La proportion d’entreprises déclarant avoir été victimes d’une attaque par rançongiciel a légèrement augmenté en 2025, selon une étude de la firme de conseil CyberEdge Group. Les entreprises sont également plus nombreuses qu’auparavant à payer les rançons, même si, selon les estimations, de 39% à 40% d’entre elles ne récupèrent pas leurs données après avoir payé.

Le rapport annuel Cyber Threat Defence Report de CyberEdge présente une synthèse d’entretiens réalisés auprès de 1 200 professionnels de la cybersécurité provenant de 17 pays et de 19 secteurs d’activité différents. Steve Piper, fondateur et PDG de CyberEdge, explique que, chaque année, l’organisation demande aux entreprises si elles ont été victimes d’une attaque par rançongiciel, si elles ont payé la rançon et, dans l’affirmative, si elles ont récupéré leurs données.

« Il y a deux mauvaises nouvelles », a-t-il déclaré aux participants d’un récent webinaire ISC2 Knowledge Vault destiné aux professionnels de la cybersécurité. « La proportion d’organisations ayant été victimes d’une attaque par rançongiciel réussie a légèrement augmenté, pour atteindre 64%. » Il ajoute qu’après trois années consécutives de baisse, la proportion d’entreprises qui paient une rançon est également repartie à la hausse en 2025. « Plus de la moitié des organisations paient effectivement les rançons », précise-t-il.

Attaques par chiffrement

Au cours de sa présentation, il aborde les différents types d’attaques, soulignant que les attaques par chiffrement sont en recul, tandis que les attaques visant le vol de données sont en hausse. Selon lui, le montant moyen des rançons exigées, rapporté par Codeware, une firme de conseil en cybersécurité, a bondi de 176% d’un trimestre à l’autre en 2026, pour atteindre 1,9 million de dollars. (Les montants sont exprimés en dollars américains.)

M. Piper souligne que les entreprises de toutes tailles sont touchées, bien qu’il constate que les petites entreprises semblent être proportionnellement plus nombreuses à en être victimes.

« Consultez des experts », recommande-t-il aux personnes qui s’interrogent sur les stratégies à adopter dans les petites entreprises. « Communiquez avec eux avant d’être victimes d’une attaque. Écoutez ce qu’ils ont à dire. Informez-vous. Discutez avec eux. Parce que lorsque le jour viendra, vous devrez être prêts. »

Il encourage également les participants à discuter de leur organisation avec des assureurs spécialisés en cyberrisques. « Il existe des raisons pour lesquelles les paiements de rançons pourraient ne pas être couverts par les polices de cyberassurance », explique-t-il. « Ne présumez pas qu’ils le sont. »

Il aborde également les processus que suivent les entreprises lorsqu’une attaque par rançongiciel survient, ainsi que les risques associés au paiement ou au non-paiement d’une rançon (mauvaise publicité, poursuites judiciaires potentielles, risque de devenir la cible de nouvelles attaques). Son message récurrent? Les entreprises doivent se préparer précisément à ce type d’attaque, et ce, à l’avance, particulièrement compte tenu de la forte proportion d’organisations qui en ont déjà été victimes.

« Je veux vous convaincre tous de vous préparer à une attaque par rançongiciel », a-t-il déclaré aux participants du webinaire. « N’attendez pas d’avoir un compte à rebours sous les yeux pour réfléchir à tout cela; faites-le à l’avance, lorsque vous êtes en mesure de prendre des décisions calmes et rationnelles », ajoute-t-il. « Dès que vous êtes victime d’une attaque, le compte à rebours commence. »

Voici les recommandations de M. Piper :

  • Établir à l’avance un arbre décisionnel fondé sur l’importance critique de chaque système pour les activités de l’entreprise et sur les répercussions financières potentielles de son indisponibilité. Consulter les services juridiques, les assureurs, les principales parties prenantes, les responsables des communications et les dirigeants pendant cette préparation.
  • Dans le cadre de cette planification, dresser une liste des personnes-ressources à contacter en cas d’attaque par rançongiciel, notamment l’équipe d’intervention en cas d’incident de l’entreprise, le service juridique, les forces de l’ordre, les assureurs, les dirigeants et les responsables des communications de l’entreprise. « Déterminez tout cela à l’avance, insiste-t-il, afin de pouvoir communiquer immédiatement avec ces personnes. »
  • Faire appel à des experts externes en rançongiciels avant qu’une attaque ne survienne. « Je recommande de conclure une entente avec un fournisseur spécialisé dans les interventions en cas d’attaque par rançongiciel, afin qu’il soit prêt à intervenir au besoin », affirme-t-il. « De nombreuses entreprises figurent sur la liste. Faites vos vérifications diligentes dès maintenant. »
  • Investir dans la formation du personnel, au moins une fois par année, puisque 30% des attaques par rançongiciel commencent par des tentatives d’hameçonnage et d’ingénierie sociale. « Trop d’organisations ne font absolument rien », déplore-t-il. « À tout le moins, offrez une formation aux nouveaux employés lors de leur intégration et envoyez quelqu’un du service informatique leur faire une peur bleue à tous. Je suis tout à fait sérieux. »
  • Examiner les techniques de leurre sur les terminaux et les réseaux. « C’est un excellent moyen de détecter les personnes qui circulent dans votre réseau alors qu’elles ne devraient pas s’y trouver », explique-t-il. « Investissez dans des technologies permettant d’empêcher les déplacements latéraux, c’est-à-dire le trafic est-ouest, une fois que les attaquants ont pénétré dans le réseau. C’est également là qu’entre en jeu l’approche de confiance zéro. La microsegmentation, l’authentification multifacteur. La gestion des accès privilégiés est formidable. Surveillez l’utilisation des identifiants privilégiés. »
  • Connaître le coût quotidien d’une interruption des activités. « Calculez-le, recommande-t-il. Il est utile de connaître à l’avance le coût d’une interruption de vos activités. »