La France est désormais le sixième pays le plus visé au monde par les groupes de rançongiciel. Entre janvier et juin 2026, 131 organisations françaises ont été revendiquées comme victimes, selon le décompte de Bitdefender rapporté par Clubic fin août. Un chiffre à lire avec une précaution importante : il ne compte que les attaques que les groupes ont eux-mêmes publiées sur leurs sites de fuite. La réalité est forcément plus élevée.
La France, un tiers des victimes d’Europe de l’Ouest
En un an, le nombre de victimes revendiquées en Europe de l’Ouest est passé de 310 à 436, soit plus de 40 % de hausse. La France en représente près de 30 %, et la France et l’Allemagne réunies près de 70 %.
Le mois le plus actif du semestre a été mars, avec 39 cas.
Les secteurs touchés
| Secteur | Organisations revendiquées |
|---|---|
| Technologie | 16 |
| Industrie manufacturière | 16 |
| Construction | 12 |
| Administrations publiques | 10 |
| Hôtellerie et loisirs | 10 |
La présence de la construction dans le trio de tête n’étonne pas : entreprises de taille moyenne, nombreux postes sur les chantiers, outils souvent hétérogènes et données précieuses (devis, plans, contrats). C’est exactement le profil que les attaquants recherchent : assez gros pour payer, souvent moins protégé qu’un grand groupe.
Les groupes les plus actifs
Deux groupes concentrent environ 40 % des victimes françaises : The Gentlemen (27) et Qilin (25). Suivent Coinbase Cartel et NightSpire (8 chacun), LAPSUS$ (5), puis Cl0p, Akira, DragonForce et LockBit (4 chacun) et Lynx (3).
L’éparpillement de la suite du classement dit quelque chose : le rançongiciel n’est plus l’affaire de deux ou trois grandes organisations, mais d’une multitude de groupes qui se partagent les outils et les accès.
Comment les attaquants entrent
Les rapports convergent sur quelques portes d’entrée, que l’actualité d’octobre illustre bien :
- les équipements exposés sur Internet (VPN, pare-feux, accès à distance) laissés sans correctif, comme les passerelles Ivanti Connect Secure attaquées depuis début octobre ;
- les identifiants volés ou réutilisés, surtout sans double authentification ;
- les e-mails piégés, de plus en plus crédibles.
Les cinq mesures qui comptent le plus pour une PME
- Des sauvegardes hors ligne et testées. La règle 3-2-1 (trois copies, deux supports, une copie hors site) n’a de valeur que si la restauration a été essayée. Une sauvegarde accessible depuis le réseau sera chiffrée avec le reste.
- La double authentification partout, en priorité sur la messagerie, le VPN et les comptes d’administration.
- Les correctifs des équipements exposés en premier. Un VPN non corrigé est aujourd’hui une invitation.
- Des droits limités : personne ne travaille au quotidien avec un compte administrateur.
- Des équipes formées à reconnaître un e-mail suspect. Nos outils gratuits détecteur de phishing et quiz cybersécurité font une bonne base de sensibilisation, et notre générateur de mots de passe crée des mots de passe robustes sans rien envoyer sur Internet.
Pour un état des lieux rapide d’un poste Windows (pare-feu, ports ouverts, comptes, démarrage), notre application open source Security Scanner PC calcule un score de sécurité sur 100, sans aucune connexion externe.
En cas d’attaque
Isolez les machines touchées du réseau sans les éteindre, prévenez votre prestataire informatique, et signalez l’incident sur cybermalveillance.gouv.fr. Ne payez pas la rançon dans la précipitation : rien ne garantit la récupération des données, et le paiement finance les attaques suivantes.
Sources
- Clubic, « Bitdefender : la France au 6e rang mondial des pays visés par les ransomwares », 25 août 2026 : https://www.clubic.com/actualite-626584-cp-bitdefender-ransomware.html
- BleepingComputer, faille Ivanti Connect Secure exploitée, 14 octobre 2026 : https://bleepingcomputer.com/news/security/cisa-warns-admins-to-immediately-fix-ivanti-flaw-exploited-as-zero-day
