Ransomware : comme un retour à la normale en septembre

Près de 730 cyberattaques en extorsion à travers le monde en septembre 2026. C’est ce que nous avons relevé, croisant les revendications suivies par ransomware.live et les incidents ayant été couverts dans les médias.

L’analyse de ces données révèle un tableau nuancé de l’évolution de la menace. D’un mois sur l’autre, le nombre d’incidents répertoriés a enregistré une très forte baisse de 24,5 %. Mais cette diminution doit être interprétée avec prudence.

Car par rapport à la même période, l’année dernière, la menace affiche une nette accélération, en ligne avec celle observée depuis décembre 2025, avec une augmentation de plus de 20 % des attaques. Ce contraste suggère que si certains facteurs saisonniers ou opérationnels ont pu modérer l’activité à court terme, la tendance structurelle de la criminalité cybernétique reste fortement ascendante.

L’activité des groupes d’attaquants demeure concentrée autour d’acteurs hautement organisés. Le groupe The Gentlemen se distingue comme le plus prolifique, représentant une part prépondérante des revendications enregistrées ces derniers mois, et sur le point de voler la première place du podium à Qilin. Très active depuis un an, cette enseigne semble s’être au moins brièvement essoufflée au mois de septembre.

Viennent ensuite INC Ransom, Deadlock et Akira. Moins visiblement active que d’autres, la première enseigne se distingue par la régularité de ses activités et la stabilité de leur niveau. C’est moins vrai pour Akira dont l’activité observable s’est repliée en juillet, avant de reprendre en août et septembre, selon les dernières données à notre disposition. DragonForce semble en revanche s’être inscrit dans une spirale quasi létale.

Géographiquement, les attaques restent fortement concentrées sur les marchés occidentaux. Les États-Unis restent, de loin, la cible principale, concentrant la majorité des incidents rapportés. Sur douze mois glissants, toutefois, l’Amérique du Nord ne représente plus que 47,4 % des incidents répertoriés, toujours devant l’Europe, toutefois (25,2 %), la région Asie-Pacifique (13,8 %), l’Amérique latine (6,3 %), et le Moyen-Orient et l’Afrique (5 %).

De fait, l’analyse montre une présence significative et croissante dans d’autres économies majeures. L’Allemagne, le Brésil – en forte progression depuis juillet –, le Royaume-Uni et le Canada figurent parmi les pays les plus touchés, attestant que les groupes de cybercriminels ont élargi leur champ d’action au-delà des marchés traditionnels, ciblant des infrastructures et des entreprises à travers le globe.

En France, les données de Cybermalveillance.gouv.fr donnent à voir l’image d’une certaine stabilité de la menace, à un niveau toujours élevé, dans la continuité des derniers mois depuis avril, mais en net recul sur un an.

En synthèse, le troisième trimestre 2026 confirme la dynamique de croissance de la menace. Avec un total de 2 624 incidents répertoriés, ce trimestre marque une accélération par rapport au trimestre précédent, qui avait déjà connu une hausse de 15,2 %. Plus significatif encore, cette progression trimestrielle représente une augmentation spectaculaire de 53,2 % par rapport au même trimestre en 2025. Ce bilan trimestriel confirme que, malgré les fluctuations mensuelles observées en septembre, la pression exercée par le ransomware sur les organisations mondiales est en phase d’expansion rapide et systémique.