Alors que toute l’attention du secteur se porte sur des agents d’IA qui s’évadent de leurs environnements de test, le bon vieux business de l’extorsion numérique a discrètement enregistré l’un de ses meilleurs mois de l’année. Les attaques de ransomware ont bondi de près de 19 % en juillet, la firme de recherche britannique Comparitech recensant 799 incidents publiquement revendiqués contre 668 en juin, soit environ 26 attaques par jour. Seul mars, avec 805, a été plus chargé cette année, et les 51 attaques confirmées par les victimes elles-mêmes sous-estiment un bilan établi en grande partie à partir des revendications des groupes criminels. Cette poussée met fin à une période relativement calme : après un début d’année 2026 chargé, avril, mai et juin avaient tous ralenti, et le rebond de juillet est le signal le plus clair à ce jour que l’accalmie était une pause, et non une tendance.
Le plus instructif dans ces données, ce sont les secteurs touchés. Ceux qui occupent le devant de la scène médiatique de la sécurité (les services publics, avec la série d’attaques présumées liées à l’Iran contre les réseaux d’eau américains) ne figuraient pas parmi les cibles sous pression du ransomware. Les attaques contre les entreprises de services publics ont en réalité chuté de 44 % en juillet, et ces incidents touchant les réseaux d’eau n’avaient rien à voir avec un ransomware. La croissance réelle s’est concentrée dans les secteurs qui paient : les attaques contre les sociétés financières ont grimpé de 71 %, contre les entreprises technologiques de 62 %, contre les fabricants pharmaceutiques et les sociétés de facturation médicale de 46 %, et contre l’éducation de 44 %. Cette répartition épouse l’économie de l’extorsion. L’étude de la société de tests d’intrusion DeepStrike sur ceux qui paient réellement montre que les payeurs les plus fréquents sont les fabricants, les écoles et les hôpitaux, ainsi que les institutions financières. Même le secteur le plus récalcitrant, la finance, a tout de même versé une rançon dans 51 % des cas. En d’autres termes, les attaquants suivent l’argent.
La géographie raconte une histoire similaire, faite de concentration et de nouveaux marchés. Les États-Unis ont encaissé 322 des 799 attaques du mois, soit environ 40 % du total mondial, en hausse de 31 % par rapport à juin. L’Allemagne, deuxième pays le plus ciblé, n’en a enregistré que 40. Les hausses les plus marquées concernent des viviers de cibles émergents : le nombre d’incidents en Argentine a bondi de 320 %, passant de 5 à 21, tandis que l’Inde a progressé de 76 %, le Royaume-Uni de 67 % et l’Australie de 56 %. Parmi les groupes les plus actifs, un nom familier se fait doubler par un nouveau venu. Qilin, responsable de la brèche chez Synnovis en 2024 qui avait plongé les services de pathologie britanniques dans le désarroi, a revendiqué 125 attaques en juillet. The Gentlemen, une opération plus récente qui s’est développée rapidement et avait auparavant revendiqué l’intrusion chez le cabinet de conseil britannique Adaptavist Group, a dominé le mois avec 135 attaques. À eux deux, ces groupes représentent près d’un tiers de toutes les attaques recensées. Leurs méthodes d’intrusion sont tout aussi connues : Trend Micro attribue en grande partie le succès de The Gentlemen à des identifiants volés, tandis que Qilin a déclaré au Register avoir exploité des failles zero-day pour pénétrer Synnovis.
Les histoires des victimes remettent les chiffres en contexte. AnMed, un réseau d’hôpitaux américain, a vu ses systèmes verrouillés le 26 juillet, des écrans exigeant un paiement sous 72 heures. Fairlife, le producteur laitier détenu par Coca-Cola, a été paralysé le 16 juillet et a mis environ dix jours à rétablir l’essentiel de sa production, le gang Anubis revendiquant l’attaque ainsi que le vol d’un téraoctet de données. Le constructeur ferroviaire suisse Stadler a subi la deuxième attaque de ransomware de son histoire, refusant de satisfaire une demande de 10 millions de francs suisses. Derrière chaque gros titre se trouve la même leçon que les chercheurs ne cessent de répéter : l’authentification multifacteur, une application rigoureuse des correctifs et des sauvegardes fiables restent les défenses qui comptent, car les méthodes des attaquants n’ont guère changé, même si leurs cibles ont évolué.
La lecture du mois à travers le prisme de la distraction causée par l’IA est en partie justifiée, en partie trompeuse. Certes, les équipes de sécurité et les fournisseurs consacrent une attention considérable aux menaces liées aux agents, et les premières attaques de ransomware agentiques de bout en bout sont désormais documentées. Mais les chiffres de juillet montrent que cette vague de criminalité classique n’a besoin d’aucune nouvelle technologie, seulement d’identifiants volés, de systèmes non corrigés et de victimes qui paient. Les groupes ne regardent pas le spectacle de l’IA ; ils traitent leurs files d’attente. Le risque plus discret est que les défenseurs, hypnotisés par la menace inédite, laissent l’ancienne s’aggraver.
Traduit par Lydie
Sources: Ransomware attacks spike as world distracted by AI (The Register, Aug 7, 2026); Ransomware roundup: July 2026 (Comparitech, Aug 5, 2026); Ransomware Surges in July After Q2 Lull (Infosecurity Magazine, Aug 2026); Ransomware Payout Statistics (DeepStrike, 2025); Unmasking The Gentlemen ransomware (Trend Micro, 2025)