiaux émiriens comme élevé et stable. Pour l’aviation, l’énergie et le secteur public, nous l’évaluons comme élevé, du fait à la fois des criminels et du flux de la guerre.

1. Périmètre, et ce que les chiffres peuvent supporter

Ce rapport couvre les revendications nommant des organisations émiriennes publiées entre le 1er janvier et le 30 septembre 2026. Les 45 comprennent deux revendications alignées sur la guerre qui ne sont pas de l’extorsion financière : Sharjah National Oil Corporation (Handala) et l’Autorité fédérale des douanes (Nasir Security). Nous les conservons dans les chiffres et les traitons séparément dans l’analyse. Les revendications datées d’octobre (Flydubai, la UAE Pro League, PMG et Seven Seas) sont citées à part comme évolutions ultérieures et ne figurent ni dans les 45 ni dans les chiffres trimestriels. Sur les 45, 43 sont des revendications d’extorsion à motivation financière et deux sont des revendications destructrices ou à motivation politique. Les chiffres sont des revendications observées sur des sites de fuite : des revendications publiées qui nomment une organisation, collectées jusqu’au 10 octobre 2026. Une entreprise listée plusieurs fois pour le même incident compte une fois. Nous rattachons une organisation à un pays par son siège ou ses principales opérations, à partir de son domaine et de son profil public, et nous écartons les entrées dont les principales opérations sont ailleurs. La visibilité varie selon les pays : les chiffres ne sont donc pas des totaux complets d’incidents ni une mesure comparable du risque national.

Trois réserves s’appliquent à tout ce qui suit.

• Les sites de fuite ne montrent que les victimes qui n’ont pas payé ou négocié en privé. Le nombre réel d’incidents peut être plus élevé. Un rapport cite une demande supérieure à 5 millions USD contre une entreprise privée émirienne non nommée en septembre, qui n’apparaît sur aucun site de fuite que nous suivons.
• La revendication d’un groupe n’est pas la preuve d’une compromission. Nous n’avons vérifié aucun jeu de données.
• Rattacher une victime à un pays est imparfait, et les Émirats sont un carrefour régional : de nombreuses entreprises opèrent dans plusieurs États du Golfe. Certaines victimes émiriennes nous échapperont, et certaines entreprises régionales sont comptées par leur siège émirien. Considérez nos chiffres comme les cas que nous avons observés, pas comme un décompte complet des incidents.

Termes. RaaS : rançongiciel en tant que service, une plateforme que des développeurs louent à des affiliés indépendants. EDR : détection et réponse sur les terminaux, un logiciel de sécurité sur les serveurs et les portables. Infostealer : logiciel malveillant qui vole les identifiants et sessions enregistrés sur les appareils infectés. Marque blanche : modèle dans lequel les affiliés mènent des attaques sous leur propre marque en s’appuyant sur la plateforme.

2. Chronologie : les deux plus grands marchés du Golfe évoluent différemment

Le T1 a été chargé pour deux raisons. The Gentlemen ont publié quatre revendications en 24 jours, et la guerre a commencé. Des frappes iraniennes ont touché des États du Golfe à partir du 28 février, et des rapports indiquent que des frappes de drones ont endommagé trois centres de données AWS aux Émirats début mars, provoquant des pannes. Le T2 a fléchi à 12. Le T3 est remonté à 17 avec l’arrivée de Krybit et le maintien du rythme de DragonForce et d’INC. Le début du T4 en est déjà à quatre revendications en neuf jours (Seven Seas, Flydubai, la UAE Pro League et PMG).

Le premier flux est la guerre. Le responsable du Conseil de cybersécurité des Émirats a déclaré que les IRGC sont « l’un des principaux acteurs » derrière les attaques contre le pays, et que les tentatives quotidiennes d’intrusion sont passées de 90 000 à 200 000 avant le conflit à entre 600 000 et 800 000 après, avec 640 000 en une seule journée en septembre. Ce sont des tentatives d’intrusion telles que le responsable les a décrites, pas des intrusions confirmées, et les chiffres ne sont pas ventilés par acteur. Il a décrit des attaques avancées et organisées contre l’aviation, l’énergie et l’éducation en août, après des attaques contre des institutions financières en juillet, et a dit que l’IA a accéléré les attaques. Positive Technologies a estimé les Émirats à 35 % des cyberattaques du Golfe au premier semestre 2026, contre 15 % pour l’Arabie saoudite. L’essentiel de ce volume est automatisé et ne devient jamais une publication de site de fuite. La partie qui le devient apparaît sous forme de revendications de personas en mars (section 5, cas 2).

