Ransomware en 2026 : ce que montrent les derniers chiffres en France

Faits, analyse et incertitudes

Où en est le rançongiciel en 2026 ?

Les données de référence disponibles en septembre 2026 portent sur l’année 2025 : les bilans annuels français ont été publiés au premier trimestre 2026. Ce décalage est normal et il faut le garder en tête — nous parlons d’une photographie de 2025, éclairée par ce que l’on observe depuis.

Le constat d’ensemble de l’ANSSI est qu’en 2025 « le niveau de cybermenace reste élevé, qui n’épargne personne et qui est le fait d’attaquants toujours plus difficiles à suivre ». L’Agence relève que « les frontières entre acteurs étatiques et cybercriminels s’érodent » et que les attaquants « se spécialisent mais partagent outils et méthodes ».

Sur le seul rançongiciel, le volume reste significatif sans exploser : les compromissions par rançongiciel « demeurent une menace importante en France et représentent une part significative de l’activité cybercriminelle observée par l’Agence ». C’est une menace installée, pas une vague.

Les indicateurs, avec leur périmètre

Voici les chiffres publics disponibles, chacun rattaché à sa source, à sa période et à son périmètre. Ce tableau est la partie la plus importante de l’article : c’est lui qui permet de ne pas se tromper de lecture.

Pourquoi le nombre brut ne suffit pas

128 est un chiffre exact, sourcé et vérifiable. Il est aussi profondément insuffisant pour décrire la menace, pour trois raisons qui se cumulent.

1. La sous-déclaration

   Toute organisation qui restaure seule, qui paie discrètement ou qui traite l’incident sans le signaler n’apparaît dans aucune statistique. L’ANSSI l’écrit à sa façon : ses chiffres correspondent à sa vision consolidée par les signalements de ses bénéficiaires et ne sont pas nécessairement représentatifs de l’ensemble des événements survenus en France.

2. Le périmètre

   L’ANSSI n’est pas le guichet de toutes les entreprises françaises. Une TPE victime d’un rançongiciel s’adressera plus probablement à Cybermalveillance.gouv.fr, à son prestataire informatique ou à personne. Le chiffre de 128 décrit un périmètre, pas un pays.

3. Le déplacement du mode opératoire

   Une extorsion menée sans déployer de rançongiciel — vol de données puis chantage à la publication — peut ne pas être comptée comme une compromission par rançongiciel, tout en produisant les mêmes effets pour la victime. Le compteur suit l’outil, pas le préjudice.

Comment le modèle des attaquants a évolué

Le rançongiciel a changé trois fois de nature en une dizaine d’années, et chaque évolution a rendu une partie des défenses précédentes insuffisante.

En parallèle, l’écosystème s’est professionnalisé. L’ANSSI relève que certaines franchises de rançongiciel-service anciennes « sont également parvenues à fidéliser leurs affiliés et à maintenir un haut niveau d’activité », citant Akira, IncRansom et Qilin, tandis que plus d’une dizaine de souches nouvelles ont été observées pour la première fois en 2025.

Du côté des données volées, Cybermalveillance.gouv.fr décrit un marché souterrain « désormais structuré et piloté par des acteurs spécialisés », avec des places de marché dédiées, des kits d’hameçonnage prêts à l’emploi et des centres d’appels de faux téléconseillers. Une donnée exfiltrée lors d’une attaque par rançongiciel ne disparaît pas si la victime restaure : elle entre dans ce circuit.

Qui est touché : PME, ETI, santé, écoles

La répartition publiée par l’ANSSI contredit une intuition répandue : la cible principale n’est pas le grand groupe.

PME, TPE et ETI

Elles restent la catégorie d’entités la plus affectée par les rançongiciels sur le périmètre de l’ANSSI. La logique est économique : ces structures détiennent des données et dépendent de leur système d’information, mais disposent rarement d’une équipe de sécurité dédiée, d’une supervision continue ou d’une capacité d’investigation. Le rapport entre l’effort de l’attaquant et le résultat attendu y est favorable.

L’ANSSI note d’ailleurs que les acteurs cybercriminels « mènent des attaques à l’aide de rançongiciels en ciblant indistinctement la plupart des secteurs et des zones géographiques ». L’opportunisme domine : une PME n’est pas visée pour ce qu’elle est, mais parce qu’une faille était accessible.

Établissements de santé

Ils représentent 8 % des victimes de rançongiciel sur ce périmètre, une part « de nouveau en hausse par rapport à 2024 ». L’ANSSI précise que plusieurs centres hospitaliers ont subi des perturbations de leurs activités d’accueil et de traitement de patients, et que les petites structures de santé telles que les EHPAD et les cliniques sont également affectées.

