Étude Sophos : les identités compromises sont désormais à l’origine de 79 % des attaques par ransomware

Sophos, l’un des premiers fournisseurs mondiaux de cybersécurité, publie aujourd’hui son septième rapport annuel sur l’état des ransomwares. Résultat d’une enquête indépendante menée auprès de responsables IT et de la cybersécurité dans 17 pays, ce rapport analyse l’impact des ransomwares sur les entreprises et le niveau de préparation de ces dernières. L’édition de cette année révèle que les identités constituent aujourd’hui le principal vecteur d’accès initial, quatre attaques par ransomware sur cinq (79 %) débutant par la compromission d’identités.

La prédominance des attaques visant les identités dans les opérations de ransomware témoigne d’une évolution des méthodes employées, les attaquants reconnaissant de plus en plus le rôle central de l’identité dans le déploiement des ransomwares. Par ailleurs, pour la première fois depuis quatre ans, les vulnérabilités exploitées ne sont plus la cause racine la plus fréquente des attaques. Les e-mails malveillants (26 %) et le phishing (24 %) occupent désormais les premières places.

Les vulnérabilités exploitées restent néanmoins une cible de choix : 59 % des demandes de rançon ayant débuté par l’exploitation d’une vulnérabilité affectant un pare-feu s’élèvent à un million de dollars ou plus, contre 48 % pour l’ensemble des attaques.

« Alors que les cybercriminels spécialisés dans les ransomwares expérimentent l’IA, celle-ci pourrait renforcer leur capacité à dérober des actifs de valeur, à les tenir en otage, et à mener ces opérations à une échelle jusqu’alors hors de leur portée », explique Ross McKerchar, Chief Information Security Officer, Sophos. « Cette rapidité exige une surveillance rigoureuse en continu des vecteurs d’intrusion les plus exploités qui, selon nos données, correspondent principalement à des comptes légitimes volés ou compromis. Toutefois, l’amélioration des modèles d’IA à poids ouverts dépourvus de garde-fous conférera aux attaquants un avantage croissant pour découvrir et exploiter les vulnérabilités logicielles. Les équipes de sécurité ne peuvent pas compter uniquement sur l’application de correctifs pour suivre le rythme. Il est donc essentiel de réduire l’exposition externe et de maintenir une protection robuste des terminaux. »

Le rapport révèle également que, parmi les organisations victimes de ransomware, 56 % ont vu leurs données chiffrées, une hausse qui a inversé une tendance à la baisse observée pendant deux ans.

Autres conclusions : 

• Deux tiers (67 %) des victimes de ransomware confirment que l’incident subi constituait également leur attaque liée aux identités la plus significative, faisant de la compromission des identités un vecteur majeur de déploiement des ransomwares.
• Plus de la moitié (56 %) des attaques par ransomware ont abouti au chiffrement de données, dont 16 % ont entraîné à la fois le chiffrement et le vol de données. Cette proportion est en hausse par rapport aux 50 % enregistrés en 2025, mais reste inférieure au pic de 75 % atteint en 2023.
• Lorsque les données sont chiffrées, les attaquants ont une chance sur deux de recevoir un paiement de rançon. 48 % des organisations dont les données ont été chiffrées ont payé la rançon demandée, portant ainsi le taux de paiement moyen sur quatre ans à 50 %.
• Seulement 34 % des petites structures (entre 100 et 250 employés) ont réussi à stopper les attaques avant tout chiffrement ou extorsion. Ce résultat est nettement inférieur à celui des organisations comptant entre 3 001 et 5 000 employés, qui elles, sont parvenues à bloquer les attaques dans 46 % des cas.
• L’authentification multifacteur (MFA) était mise en œuvre à un certain niveau dans 97 % des incidents où des identifiants compromis étaient à l’origine d’attaques par ransomware. Cela démontre clairement que la MFA ne suffit pas, à elle seule, à stopper les ransomwares et que les lacunes en matière de couverture augmentent l’exposition.
• Le Royaume-Uni affiche la demande de rançon médiane la plus élevée parmi tous les pays, avec 2,5 millions de dollars.