Le second flux est criminel. Il ignore la guerre et travaille les VPN et pare-feu exposés et les identifiants faibles, comme partout. CloudSEK a compté une activité de rançongiciel au Moyen-Orient passant de 17 incidents en avril 2025 à 357 en juin 2026. L’avis de mai de Rescana ajoute que les attaquants exploitent les vulnérabilités dans les 48 heures suivant leur divulgation et que la plupart des violations aux Émirats commencent par de l’hameçonnage ou des messages frauduleux.

Les Émirats et le Royaume côte à côte

Sept groupes apparaissent dans les deux pays : The Gentlemen, DragonForce, INC Ransom, APT73, Krybit, Tengu et Handala. Les Émirats sont plus fragmentés au sommet et plus diversifiés par secteur. Le Royaume est plus concentré sur un groupe et une chaîne de valeur, et il accélère tandis que les Émirats sont stables. La visibilité varie selon les pays : l’écart de revendications observées ne montre donc pas un écart proportionnel d’incidents réels. Notre rapport complémentaire sur le Royaume couvre le côté saoudien en détail.

3. Les groupes en un coup d’œil

Qilin est aussi absent ici. Le groupe le plus prolifique du monde selon les chiffres du T1 n’a aucune revendication en 2026 dans nos données émiriennes, comme dans le Royaume. Nous y lisons une lacune de visibilité, pas de la sécurité, et y revenons dans les perspectives.

Les Émirats ont plus d’opérateurs récurrents que le Royaume. Quatre groupes mènent des opérations régulières (The Gentlemen, DragonForce, INC, Krybit), quatre autres ont publié deux fois et treize sont apparus une fois. Pour un défenseur, la leçon est la même que dans le Royaume : la traîne est trop large pour être suivie par nom.

4. Qui est touché

Notre propre classification des 45 revendications. Chaque revendication est comptée une fois, et les entreprises industrielles et de construction sont combinées en une seule catégorie analytique. Lorsqu’un groupe couvre plusieurs secteurs, nous le classons selon son activité principale, et les groupes familiaux diversifiés forment leur propre catégorie.

• Industrie et construction : 10. Al Arif Contracting, Al Shafar GRC, Al Ishrak Contracting, Midal Cables, Harwal, MCT, Wozair, Aboura Metals, Intherpro, Geebee Garments.
• Groupes familiaux et holdings diversifiés : 8. Al-Futtaim, Lals, AASA, Al Khaja, Al Dhow, AIMS, ARENCO, Mohammad Omar Bin Haider.
• Technologie : 7. GBM, Sibca, secure.ae, Shipox, Propertyfinder, Progress Security Systems, GIT Dubai.
• Hôtellerie et commerce : 4. Deux hôtels, un détaillant d’aménagement intérieur, une marque de mode.
• Transport et aviation : 3. Emirates National Group, Autostrad, Emirates Flight Catering.
• Services professionnels : 3. Un cabinet de formation, un cabinet d’avocats, une société d’impression et de bureautique.
• Finance : 3. Un recouvreur de créances, un groupe d’assurance et de réassurance, un courtier forex.
• Secteur public, énergie et services publics : 5. Un ministère fédéral, une aile aérienne du gouvernement de Dubaï, l’autorité fédérale des douanes (revendication de persona), l’autorité des services publics de Sharjah et Sharjah National Oil Corporation (revendication de persona).
• Éducation et autres : 2. Abu Dhabi Indian School et Dolrad.

Trois schémas se dégagent. Les bâtisseurs et les industriels sont en tête : 22 % des revendications touchent des entreprises industrielles et de construction, qui ont un informatique léger, dépendent de réseaux de sous-traitants et détiennent des données de projets de grands clients. Les groupes familiaux sont une deuxième classe de cibles, comme dans le Royaume : huit groupes diversifiés, dont un conglomérat de distribution et d’automobile présent dans toute la région. Et les revendications n’atteignent le secteur public que de façon sélective : trois organismes publics sur des sites de fuite contre huit sur des forums.

Aux Émirats, le risque de rançongiciel n’est pas dans les grandes marques. Il est chez l’entrepreneur, le fournisseur et le groupe familial d’à côté.

