Rançongiciels en 2025 : rentabilité en baisse, menace évolutive
Titre: Rançongiciels en 2025 : rentabilité en baisse, menace évolutive
Évaluation de la menace des rançongiciels
En 2025 la rentabilité des rançongiciels a baissé, mais la menace reste vive et plus sournoise. Les groupes criminels ont conservé une capacité opérationnelle importante et adaptent leurs tactiques pour compenser la baisse des gains unitaires ¹ ². Pour les organisations, cela signifie une menace toujours stratégique : moins de paiements par victime ne veut pas dire moins d'impact. La logique criminelle change - plus de cibles, des attaques plus ciblées, et une pression croissante sur la résilience opérationnelle.
Une révélation marquante de 2025 concernant LockBit 3.0 met en lumière comment les anciens membres de Conti se sont disséminés, brouillant ainsi les lignes historiques entre les différentes enseignes de rançongiciels. Cette évolution fait des groupes de ransomware des écrans de fumée pour masquer des opérations de plus en plus complexes et interconnectées.
Origines et historique
Les rançongiciels existent depuis les années 2000 et ont pris un tournant industriel au fil de la décennie. Certains événements marquants montrent l'ampleur du risque et la vitesse d'évolution des techniques : WannaCry et NotPetya en 2017 ont démontré qu'une attaque peut provoquer des impacts systémiques à grande échelle ³. Entre 2019 et 2021, la double extorsion est devenue une pratique systématique, combinant chiffrement et menaces de publication de données. Depuis 2022, les infrastructures deviennent plus professionnalisées, avec des chaînes d'outils permettant le pivot rapide, l'automatisation et la sous-traitance via des modèles RaaS - ransomware-as-a-service ¹.
En 2025 on observe une réduction des gains par attaque et une diversification tactique : exploitation plus agressive des tiers, chiffrage sélectif pour maximiser la pression sur les opérations critiques, et usage du cloud compromis pour stocker ou exfiltrer les données. Ces évolutions demandent une adaptation immédiate des défenses et des processus de reprise ¹ ².
Fonctionnement technique
Chaîne d'attaque: vecteurs et chronologie
Les campagnes suivent généralement une séquence connue, mais chaque étape peut être rendue plus furtive et ciblée. Protégez vos processus pour contrer chacun des vecteurs :
- Reconnaissance: collecte d'informations publiques et privées (contacts, structure financière, architecture applicative).
- Compromission initiale: phishing hautement personnalisé, exploitation de vulnérabilités non corrigées (exemples de CVE exploitées par le passé sont bien documentés ¹).
- Escalade et mouvement latéral: abus des protocols d'administration, installation de comptes persistants et habilitations excessives.
- Exfiltration: compression et transfert discret de jeux de données priorisés par les attaquants.
- Déploiement du ransomware: chiffrement ciblé des ressources critiques et tentative de sabotage des sauvegardes.
- Extorsion: chantage par publication ou menace de publication des données exfiltrées.
Chaque étape offre des points d'intervention. La détection rapide des comportements anormaux en phase d'intrusion réduit fortement le risque d'une extorsion réussie ³.
Techniques d'évasion et industrialisation
Les groupes adoptent des méthodes qui accélèrent leur cycle opérationnel et réduisent le temps d'exposition :
- Codage modulaire pour faciliter les mises à jour et la réutilisation de composants.
- Infrastructure fast-flux pour faire tourner rapidement les serveurs et contourner les blocages.
- Chiffrement sélectif pour paralyser uniquement les fonctions critiques et augmenter la pression sur les victimes.
- Usage de services cloud compromis pour exfiltrer ou héberger des preuves tout en échappant à la traçabilité.
Ces pratiques rendent la détection plus difficile et exigent des défenses multicouches et des procédures de réponse éprouvées ².