Alors que les organisations sont confrontées à divers défis en matière de prévention à mesure que les attaquants font évoluer leurs techniques, des progrès considérables ont été réalisés pour améliorer leur capacité de reprise. L’augmentation des investissements dans les infrastructures de sauvegarde a probablement contribué à accélérer le rétablissement des organisations après une attaque par ransomware. Plus de la moitié (55 %) d’entre elles parviennent à reprendre leurs activités en une semaine, et 16 % en moins d’une journée.

Les organisations continuent de négocier efficacement avec les opérateurs de ransomware. Parmi celles qui ont choisi de payer, 51 % ont réussi à négocier une rançon inférieure à la demande initiale des attaquants. Le montant médian des demandes de rançon a chuté de 65 % au cours des deux dernières années, et la proportion d’organisations ayant payé une rançon pour récupérer leurs données est tombée à 48 %, soit le deuxième taux le plus bas jamais enregistré après celui de 2023 (46 %).

L’amélioration des stratégies a affecté la capacité des attaquants à tirer des gains financiers des demandes de rançon, mais le coût moyen de reprise après une attaque a augmenté, atteignant désormais 1,7 million de dollars par incident.

« Au cours de l’année écoulée, les organisations ont renforcé leur résilience face aux ransomwares, et ces investissements portent largement leurs fruits », souligne Ross McKerchar de Sophos. « Toutefois, les ransomwares continuent de coûter des millions aux organisations. À mesure que les capacités de l’IA progressent, les attaquants pourront recenser les erreurs de configuration liées aux identités et les points faibles au sein des organisations bien plus vite et à moindre coût qu’auparavant. Les organisations ne peuvent plus compter sur la complexité ou l’opacité pour masquer les failles de leur environnement. Cette même technologie permet également aux équipes de sécurité de détecter et de corriger ces failles plus rapidement, à condition que la prévention, la détection et la réponse fonctionnent de concert dans le cadre d’une stratégie de cybersécurité unifiée. »

Sophos recommande les bonnes pratiques suivantes pour aider les organisations à mettre en place des défenses intégrées s’appuyant sur l’IA, qui combinent les technologies, les personnes et les processus :

• Considérez l’identité comme une couche de sécurité fondamentale. Les organisations doivent privilégier la détection et la réponse aux menaces liées aux identités (ITDR), imposer une authentification multifacteur résistante au phishing sur tous les points d’accès, et auditer régulièrement les identités humaines et non humaines.
• Investissez dans une infrastructure de sauvegarde et de restauration. Les sauvegardes doivent être testées régulièrement, stockées hors ligne ou dans des formats immuables, et intégrées à un plan de réponse à incident documenté qui peut être exécuté sous pression.
• Maintenez des programmes de gestion de l’exposition. Les organisations doivent maintenir des calendriers rigoureux d’application des correctifs, prioriser les actifs exposés à Internet et examiner comment les outils émergents assistés par l’IA accélèrent la détection et la correction des vulnérabilités.
• Réduisez l’exposition au moyen d’un pare-feu et exploitez la télémétrie des pare-feu pour détecter les attaques à un stade précoce. Il est important d’appliquer des mises à jour rapidement (idéalement automatiquement) au pare-feu et de réduire au maximum les services exposés à Internet, tels que les accès d’administration et les portails utilisateurs. Connectez les pare-feu à des solutions XDR et MDR afin que leur télémétrie contribue à détecter les attaques par ransomware avant le déploiement des charges utiles.

Cette enquête a été réalisée par Vanson Bourne pour le compte de Sophos au premier trimestre 2026. Elle a été menée auprès de 2 158 décideurs IT et de cybersécurité évoluant dans des organisations victimes d’une attaque par ransomware au cours des 12 derniers mois, dans 17 pays : États-Unis, Brésil, Chili, Colombie, Mexique, Royaume-Uni, France, Allemagne, Italie, Espagne, Suisse, Australie, Inde, Japon, Singapour, Afrique du Sud et Émirats arabes unis. Les personnes interrogées sont issues d’organisations comptant entre 100 et 5 000 employés, réparties dans 15 secteurs d’activité.

Pour télécharger l’intégralité du rapport 2026 sur l’état des ransomwares, rendez-vous sur Sophos.fr.