5. Dossiers

Les chiffres montrent la forme du problème. Les cas individuels montrent comment il fonctionne. Chaque cas ci-dessous indique ce qui a été revendiqué, ce que suggèrent le calendrier et la structure, et le degré de confiance que nous lui accordons.

Cas 1. L’écosystème aéronautique (Nova, Everest, du T1 au T4)

Revendications. Dubai Air Wing, l’organisme gouvernemental d’aviation VIP (Nova, 13 janv., avec la promesse de données d’employés et financières à venir). Emirates Flight Catering et Al-Futtaim Group (Everest, toutes deux le 5 août). Flydubai (Everest, 6 oct.) : 4,36 Go dans 16 517 fichiers que le groupe dit comprendre des documents d’exploitation des vols et de formation des équipages, des dossiers du personnel et du code source Boeing propriétaire. Au T4, une revendication distincte a aussi nommé Seven Seas, un groupe de services maritimes.
Lecture. Les cibles se situent dans une chaîne : un organisme gouvernemental de vol, un fournisseur de services au sol, un conglomérat de distribution et d’automobile et un transporteur. Le modèle d’Everest convient à la chaîne. Il achète ou recrute des accès, vole des données tôt et saute parfois complètement le chiffrement : une compagnie aérienne peut donc perdre des données sans panne. La revendication Flydubai montre aussi un levier par du code tiers : le code source appartenant à un constructeur d’avions est un problème de fournisseur, pas seulement de transporteur. La déclaration d’août du Conseil de cybersécurité des Émirats sur des attaques contenues contre l’aviation est cohérente avec l’attention portée à ce secteur, mais elle ne rattache aucune revendication criminelle à un acteur étatique.
Confiance. Modérée. Les revendications et leur contenu viennent de l’acteur. Aucune victime ne les a confirmées.

Cas 2. Le flux de la guerre en mars (Handala, Nasir Security)

Revendications. 2 mars : Handala revendique Sharjah National Oil Corporation, avec 1,3 To de données financières, de contrats pétroliers et de détails de projets. 3 mars : il revendique Aramco dans le Royaume. 23 mars : Nasir Security publie deux aperçus promettant la « plus massive opération de piratage de l’histoire des Émirats ». 26 mars : il revendique un accès à l’Autorité fédérale des douanes, avec une rhétorique religieuse et de résistance et sans preuve.
Lecture. Ces revendications arrivent dans les quatre premières semaines de la guerre et sont rédigées comme des messages, pas comme des offres. Aucune ne nomme de prix ou de délai. Sur la même période, des rapports indiquent que des drones iraniens ont endommagé trois centres de données AWS aux Émirats, ce qui montre le front physique et le front cyber qui avancent ensemble. Les rapports publics relient Handala au ministère iranien du Renseignement et décrivent ses wipers : une revendication de sa part mérite donc un plan de reprise même quand ses volumes paraissent gonflés. Nasir Security n’a ni profil public, ni données, ni échantillon : nous le classons donc comme activité d’influence.
Confiance. Modérée sur l’attribution de Handala, faible sur l’impact revendiqué par les deux groupes.

Cas 3. The Gentlemen : une rafale au T1, puis un goutte-à-goutte plus lent

Revendications. Sibca (21 janv.), Marina Home Interiors (6 fév.), Emirates National Group (12 fév.), Autostrad (13 fév.), puis un intervalle de 127 jours jusqu’à Al Khaja Holding (20 juin), Al Dhow Group (1er juil.) et AIMS Group (9 août).
Lecture. Quatre revendications en 24 jours contre trois dans les six mois suivants peuvent se lire comme des affiliés travaillant un lot d’accès acquis puis passant à autre chose, bien que d’autres explications conviennent. Les cibles comprennent des groupes familiaux, des entreprises de logistique et des intégrateurs TIC. Dans le Royaume, le même groupe a fait l’inverse : une revendication au T1 et au T2, puis quatre au T3. Ensemble, les deux schémas suggèrent le même vivier d’affiliés déplaçant son attention, bien qu’il n’ait pas quitté les Émirats (la revendication AIMS n’a que deux mois).
Confiance. Élevée sur la cadence. Modérée sur la lecture de rotation.

