Panorama des menaces : ce qui est réellement observé en France

Un rançongiciel (ransomware) chiffre les fichiers de la victime et exige une rançon pour fournir la clé de déchiffrement. L'ANSSI en a recensé 128 compromissions en 2025, contre 141 en 2024 : le phénomène recule légèrement en nombre, mais se déplace vers le bas du tissu économique — 48 % des victimes recensées sont des TPE, PME ou ETI, structures qui disposent rarement d'une équipe sécurité.

Les modes opératoires ont évolué :

• Double extorsion : les données sont exfiltrées avant le chiffrement, et leur publication est brandie comme moyen de pression. C'est devenu la norme.
• Extorsion sans chiffrement : certains groupes se contentent désormais de voler les données et de menacer de les publier. L'ANSSI relève d'ailleurs que sur les 196 incidents d'exfiltration signalés en 2025, seuls 42 % ont pu être confirmés — le reste relevant souvent de revendications opportunistes.
• Rançongiciel en tant que service : une infrastructure louée à des « affiliés » rémunérés à la commission, ce qui abaisse fortement le niveau technique requis pour attaquer.

En 2025, les souches les plus actives observées par l'ANSSI sont Qilin (21 % des cas), Akira (9 %) et LockBit 3.0 (5 %). Ce classement change vite : les groupes se dissolvent et se reforment au gré des opérations de police internationales.

C'est ici que circulent le plus de chiffres douteux. Le rapport annuel de référence sur le sujet, le Verizon Data Breach Investigations Report, donne pour son édition 2026 la répartition suivante des vecteurs d'accès initial :

Ces pourcentages ne s'additionnent pas : ils mesurent des dimensions différentes d'un même incident. Un attaquant peut exploiter une faille sur un équipement de bordure et utiliser des identifiants volés pour progresser. Les identifiants, notamment, n'apparaissent que dans 13 % des accès initiaux mais dans 39 % des compromissions si l'on regarde l'ensemble du déroulé de l'attaque.

L'hameçonnage (phishing) reste le type d'escroquerie en ligne le plus signalé. Dans le rapport 2024 du centre de plaintes du FBI (IC3), il arrive premier en volume avec 193 407 plaintes, sur un total de 859 532 plaintes et plus de 16 milliards de dollars de pertes déclarées (+ 33 % sur un an).

La fraude au virement — connue sous le sigle BEC (Business Email Compromise), ou « fraude au président » — n'est pas la plus fréquente, mais elle est parmi les plus coûteuses : 2,77 milliards de dollars de pertes en 2024 pour 21 442 plaintes, soit le deuxième poste de pertes après la fraude à l'investissement (6,57 Md$). Le principe : manipuler un comptable, un service RH ou un dirigeant pour déclencher un virement ou modifier des coordonnées bancaires.

Les déclinaisons les plus rencontrées :

• Fraude au dirigeant : un « PDG » injoignable demande un virement urgent et confidentiel.
• Fraude au fournisseur : un fournisseur connu annonce un changement de coordonnées bancaires, souvent juste avant une échéance importante.
• Fraude à l'avocat : un cabinet fictif évoque une opération confidentielle nécessitant un versement.
• Fraude aux ressources humaines : demande de changement du RIB de paie d'un salarié.
• Fraude au client : interception d'une facture émise par l'entreprise, modification du RIB, le client paie le fraudeur.

Le détail des mécanismes et des parades est traité au chapitre 2.2.

Plutôt que d'attaquer une cible bien défendue, l'attaquant compromet un maillon moins protégé qui bénéficie déjà de sa confiance : un éditeur de logiciel, un prestataire d'infogérance, un service en ligne. C'est aujourd'hui le facteur qui progresse le plus vite : le rapport Verizon 2026 relève qu'un tiers est impliqué dans 48 % des compromissions, soit une hausse de 60 % en un an.

L'ANSSI décrit dans son panorama 2025 deux formes très concrètes de ce phénomène :

• Le détournement d'outils légitimes. Les attaquants utilisent les logiciels de prise en main à distance et les services de partage de fichiers déjà installés et autorisés dans l'entreprise, ce qui rend leur activité très difficile à distinguer d'une opération de maintenance normale. L'outil de prise en main à distance le plus fréquemment observé dans les incidents traités en 2025 est AnyDesk.
• Les équipements de bordure. Pare-feux, concentrateurs VPN et passerelles restent des cibles privilégiées, avec six alertes majeures publiées par le CERT-FR en 2025 sur ce type d'équipement.

Des compromissions de bibliothèques open source largement réutilisées ont également marqué les dernières années : la vulnérabilité Log4Shell dans la bibliothèque Java Log4j (décembre 2021), exploitée massivement parce que présente dans d'innombrables applications, et la tentative de porte dérobée insérée en 2024 dans XZ Utils, composant de compression présent dans la plupart des distributions Linux, détectée par hasard avant diffusion large.

Côté salarié, une seule conséquence pratique mais décisive : un message venant d'un fournisseur habituel n'est pas fiable par principe. Un compte de fournisseur réellement compromis produit des emails parfaitement authentiques, dans un fil de discussion existant.

Une vulnérabilité est un défaut logiciel exploitable. Publiquement connue, elle reçoit un identifiant CVE et un score de gravité CVSS de 0 à 10. L'éditeur publie un correctif ; encore faut-il l'appliquer.

C'est là que le bât blesse. Selon le rapport Verizon 2026, l'exploitation de vulnérabilités est devenue le premier vecteur d'accès initial (31 %), et dans le même temps seules 26 % des vulnérabilités activement exploitées connues ont été entièrement corrigées en 2025, contre 38 % l'année précédente. Autrement dit : les attaquants vont plus vite, les défenseurs moins vite.

Une vulnérabilité « jour zéro » (0-day) est inconnue de l'éditeur au moment où elle est exploitée : aucun correctif n'existe. Ces cas font les titres, mais ils sont rares et visent surtout des cibles de haute valeur. La grande majorité des intrusions exploite des failles connues et corrigeables depuis des mois.

Côté utilisateur, la parade tient en une phrase : ne pas repousser les mises à jour, système, navigateur et applications, et redémarrer quand on le demande — un correctif installé n'est actif qu'après redémarrage. Le détail est au chapitre 4.1.

Trois familles complètent le tableau, avec des motivations distinctes :

• La menace interne. Trois profils très différents : le salarié malveillant (vol de fichiers avant un départ, revente d'un accès), le salarié contraint ou manipulé, et — de loin le plus fréquent — le salarié simplement négligent, qui envoie un fichier au mauvais destinataire ou perd un ordinateur non chiffré. C'est cette dernière catégorie que la sensibilisation traite le plus efficacement.
• L'hacktivisme. Attaques à motivation idéologique, typiquement des dénis de service distribués (DDoS) ou des défigurations de sites web, recherchant la visibilité médiatique plus que le gain financier. L'ANSSI en relève régulièrement à l'occasion d'événements politiques ou sportifs.
• L'espionnage. Opérations longues, discrètes, souvent liées à des intérêts étatiques, visant l'administration, la défense, la recherche et les industries stratégiques. L'ANSSI souligne dans son panorama 2025 un brouillage croissant entre acteurs étatiques et criminels, les premiers empruntant les outils et les modes opératoires des seconds pour masquer leur origine.

Si votre environnement relève de l'industrie et des systèmes de production, la déclinaison spécifique de ces menaces sur les réseaux industriels est traitée dans notre sensibilisation NIS2 OT & cybersécurité industrielle.