Getty Images

Actualites

Ransomware : le montant payé moyen augmente, alors que la médiane baisse

Le montant moyen des rançons versées a progressé d'un trimestre sur l'autre, tandis que le montant médian a reculé. L'effet notamment d'un acteur malveillant qui se concentre sur les cabinets d'avocats.

Valéry Rieß-Marchive
par
Publié le: 30 juil. 2026

Sur le front des rançongiciels, le second trimestre 2026 porte une surprise. Ainsi, le montant moyen des rançons a progressé de 176 % par rapport au premier trimestre, atteignant 1 880 612 $, alors que le montant médian a reculé de son côté de 50 % pour s'établir à 150 000 $.

L'explication ? Une originalité : celle d'une enseigne de ransomware qui a choisi de sélectionner très méticuleusement ses victimes, Silent Ransom Group. Aussi suivie sous la désignation de Luna Moth, cette marque se concentre exclusivement sur les cabinets d'avocats. En menaçant de divulguer publiquement de dossiers juridiques sensibles, l'enseigne a obtenu des sommes importantes qui ont fortement faussé la moyenne trimestrielle, selon Coveware.

Parallèlement, la sensibilité des victimes à la volatilité des résultats post-paiement est en hausse. Les victimes reconnaissent que le paiement ne garantit pas la suppression des données. L'attaque contre Klue en juin illustre cette fragilité : après un paiement supposé pour garantir la suppression, il est apparu qu'un autre groupe criminel avait conservé les données et les noms des victimes, maintenant ainsi une menace d'extorsion persistante. Un risque déjà identifié par le passé, notamment avec LockBit.

L'identité comme vecteur d'accès privilégié

L'accès initial aux systèmes d'information a évolué d'une dépendance aux exploits techniques automatisés vers une forte dépendance à l'identité. Les attaquants privilégient désormais les chemins d'accès qui semblent légitimes, cherchant à se connecter discrètement plutôt qu'à forcer une intrusion bruyante.

L'abus des identités de confiance est la tendance dominante. Les méthodes d'ingénierie sociale sophistiquées, notamment le vishing, sont fréquemment utilisées pour berner les employés afin d'obtenir des identifiants ou un accès à distance. Dans des opérations plus agressives, des acteurs malveillants ont même procédé à une infiltration physique, se faisant passer pour du personnel informatique pour obtenir un accès direct aux postes de travail.

Le vecteur d'intrusion s'est ainsi élargi au-delà du simple VPN ou RDP. Il englobe l'abus des flux d'authentification légitimes : les réinitialisations de mot de passe, la manipulation du service d'assistance, les octrois OAuth, les applications déléguées, les portails d'accès à distance, et les sessions de fournisseurs tiers. L'intrusion initiale ressemble souvent à une authentification normale ou à une administration autorisée, ce qui complexifie la détection précoce.

Le profil des victimes reste concentré sur le marché intermédiaire. Le secteur des services professionnels, incluant les cabinets d'avocats, est particulièrement vulnérable en raison de la nature sensible des informations clients qu'ils détiennent. Coveware relève que la taille de l'entreprise n'est pas un indicateur fiable du risque d'extorsion ; l'exposition est davantage liée à la compromission de l'identité, à la sensibilité des données et aux dépendances tierces.

Pour approfondir sur Menaces, Ransomwares, DDoS