Cas 4. DragonForce travaille par lots (juin et juillet)

Revendications. 12 juin : Al Shafar GRC (un fabricant de béton de fibres de verre), Corniche Hotel Abu Dhabi et Al Ishrak Contracting. 14 juillet : Midal Cables et Graphic International Centre, une société d’impression et de bureautique active depuis 1982.
Lecture. Cinq des sept revendications émiriennes de DragonForce sont arrivées en deux lots le même jour. Les victimes ne partagent aucun secteur, ce que produisent les affiliés en marque blanche : un opérateur parcourt une liste d’entreprises de taille moyenne qu’il pouvait atteindre, puis publie ensemble. Le schéma du même jour est en soi un indice de détection. Si une entreprise émirienne avec laquelle vous travaillez est nommée, vérifiez si son fournisseur informatique, son FAI ou son prestataire de services gérés dessert aussi les autres.
Confiance. Élevée sur le traitement par lots. Faible sur tout vecteur commun.

Cas 5. La série de Krybit dans le Golfe (de juin à septembre)

Revendications. Progress Security Systems (12 juin), AASA Group (19 juin), GIT Dubai (1er juil.), Intherpro (12 sept.), Kashkha (13 sept.), plus Efada dans le Royaume (24 sept.). Six revendications dans le Golfe d’une marque apparue en mars.
Lecture. Deux des cinq victimes émiriennes vendent des technologies de sécurité ou d’imagerie (Progress Security Systems, un intégrateur d’Abou Dhabi, et GIT Dubai), une classe de cibles rentable parce que leurs clients leur font confiance. Les revendications arrivent par courtes séries : deux en juin à une semaine d’intervalle, une le 1er juillet, puis deux jours consécutifs en septembre après dix semaines de silence. Cela correspond à un affilié qui monnaie des accès sur de courtes fenêtres et reste discret entre-temps. Une marque aussi jeune risque aussi de changer de nom : suivez donc son infrastructure et ses affiliés, pas seulement son nom.
Confiance. Élevée sur les chiffres. Faible sur l’outillage et sur la durée de vie de la marque.

Cas 6. 27 avril : un ministère et un service public le même jour (APT73)

Revendications. Le ministère du Changement climatique et de l’Environnement et l’autorité de l’électricité, de l’eau et du gaz de Sharjah, le même jour que deux revendications saoudiennes du même groupe.
Lecture. Notre rapport sur le Royaume couvre ce lot en détail. L’angle émirien tient aux cibles elles-mêmes : un ministère fédéral et une autorité de services publics sur un site de fuite sont rares dans nos données, et ils sont arrivés avec deux organisations privées sans lien. Un fournisseur informatique ou de services commun est une hypothèse à vérifier.
Confiance. Modérée sur le fait qu’il s’agit d’un seul lot, faible sur le vecteur.

Cas 7. Des données immobilières qui ressurgissent (Coinbase Cartel)

Revendications. Propertyfinder, revendiqué en novembre 2025 et mis aux enchères le 30 mars 2026, avec son CRM. Coldwell Banker UAE en décembre 2025, avec une étiquette de 17,3 millions USD de chiffre d’affaires. Parmi les cibles immobilières antérieures figure Asteco (2024).
Lecture. Le même secteur revient, et les mêmes données peuvent être relistées des mois plus tard. Coinbase Cartel vole des données sans rien chiffrer, et environ 80 % de ses victimes avaient subi auparavant des infections par voleurs d’informations. Une plateforme immobilière détient noms, numéros de téléphone, copies de passeports et de cartes Emirates ID et détails de paiement d’acheteurs et de locataires : l’hygiène des identifiants et la révocation des sessions comptent donc plus ici que les sauvegardes.
Confiance. Modérée. Le lien avec les voleurs d’informations vient d’une analyse d’éditeur sur le groupe en général, pas de ces victimes.

Cas 8. Une fuite par étapes : 700 Go en deux temps (Stormous)

Revendications. 2 mai : Stormous publie un aperçu contre un groupe d’assurance et de réassurance, en revendiquant le contrôle de 700 Go dont des données d’audit de conformité et des dossiers bancaires. 11 mai : il publie une annonce mise à jour et plus complète.
Lecture. Échelonner une divulgation remet le compteur à zéro et prolonge la couverture de presse, ce qui donne au groupe deux événements de pression pour une seule victime. Les assureurs et réassureurs détiennent les sinistres et données d’audit d’autres entreprises : le préjudice peut donc atteindre des clients qui n’ont jamais fait partie de l’intrusion. Les régulateurs financiers des Émirats et les partenaires de réassurance de l’assureur voudront être prévenus rapidement.
Confiance. Modérée.

