Les ransomwares suivent une trajectoire qui force une prise de conscience. Les attaques revendiquées ont bondi de 50 % en 2025, l’année la plus active jamais enregistrée, avec plus de 8 000 organisations publiquement nommées sur des sites de fuite. Le montant médian des rançons est passé d’environ 12 700 dollars US en 2024 à près de 60 000 dollars US en 2025. Pourtant, la part des victimes qui paient est tombée à un plus bas historique de 28 %, selon le rapport 2026 sur la criminalité cryptographique de Chainalysis.
Le paradoxe est au cœur d’un débat qui se joue autant dans les conseils d’administration que dans les assemblées législatives : interdire le paiement des rançons aide-t-il, ou laisse-t-il des victimes non préparées sans issue ?
L’argument en faveur d’une interdiction repose sur une logique économique simple. Les ransomwares existent parce qu’ils rapportent. Coupez les paiements, et le modèle s’effondre. Une alliance de 48 pays s’est engagée à ne pas payer de rançons, bien que la plupart manquent de législation contraignante. Le Royaume-Uni a confirmé une interdiction de paiement dans le secteur public, et plusieurs États américains, dont la Caroline du Nord, la Floride et le Tennessee, ont adopté ou envisagé des restrictions similaires pour les agences gouvernementales.
Mais les arguments contre une interdiction généralisée sont obstinément pratiques. Le groupe de travail sur les ransomwares de l’Institute for Security and Technology a soutenu qu’une interdiction à l’heure actuelle aggraverait les préjudices subis par les victimes. Les petites entreprises ne peuvent pas supporter des perturbations prolongées ; les hôpitaux, les écoles et les administrations locales sont les moins préparés à restaurer leurs opérations à partir des seules sauvegardes. Le groupe de travail a recommandé une approche progressive sur plusieurs années : renforcer la préparation de l’écosystème, la dissuasion, les capacités de perturbation et le soutien aux victimes avant de rendre les paiements illégaux.
« La question la plus importante est de savoir comment rendre les ransomwares moins rentables en premier lieu », a déclaré Gavin Millard, vice-président produit d’une entreprise de cybersécurité, cité par le Financial Times.
Les données suggèrent que la pression modifie déjà les comportements. Le total des paiements de rançons a baissé pour la deuxième année consécutive en 2025, s’établissant à environ 820 millions de dollars US, en baisse d’environ 8 % par rapport à 2024. Davantage de victimes restaurent leurs systèmes à partir de sauvegardes plutôt que de payer. Mais les attaquants compensent par le volume et des demandes plus élevées par victime. Une seule attaque contre Jaguar Land Rover fin 2025 a causé environ 2,5 milliards de dollars US de dégâts.
Pour les décideurs politiques, la question est de savoir s’il faut accélérer la baisse des taux de paiement par la législation ou laisser les forces du marché et l’amélioration des défenses poursuivre la tendance, et si les gouvernements peuvent se permettre d’attendre.
Sources : Pay up or not? Ransomware surge has victims facing tough choices (Ars Technica/Financial Times, juillet 2026) ; Should Ransomware Payments Be Banned? What the Laws Say in 2026 (STACK Cybersecurity, mai 2026)
Traduit par Lydie