Une étude de Sophos révèle que 79 % des ransomwares proviennent d’identités volées, supplantant pour la première fois l’exploitation de vulnérabilités.

Le paysage de la cybercriminalité connaît une mutation majeure. Selon le septième rapport annuel sur l’état des ransomwares publié ce jour par Sophos, fournisseur mondial de cybersécurité, la compromission d’identités est désormais la cause racine de près de quatre attaques sur cinq (79 %). Cette étude, menée auprès de responsables informatiques dans 17 pays, met en lumière un changement stratégique des attaquants, qui délaissent les failles techniques au profit de l’ingénierie sociale.

Un changement de paradigme pour les cybercriminels

Pour la première fois en quatre ans, l’exploitation de vulnérabilités n’est plus le principal vecteur d’intrusion. Les cybercriminels privilégient désormais les e-mails malveillants (26 %) et les campagnes de phishing (24 %) pour obtenir un accès initial aux systèmes des entreprises. Cette évolution démontre une professionnalisation des techniques visant à dérober des identifiants légitimes pour pénétrer les réseaux.

Cependant, les vulnérabilités logicielles demeurent une cible lucrative. L’étude révèle que 59 % des demandes de rançon issues de l’exploitation d’une faille de pare-feu atteignent ou dépassent le million de dollars, contre 48 % pour l’ensemble des attaques, confirmant leur criticité.

L’IA, une menace et une opportunité

L’intelligence artificielle est perçue comme un accélérateur potentiel pour les deux camps.

« Alors que les cybercriminels spécialisés dans les ransomwares expérimentent l’IA, celle-ci pourrait renforcer leur capacité à dérober des actifs de valeur, à les tenir en otage, et à mener ces opérations à une échelle jusqu’alors hors de leur portée », analyse Ross McKerchar, Chief Information Security Officer chez Sophos.

Selon lui, cette nouvelle vélocité impose une surveillance accrue des vecteurs d’intrusion, notamment les comptes compromis. Il souligne que l’amélioration des modèles d’IA ouverts donnera aux attaquants un avantage pour découvrir les failles logicielles. Face à ce risque, la simple application de correctifs ne suffit plus. La réduction de l’exposition externe et une protection robuste des terminaux deviennent essentielles.

Chiffrement en hausse mais paiements négociés

Le rapport indique que 56 % des organisations victimes de ransomware ont vu leurs données chiffrées, inversant une tendance à la baisse observée ces deux dernières années. Parmi elles, près de la moitié (48 %) ont payé la rançon. Toutefois, les entreprises semblent mieux armées pour négocier : 51 % de celles qui ont payé ont obtenu un montant inférieur à la demande initiale.

Malgré une chute de 65 % du montant médian des rançons en deux ans, le coût global de la reprise après incident a, lui, augmenté pour atteindre 1,7 million de dollars en moyenne.

« Au cours de l’année écoulée, les organisations ont renforcé leur résilience face aux ransomwares, et ces investissements portent largement leurs fruits », ajoute Ross McKerchar. « Toutefois, les ransomwares continuent de coûter des millions aux organisations. »

Recommandations et bonnes pratiques

Face à l’évolution des menaces, Sophos préconise une approche de défense intégrée combinant technologies, processus et équipes humaines. L’entreprise recommande notamment de :

• Considérer l’identité comme une couche de sécurité fondamentale, en priorisant la détection des menaces liées aux identités (ITDR) et en imposant une authentification multifacteur (MFA) résistante au phishing.
• Investir dans des infrastructures de sauvegarde robustes, testées régulièrement et stockées hors ligne ou dans des formats immuables.
• Maintenir des programmes de gestion de l’exposition, avec une application rigoureuse des correctifs et une priorisation des actifs exposés sur Internet.
• Réduire l’exposition via les pare-feu, en appliquant les mises à jour rapidement et en connectant leur télémétrie à des solutions de détection et de réponse étendues (XDR/MDR).

L’enquête a été réalisée par le cabinet Vanson Bourne pour Sophos au premier trimestre 2026 auprès de 2 158 décideurs IT et cybersécurité dans 17 pays, dont la France. L’intégralité du rapport 2026 sur l’état des ransomwares est disponible sur le site de Sophos (https://www.sophos.fr).

À propos de Sophos

Sophos est un leader mondial de la cybersécurité, qui protège plus de 600 000 entreprises dans le monde grâce à son système de défense natif basé sur l’intelligence artificielle.

Son architecture connectée permet à chaque point de contrôle de fonctionner de manière unifiée. Grâce à l’IA et à l’expertise de ses équipes, Sophos détecte et neutralise les menaces avant qu’elles n’impactent l’activité de ses clients.

Le siège social de Sophos est situé à Oxford, au Royaume-Uni. Pour plus d’informations, consultez le site www.sophos.com/fr.

via Presse Agence (rédigé à partir d’un communiqué de presse transmis à la rédaction).