6. Acteurs de la menace actifs : présence, motivation et TTP

Les neuf acteurs présentés ci-dessous expliquent 31 des 45 revendications. Les 14 autres sont réparties entre douze groupes, traités en fin de section. Leurs détails techniques publics proviennent de rapports d’incidents mondiaux, pas des cas émiriens. Nous n’avons aucune preuve au niveau des incidents provenant de victimes émiriennes : lisez donc les tactiques ci-dessous comme ce que chaque acteur est connu pour faire, pas comme la preuve de ce qui est arrivé à une entreprise émirienne précise. Les identifiants de techniques renvoient à MITRE ATT&CK.

Synthèse : motivation et présence

Ce que les acteurs partagent

Les marques diffèrent, mais les comportements convergent. La matrice montre quelles techniques chaque grand groupe est documenté comme utilisant. Une technique que beaucoup de groupes partagent est une meilleure cible de détection que les indicateurs d’un seul groupe.

Les marques reflètent les rapports publics sur chaque groupe dans le monde, pas des preuves d’incidents émiriens.

Profils des acteurs

La traîne, et un précédent plus ancien

• APT73. Deux revendications le 27 avril, traitées au cas 6 et dans notre rapport sur le Royaume.
• BlackNevas. Deux revendications émiriennes en octobre 2025 (Choithrams, une chaîne d’alimentation, et Trojan Construction, un groupe d’Abou Dhabi de huit filiales) dans lesquelles il proposait un accès à un réseau d’entreprise et un initié informatique contraint à coopérer. Il ne figure pas dans nos données émiriennes de 2026, mais il est revenu dans le Golfe avec des revendications saoudiennes et omanaises.
• Medusalocker. Two claims (Dolrad, 1 July; Aboura Metals, 12 September), both with email-harvest metadata in the listing. Thin public reporting.
• Stormous. Staged disclosure on an insurance and reinsurance victim: a 700 GB teaser on 2 May, then a full update on 11 May. Staging escalates pressure and extends press coverage.
• Nova. Claimed Dubai Air Wing, a government aviation body, on 13 January. CloudSEK counts Nova as Gulf-focused across its 17-month review window, and it also claimed Saudi victims in 2025.
• Nasir Security. A war-aligned persona. On 23 March it posted two teasers promising the “most massive hack operation in UAE history”, then on 26 March claimed access to the Federal Customs Authority, with religious and resistance rhetoric. No data volume or proof offered. We treat it as influence activity until evidence appears.
• Meowciety403. One claim: a Dubai forex and brokerage firm, posted 2 September. The listing cites 216 PDF files covering HR, legal, and daily corporate-action reports, plus API keys. API keys in a leak are the part to act on first.
• Akira. One claim on 28 September against an apparel manufacturer with UAE and Bangladesh facilities, announcing 100 GB to follow, including passports and financials. Akira is a major global brand, so a single Gulf claim is not a trend.
• Br0K3R (historical). An Iran-linked access broker active since about 2017 that sells domain access to ransomware crews and takes a share of payouts. Its victim list includes UAE organizations. It is the clearest precedent for state-adjacent access feeding criminal ransomware.
• Lynx, CipherForce, Lamashtu, Payload. One claim each: an IT firm, a logistics platform, a Fujairah hotel, and a Dubai conglomerate. Mid-market, mixed maturity, no distinctive Gulf pattern.

Avant 2026 : le registre émirien

Les Émirats sont une cible régulière de rançongiciels depuis des années. Les victimes gouvernementales et de grandes organisations de 2022 à 2025 comprennent la municipalité de Dubaï (Daixin, juin 2024), un prétendu vidage de racine web gouvernementale émirienne (Pyrx, 2024), l’American Hospital Dubai (Gunra, 40 To revendiqués, juillet 2025), Lux Actuaries and Consultants (Medusa, 928,5 Go, octobre 2025), Rixos Hotels (Embargo, mars 2025), ainsi que le Croissant-Rouge des Émirats et la Société des ingénieurs (Kazu, novembre 2025). Fin 2025 a aussi vu une série de revendications visant de petites entreprises, comme des opérateurs touristiques et une école privée tarifée en Monero (Bqtlock, 50 à 66 XMR), ce qui montre le bas du marché. Le courtier d’accès lié à l’Iran Br0K3R, actif depuis environ 2017, liste des victimes émiriennes et vend des accès au domaine à des équipes criminelles, ce qui est le précédent le plus clair d’un accès proche d’un État alimentant le rançongiciel.

