Ransomware : un été 2026 d'une violence inédite

L'été 2026 n'aura pas été seulement remarquable par ses vagues de chaleur à répétition : il l'aura également été le nombre de cyberattaques enregistrées dans le monde.

Ainsi, nous avons recensé, entre revendications et cas rapportés dans la presse du monde entier, plus de 920 incidents en juillet et autant en août. Des niveaux jamais atteints depuis 2020, lorsque LeMagIT a commencé à suivre mensuellement l'état de la menace du rançongiciel.

Ce niveau est d'autant plus surprenant qu'il brise la saisonnalité habituelle de la menace : juillet comptait historiquement parmi les mois à faible intensité... Comme septembre au demeurant, et surtout janvier.

Sans surprise, l'Amérique du Nord domine de la tête et des épaules, et encaisse le gros de la progression. Mais l'Amérique Latine a connu une très forte intensification de la menace en juillet, avant un repli. Même chose au Moyen-Orient et en Afrique, avec un reflux spectaculaire en août, donnant au mois de juillet un air d'anomalie statistique.

En Europe, juillet s'est avéré explosif, mais la menace n'a pas sensiblement reculé en août. Dans la région Asie-Pacifique, la menace a connu un léger reflux séquentiel en juillet, avant de connaître une hausse marquée en août.

Dans ce paysage, la France fait presque figure d'exception : la menace se maintient à un niveau élevé et a connu une hausse en juillet, mais sans dépasser le pic de mars, ni même atteindre le niveau observé en octobre 2025. Certains acteurs malveillants étaient peut-être trop occupés à extraire des bases de données...

Le parallèle avec les demandes d'assistance reçues par Cybermalveillance.gouv.fr est d'ailleurs particulièrement parlant : on retrouve les mêmes pics en octobre 2025 et mars 2026, puis une menace qui se maintient à un niveau globalement stable d'avril à août inclus, d'un mois sur l'autre, mais également d'une année à l'autre.

Dans cet environnement, deux enseignes jouent le rôle de locomotive : Qilin et The Gentlemen - qui s'est mis récemment à l'analyse des données volées par IA. Ce sont les plus agressives du moment. La seconde s'est maintenue en croissance jusqu'à juillet, avant de connaître un léger repli. Mais rien ne suggère qu'il soit durable.

Akira, qui s'était illustré par une forte progression de son activité à l'automne dernier semble s'essouffler depuis le début 2026 avec un niveau d'activité observable en recul régulier. Mais ce n'est peut-être que temporaire. Et cela d'autant plus que l'écosystème cybercriminel reste très fluide, avec des groupes qui glissent régulièrement d'une vitrine à l'autre, quand ils n'ouvrent pas la leur, ne serait-ce que temporairement.

Le niveau d'activité d'INC Ransom apparaît relativement stable tandis que celui de DragonForce recule sensiblement depuis avril. LockBit enfin, n'est toujours que l'ombre de ce qu'il fut avant l'opération Cronos. 

Avec une activité toujours modérée, Rhysida s'est fait remarquer par une grosse attaque durant l'été, touchant Berlin et lancée en profitant de la technique dite TerminalFix. La ville allemande ne sera vraisemblablement pas la dernière victime de celle-ci.

Mais s'il y a une chose à retenir, en cette rentrée 2026, c'est l'adoption de plus en plus étendue de l'IA par les cybercriminels. Des enseignes telles que ZaWoo, The Gentlement, Titan, Settra et Aur0ra l'utilisent. Pas nécessairement de la même manière, ni aux mêmes étapes de la cinétique d'attaque, mais le mariage entre ransomware et intelligence artificielle est aujourd'hui consommé.