1 592 victimes recensées au 3ème trimestre 2025 — l’activité des rançongiciels reste élevée et stable, 25 % au-dessus des niveaux de 2024, malgré le démantèlement d’infrastructures mondiales, avec une moyenne d’environ 535 victimes par mois.
85 groupes actifs, marquant un record de fragmentation et de migration d’affiliés — le nombre le plus élevé jamais observé. Les 10 principaux groupes ne représentent plus que 56 % des victimes publiées, contre 70 % plus tôt cette année.
Qilin est le groupe le plus actif sur la période avec environ 75 victimes par mois, tandis que LockBit 5.0 a refait surface avec des attaques confirmées dans plusieurs régions, offrant un chiffrement plus rapide, une meilleure évasion et une prise en charge de Windows, Linux et ESXi.
L’extorsion de données reste une tactique clé, les attaquants continuant d’exploiter les informations volées à des fins financières. Le rançongiciel dépasse désormais la simple compromission d’un poste de travail pour devenir un problème de gouvernance des données et de réputation.
Malgré les démantèlements menés par les forces de l’ordre, les rançongiciels demeurent résilients et décentralisés.
Lorsqu’un acteur important de RaaS (Ransomware-as-a-Service) est démantelé, les affiliés migrent rapidement vers de nouveaux programmes ou créent leurs propres sites de fuite, maintenant une activité mondiale à des niveaux historiquement élevés.
Les résultats de ce trimestre mettent en évidence un écosystème de type cartel, où les opérations évoluent grâce à l’agilité des affiliés, au renouvellement des marques et à une adaptation continue.
Tendances régionales et sectorielles :
Les États-Unis restent la principale cible, suivis de l’Europe de l’Ouest.
La Corée du Sud est entrée dans le top 10 mondial, portée par la campagne ciblée de Qilin contre le secteur financier.
La fabrication et les services aux entreprises sont les secteurs les plus visés, tandis que la santé se maintient à 8 % des victimes totales, malgré une certaine retenue de la part de groupes comme Play.
Nouvelles tactiques et acteurs émergents :
DragonForce promeut de nouveaux services "d’audit de données" permettant aux affiliés de rédiger des messages d’extorsion personnalisés à partir des ensembles de données volées.
Le retour de LockBit 5.0 pourrait entraîner une recentralisation autour de marques RaaS de confiance, les affiliés recherchant stabilité et réputation.
Sergey Shykevich, Responsable du groupe Threat Intelligence chez Check Point Software explique dans le rapport : « Au troisième trimestre 2025, les rançongiciels ont prouvé que la perturbation ne signifie pas déclin. Nous observons un écosystème hautement adaptatif où les affiliés circulent librement entre les marques, où de nouveaux acteurs émergent chaque semaine, et où l’extorsion centrée sur les données reste la stratégie dominante. L’avenir du rançongiciel repose sur l’automatisation, le partage de renseignement et l’agilité — et il en va de même pour les stratégies de défense ».