Collectivités et établissements scolaires

Les collectivités territoriales représentent 11 % des victimes, une part en légère diminution. Fait notable relevé par l’ANSSI, les établissements scolaires — notamment du primaire et du secondaire — ont été particulièrement touchés en 2025, avec des impacts « conséquents et visibles », forçant parfois un mode de fonctionnement dégradé pendant plusieurs semaines.

L’Agence cite enfin un cas illustrant l’effet de chaîne : en octobre 2025, l’attaque de l’entreprise Collins Aerospace, revendiquée par le groupe cybercriminel Everest, a entravé le fonctionnement de plusieurs aéroports européens, entraînant retards et annulations de vols pendant plusieurs jours. Une victime, des conséquences pour des dizaines de milliers de personnes.

Comment se déroule une attaque, conceptuellement

Cybermalveillance.gouv.fr décrit le schéma général : « aujourd’hui les attaques par rançongiciels font principalement suite à une intrusion dans le réseau de la victime. Suite à cela, les cybercriminels vont discrètement mener une reconnaissance pour identifier les actifs numériques importants de la victime et ses sauvegardes avant de déclencher leur attaque. » Cette phase de reconnaissance « peut durer plusieurs jours, voire plusieurs semaines ».

Un point mérite d’être retenu : Cybermalveillance.gouv.fr précise que « les attaques sont généralement déclenchées durant une période identifiée par les cybercriminels de moindre activité de la victime (la nuit, le week-end…), afin de maximiser les chances qu’elles ne puissent pas être détectées et interrompues ». Une capacité de détection qui s’arrête le vendredi à 18 heures laisse à l’attaquant exactement la fenêtre qu’il recherche.

Ce qui réduit réellement le risque

Rien de spectaculaire dans cette liste, et c’est précisément le point : les mesures efficaces relèvent de l’hygiène informatique, dont l’ANSSI publie le guide de référence. La difficulté n’est pas de les connaître, elle est de les appliquer partout et de le vérifier.

Faut-il payer la rançon ?

La position officielle française est explicite. Cybermalveillance.gouv.fr écrit que « le paiement des rançons est toujours vivement déconseillé », et détaille pourquoi.

• Rien ne garantit que les cybercriminels ne disparaîtront pas une fois l’argent encaissé
• Dans bien des cas, les moyens ou informations fournis ne permettent pas de récupérer les accès ou les fichiers bloqués
• Les cybercriminels peuvent demander d’autres versements, plus importants, après un premier paiement
• Payer signale que vous êtes un « bon client » et encourage donc de nouvelles attaques contre vous
• Payer donne aux cybercriminels les moyens financiers de poursuivre leurs activités

Les premières heures : que faire

L’ordre compte autant que le contenu. Beaucoup d’organisations détruisent involontairement leur capacité d’investigation dans les vingt premières minutes, en voulant bien faire.

Quels métiers sont concernés ?

Un rançongiciel est probablement l’incident qui mobilise la chaîne métier la plus large : de l’administrateur qui a durci le système des mois plus tôt au gestionnaire de crise qui arbitre à trois heures du matin.

Ce que les organisations doivent retenir

1. Ne pas lire la légère baisse comme une accalmie

   128 compromissions portées à connaissance de l’ANSSI décrivent un périmètre. La menace reste, selon l’Agence, « une part significative de l’activité cybercriminelle » observée.

2. Vérifier que les sauvegardes sont hors d’atteinte

   Les attaquants cherchent les sauvegardes pendant la phase de reconnaissance. Une sauvegarde joignable avec les mêmes identifiants que le reste n’est pas une sauvegarde.

3. Tester la restauration, pas la sauvegarde

   Une sauvegarde qui se termine sans erreur n’est pas une sauvegarde restaurable. La seule preuve est une restauration complète réalisée en exercice.

4. Couvrir les nuits et les week-ends

   C’est explicitement le moment choisi par les attaquants pour déclencher. Une détection qui s’arrête à 18 heures leur offre la fenêtre.

5. Se préparer au volet données

   Avec la double extorsion, restaurer ne clôt pas l’incident. Le traitement des données exfiltrées et les obligations associées démarrent au moment où la technique semble résolue.

6. Savoir qui appeler avant d’en avoir besoin

   CERT-FR, Cybermalveillance.gouv.fr, autorités judiciaires, prestataire de réponse à incident, assureur. La liste doit exister sur papier, hors du système d’information.