7. Au-delà des sites de fuite : revendications de forums et de Telegram

Les équipes de rançongiciel publient leurs victimes sur leurs propres sites. Tous les autres publient sur des forums criminels et des canaux Telegram : vendeurs de données, courtiers d’accès, hacktivistes et chercheurs de notoriété. Notre ensemble de suivi compte 142 publications étiquetées Émirats, en tête les pseudonymes BIGBROTHER (7), Anonymous2090 (6), dravik1 (5) et sexyskin (5). Nous avons examiné en détail 33 publications parues entre le 25 juillet et le 10 octobre 2026. C’est un échantillon de onze semaines : nous le lisons donc comme un instantané du marché, pas comme une tendance. Nous ne nommons aucune victime ici. Les revendications ne sont pas vérifiées, beaucoup sont recyclées, et nommer une cible amplifierait une revendication non prouvée.

Ce que visent les 33 publications

• Secteur public et sécurité : 8 (24 %). Deux publications sur une même revendication visant le ministère de l’Intérieur (4 To), un ministère de l’Éducation, un ministère de l’Industrie, une autorité d’identité et de citoyenneté, un organisme public, une revendication de « logiciel autorisé » et une publication sur une unité militaire. Les enjeux les plus élevés et les moins vérifiables.
• Données personnelles de masse : 6. Des annonces d’images de pièces d’identité et de permis de conduire, de dossiers de résidents, de données GSM, de données de propriétaires fonciers, d’une plateforme de voyage de 4 millions d’enregistrements et d’une plateforme d’influenceurs de 63 000.
• Plateformes grand public et de mobilité : 5. Des places de marché de véhicules, une plateforme de recharge de véhicules électriques et un voyagiste.
• Finance et assurance : 3. Une revendication de 64 Go de comptes bancaires et de pièces d’identité, une banque régionale nommée et une annonce de données d’assurance.
• Santé : 2. Un hôpital et portail patients et un site d’emplois de santé.
• Accès réseau à vendre : 2. Une annonce d’accès SSL-VPN sur un équipement Fortinet et un accès CMS à une plateforme de paiement.
• Énergie, holding, services professionnels, technologie et autres : 7. Dont une publication nommant la compagnie pétrolière nationale.

Qui publie, et sur quelle plateforme

Deux couches apparaissent clairement. Les forums portent la couche commerciale. Les vendeurs de données et courtiers d’accès publient des vidages de données personnelles, des plateformes grand public et des annonces d’accès, surtout sous des pseudonymes jetables. dravik1 en a publié cinq à lui seul (une revendication visant le ministère de l’Intérieur deux fois en deux jours, une revendication de comptes bancaires, un lot de pièces d’identité et de permis, et une revendication visant Sharjah). Telegram porte la couche de la guerre. Trois publications nomment un ministère de l’Industrie, une autorité d’identité et la compagnie pétrolière nationale, sous des noms comme Infrastructure Destruction Squad, 404Crew Cyber Team et Qital-e-adl. Ce sont des noms de personas au cadrage politique, qui visent le gouvernement et l’énergie, pas des victimes choisies pour leur valeur de revente.

Six pseudonymes ont publié à la fois aux Émirats et dans notre échantillon saoudien sur les mêmes semaines : DaOnlySpark, Keishell, 4ss3, honeydutch, Anonymous2090 et s-root. C’est une base de vendeurs régionale qui travaille les deux marchés. Deux exemples montrent pourquoi cela compte. 4ss3 a publié une revendication visant une unité militaire aux Émirats le 2 septembre et une revendication visant l’armée saoudienne le 26 août, à une semaine d’intervalle. Anonymous2090 couvre hôpitaux, groupes holdings, universités et immobilier dans les deux échantillons, sans logique sectorielle. Quand un même pseudonyme nomme des entités étatiques ou militaires dans les deux pays à quelques jours d’intervalle, la meilleure lecture est la recherche d’attention, et la vérification doit précéder toute escalade.