Économie du ransomware
La rentabilité a diminué en 2025 en raison de plusieurs leviers : meilleures pratiques de sauvegarde (sauvegardes hors ligne et immuables), perturbation des circuits de paiement illicites et plus grande transparence dans certains secteurs qui décourage le paiement ¹ ². En réponse, les acteurs se déplacent vers des modèles de volume ou de diversification des tactiques, ciblant des organisations plus fragiles ou des chaînes logistiques pour maximiser l'impact même si le ticket moyen diminue.
Études de cas
Cas 1: établissement de santé - double extorsion
Contexte: hôpital victime d'un phishing ciblé suivi d'une exfiltration de dossiers patients.
Impact: interruption des soins et coûts directs et indirects dépassant plusieurs centaines de milliers d'euros, incluant enquêtes réglementaires et rétablissement des services.
Action recommandée: sauvegardes isolées et tests réguliers de restauration; plans de maintien d'activité critiques et exercices de crise impliquant les directions opérationnelles.
Cas 2: PME industrielle - attaque de chaîne logistique
Contexte: fournisseur compromis, impact en cascade sur plusieurs donneurs d'ordre.
Impact: arrêt de production pendant une semaine, pénalités contractuelles et dommages de réputation auprès des clients.
Action recommandée: contrôle strict des accès tiers, segmentation réseau et visibilité renforcée sur les connexions entre partenaires.
Cas 3: opération RaaS - baisse des paiements unitaires
Contexte: groupe opérant via un marketplace d'affiliés qui distribue des charges et négocie des paiements.
Impact: rentabilité en baisse pour les opérateurs principaux, multiplication des petites cibles et évolution des modes d'attaque.
Action recommandée: surveillance proactive des signes d'affiliation malveillante et évaluation continue des risques liés aux tiers et aux outils de collaboration.
Perspectives
Pour 2026 et au-delà, attendez-vous à une segmentation plus nette des tactiques: chantage pur, vol d'informations sensibles pour renseignement ou revente, et sabotage ciblé visant les chaînes critiques. L'intelligence artificielle accélère la reconnaissance et la création de courriels d'hameçonnage très crédibles, tout en automatisant certaines phases d'exfiltration. En parallèle, l'IA devient un outil de défense pour détecter les anomalies à grande échelle ² ³.
La pression réglementaire sur les plateformes de cryptomonnaies et sur les facilitateurs de paiement illicite devrait continuer d'éroder la capacité des groupes à encaisser et blanchir rapidement, mais ces groupes s'adaptent en fragmentant leurs activités et en créant des niches spécialisées ¹. Les récents développements soulignent également l'importance croissante des franchises de ransomware, qui, comme dans le cas de LockBit, agissent souvent comme des écrans pour des opérations plus fluides et moins visibles au sein de la cybercriminalité ¹.
Actions immédiates recommandées
- Auditez vos systèmes et identifiez les vulnérabilités connues; déployez les correctifs critiques dans les 72 heures lorsque cela est possible.
- Mettez en place une formation ciblée sur le phishing pour l'ensemble du personnel et activez le MFA sur tous les comptes à privilège dans les 30 jours.
- Établissez et testez un plan de sauvegarde avec copies hors ligne et immuables; validez une restauration complète dans le mois.
- Renforcez la surveillance des accès tiers: inventaire des connexions externes, revues d'accès et audits réguliers.
Ne sous-estimez pas le coût de l'inaction: interruption d'activité, pertes financières et atteinte durable à la réputation. Agir maintenant réduit la probabilité d'un arrêt majeur et permet de conserver la maîtrise du rétablissement.
Faits saillants opérationnels
- Priorité immédiate: réduire la surface d'attaque administrative et assurer l'immutabilité des sauvegardes.
- Détection: déployer EDR/NDR et corréler les signaux pour repérer les mouvements latéraux précoces.
- Gouvernance: intégrer la gestion des risques cyber dans les exercices de continuité et les scénarios de crise.
Selon Mandiant, la dynamique économique des opérations de rançongiciels reflète une adaptation des groupes à des défenses plus résilientes et à des restrictions sur les canaux de paiement ¹. Emsisoft confirme des tendances similaires sur la professionnalisation et la diversification des vecteurs d'attaque ³.