Pourquoi cela compte pour le risque de rançongiciel

Une annonce d’accès SSL-VPN sur un équipement Fortinet est le début d’une chaîne de rançongiciel, car l’exploitation de FortiGate est une voie d’entrée documentée pour plusieurs groupes de ce rapport (NightSpire, Dire Wolf, INC). Nous ne pouvons relier l’annonce à aucune revendication, et nous ne le faisons pas. Mais les organisations qui utilisent Fortinet SSL-VPN devraient y voir une raison de vérifier leurs propres équipements dès maintenant, car l’intervalle entre une vente d’accès et une publication sur un site de fuite est généralement de quelques jours à quelques semaines.

Confiance. Que les publications existent : élevée. Que chacune décrive une véritable violation : faible. Que l’une corresponde à un incident de rançongiciel : faible. Pour les revendications gouvernementales, vérifiez avant de remonter. Contrôlez si les données sont anciennes ou publiques, si elles correspondent à vos enregistrements et si l’auteur propose des échantillons.

8. Comment ils entrent

Les sites de fuite montrent des victimes, pas des intrusions : cette section s’appuie donc sur des rapports régionaux publics. Le tableau est cohérent :

• L’hameçonnage et l’ingénierie sociale dominent en première ligne. Rescana rapporte que plus de 75 % des violations aux Émirats commencent par de l’hameçonnage ou des messages frauduleux. L’approche par le support informatique de DragonForce correspond à ce profil.
• Les vulnérabilités sont exploitées en 48 heures. L’avis de mai cite parmi ses priorités des failles exploitées dans Ivanti, Microsoft Office et Cisco IOS XR, et la région dans son ensemble montre que 38 % des incidents partent d’une exploitation de vulnérabilité (Positive Technologies).
• Les équipements de bordure sont la porte. Des failles de Fortinet et Citrix figurent dans les tactiques documentées d’INC, NightSpire et d’autres, et une annonce d’accès SSL-VPN était en vente en août.
• Identifiants et sessions volés. Le modèle de Coinbase Cartel repose sur des journaux de voleurs d’informations, et environ 80 % de ses victimes avaient déjà subi des infections.
• Initiés et coercition. Everest recrute des initiés, et BlackNevas a proposé un employé informatique contraint à coopérer.
• L’IA accélère le travail. Le responsable du conseil dit que l’IA a considérablement accéléré les attaques, et CloudSEK rapporte que des groupes liés à l’Iran utilisent l’IA pour l’outillage et les leurres d’hameçonnage.

9. Le cadre réglementaire

La loi fédérale sur la protection des données personnelles est le décret-loi fédéral 45 de 2021, supervisé par le Bureau des données des Émirats créé par le décret-loi fédéral 44 de 2021. La loi fixe une obligation de signalement des violations, mais le délai de signalement et les procédures sont laissés à des règlements d’exécution. Les comptes rendus publiés divergent sur le point de savoir si ces règlements ont été émis : certains commentateurs disent qu’ils ne l’étaient pas à la mi-2026, d’autres disent qu’ils le sont. Nous n’avons pu vérifier aucun de ces comptes rendus auprès d’une source officielle, ni un délai légal de notification d’application générale dans les sources examinées : nous n’en indiquons donc aucun. Cela ne signifie pas qu’il n’en existe pas. Les zones franches ajoutent leurs propres régimes : le DIFC et l’ADGM ont chacun des lois de protection des données distinctes, avec leurs propres régulateurs. Les établissements financiers relèvent de leur régulateur sectoriel, et le Conseil de cybersécurité des Émirats coordonne la cyberdéfense nationale. Notre description de ces régimes est générale et s’appuie sur des rapports secondaires plutôt que sur un examen du texte législatif. Les règles varient selon l’émirat, la zone franche et le secteur : confirmez donc quel régime s’applique à chaque entité avant un incident. Nous ne sommes pas juristes : prenez un avis juridique pour tout cas précis.

10. Perspectives pour le T4 2026 et le T1 2027

Ce sont nos prévisions, pas des constats, et chacune repose sur les données limitées ci-dessus.

1. Le volume reste élevé. Quatre revendications ont été enregistrées dans les neuf premiers jours d’octobre 2026. Nous attendons 12 à 18 revendications dans le trimestre, en phase avec la fourchette de 2026.
2. L’aviation, le sport et le divertissement restent dans le viseur. Flydubai et la UAE Pro League la première semaine pointent vers des cibles de grande marque dont l’histoire elle-même est un levier.
3. Krybit et DragonForce continuent. Krybit pourrait changer de nom, mais ses affiliés ne partiront pas. DragonForce continue de travailler les entreprises de taille moyenne par lots.
4. Les revendications de tiers et de chaîne d’approvisionnement augmentent. Attendez-vous à davantage de consultants, d’intégrateurs, d’entrepreneurs et d’éditeurs de plateformes, où une seule compromission expose plusieurs clients.
5. Les annonces d’accès ressortiront sous forme de revendications. Attendez-vous à ce que des accès émiriens listés sur des forums réapparaissent comme victimes de sites de fuite en quelques semaines.
6. Qilin reste la question ouverte. Le groupe qui domine le monde n’a aucune revendication émirienne dans nos données. Si ses affiliés se tournent vers le Golfe, le volume pourrait bondir rapidement.
7. Le flux de la guerre suit la politique. Un cessez-le-feu réduit le risque destructeur, et une escalade l’augmente, avec l’énergie, l’aviation et le secteur public en première ligne.

11. Que faire ce trimestre

1. Corrigez d’abord la bordure. Recensez chaque VPN, pare-feu et passerelle d’accès distant exposé à Internet, en commençant par Fortinet SSL-VPN et Citrix. Fixez un objectif interne proposé de 48 heures pour corriger les failles activement exploitées, utilisez des mesures compensatoires lorsque la correction ne peut être immédiate, et hiérarchisez selon l’exploitation confirmée, l’exposition, la criticité de l’actif et les consignes de l’éditeur.
2. Durcissez le support informatique. Exigez des contrôles d’identité solides avant toute réinitialisation de mot de passe ou réenrôlement MFA, surtout pour les utilisateurs privilégiés. C’est la porte de DragonForce.
3. Cherchez vos propres identifiants et sessions. Vérifiez les journaux de voleurs d’informations pour les comptes d’employés et de fournisseurs, réinitialisez ce qui apparaît et révoquez les sessions autant que les mots de passe.
4. Classez vos fournisseurs selon ce qu’ils détiennent. Identifiez les cinq entreprises extérieures détenant les données les plus sensibles sur vous, comme les consultants, intégrateurs et éditeurs de plateformes. Demandez à chacune des preuves de MFA, d’EDR et de sauvegardes hors ligne.
5. Réduisez au minimum les données que vous détenez sur les clients. Les plateformes immobilières, de voyage et de mobilité sont des cibles récurrentes. Ne conservez les copies de pièces d’identité et de passeports que le temps nécessaire.
6. Séparez le plan wiper du plan d’extorsion. Restaurations hors ligne testées pour les attaques destructrices. Préparation juridique, de communication et de négociation pour le vol de données. Ce sont des exercices différents.
7. Préparez-vous à la coercition du personnel. Donnez aux employés un moyen sûr et rapide de signaler toute approche, surtout dans l’informatique et la finance, et traitez-la comme un incident.
8. Répétez le scénario de la double extorsion. Sachez quel régime vous régit (fédéral, DIFC, ADGM ou un régulateur sectoriel), qui notifie qui, qui informe le conseil et qui décide de négocier. Documentez-le et testez-le.
9. Surveillez votre nom. Les sites de fuite, les canaux Telegram et les forums de courtiers publient vos données avant que vous n’en entendiez parler. Une détection à ces endroits fait gagner des jours.

Sources

• The National, Iran's IRGC behind many cyberattacks on UAE, says security chief
• The National, Ransomware activity rises across Middle East (CloudSEK data)
• Positive Technologies H1 2026 Gulf findings, via TECHx
• Check Point Research, The State of Ransomware Q1 2026
• Rescana, UAE Cyber Threat Landscape 2026
• Rescana, Flydubai Everest breach claim advisory
• Cybernews, Flydubai data hijacked
• SOCRadar, Al-Futtaim Group data breach claim
• SOCRadar, Emirates Flight Catering data breach claim
• Cyberwarfare during the 2026 Iran war (event overview)
• Hive Pro, Handala claims destructive wiper attack on GCC nation
• Picus Security, Handala threat group profile
• Proven Data, Coinbase Cartel
• Hive Pro, Coinbase Cartel: the encryption-free data extortion group
• Barracuda, NightSpire: wannabe warlords in ransomware's shadow realm
• Infosecurity Magazine, The Gentlemen overtakes Qilin
• Sophos, GOLD IONIC deploys INC ransomware
• Blackpoint Cyber, DragonForce threat profile
• SOCRadar, Dark Web Profile: Krybit
• Chambers, Cybersecurity 2026: UAE trends and developments

Les sources sont liées dans leur langue d’origine.