Extorsion sans chiffrement : pourquoi vos backups ne vous sauvent plus face au ransomware 2026

Vos backups sont parfaits. Vos snapshots sont testés. Votre RTO est de 4 heures. Et pourtant, le groupe qui vient de s'introduire dans votre réseau s'en fiche complètement — parce qu'il n'a aucune intention de chiffrer quoi que ce soit.

La fin du ransomware classique : ce que personne ne dit vraiment

Depuis 2024, quelque chose a changé dans le paysage du ransomware que beaucoup d'organisations n'ont pas encore intégré dans leur stratégie de défense. Le modèle "chiffre les fichiers, demande une rançon pour la clé" — celui qui a dominé la cybercriminalité de 2013 à 2023 — est en train de mourir. Pas parce que les défenseurs ont gagné. Mais parce que les attaquants ont trouvé mieux.

Le chiffrement, c'est bruyant. Ca consomme des ressources CPU. Ca déclenche les EDR modernes sur les patterns d'accès massivement aléatoires aux fichiers. Ca prend du temps. Et surtout, ca génère un problème opérationnel : il faut gérer les clés de déchiffrement, les échanges avec la victime, les risques de récupération forensique des clés. Pour les groupes les plus sophistiqués, c'est devenu un inconvénient inutile.

La nouvelle approche est radicalement différente : exfiltrer silencieusement les données sensibles, puis contacter la victime avec des preuves de l'exfiltration et menacer de publication. Pas de downtime, pas d'alerte EDR sur le chiffrement, pas de gestion de clés. Juste du vol de données et de la pression psychologique. C'est le modèle de WorldLeaks — le successeur de Hunters International lancé en janvier 2025 — qui a revendiqué plus de 120 victimes en dix-huit mois, dont Nike en janvier 2026 avec 1,4 To de données propriétaires exfiltrées. C'est le modèle de Crimson Collective, qui a frappé l'opérateur télécom américain Brightspeed en début 2026 avec plus d'un million de clients concernés. C'est le modèle que le rapport Verizon DBIR 2026 qualifie de "la menace extorsion la plus sous-estimée du moment".

Ce changement de paradigme ne signifie pas que le ransomware avec chiffrement a disparu. Mais la tendance de fond est claire : l'extorsion pure par données devient le modèle dominant chez les groupes les plus professionnels.

Pourquoi vos backups ne changent plus rien

La réaction la plus commune des DSI et RSSI quand on parle de ransomware, c'est : "On a des backups immuables, on est protégés." Et dans un monde où le seul problème est la disponibilité des données, c'est vrai. Mais dans un monde d'extorsion pure, cette réponse est hors sujet.

L'attaquant qui a exfiltré 500 Go de contrats clients, de données RH, de plans stratégiques ou de données de santé ne cherche pas à perturber votre activité. Il cherche à vous faire peur. Il a déjà ce qu'il veut. Vos backups ne lui retirent rien — ils ne récupèrent pas les données déjà copiées sur ses serveurs. La menace n'est pas "vous perdrez l'accès à vos données" mais "vos données seront rendues publiques, transmises à vos concurrents, ou vendues à d'autres criminels".

Dans ce contexte, les investissements classiques en résilience opérationnelle — réplication, snapshots, PRA, RTO — ne répondent pas à la menace. C'est comme avoir des gilets pare-balles parfaits face à une attaque chimique. Le bon équipement pour le mauvais scénario.

Les conséquences réelles d'une extorsion par données en 2026 sont multiples. La notification RGPD est obligatoire dans les 72 heures si des données personnelles sont concernées, avec des amendes potentielles proportionnelles au chiffre d'affaires. Les clients et partenaires doivent être informés, déclenchant souvent des ruptures contractuelles. La couverture médiatique d'une fuite peut durablement affecter la réputation. Dans des secteurs réglementés, les conséquences peuvent aller jusqu'au retrait d'agrément. Et le coût de réponse à incident dépasse souvent le montant de la rançon demandée dans le modèle traditionnel.

Un chiffre pour contextualiser : selon les données Swiss Re Cyber 2025, les incidents d'extorsion pure coûtent en moyenne 40% plus cher que les ransomwares avec chiffrement, principalement parce que les coûts de notification, juridiques et de réputation s'ajoutent aux coûts opérationnels. Un incident d'exfiltration impliquant 100 000 dossiers clients peut facilement dépasser 2 à 3 millions d'euros de coûts totaux pour une PME.

Ce que le profil des nouvelles victimes révèle

En analysant les victimes revendiquées par les groupes d'extorsion pure sur la première moitié de 2026, un profil émerge avec une régularité inquiétante : les cibles ne sont pas choisies au hasard, mais identifiées pour la valeur de leurs données spécifiques.

WorldLeaks a ciblé Nike précisément parce que ses données R&D — fiches techniques, bills of materials, processus de fabrication — ont une valeur immédiate sur le marché, pour des contrefacteurs, des concurrents ou des acteurs étatiques intéressés par les chaînes d'approvisionnement. Le groupe Crimson Collective a ciblé Brightspeed pour les données clients (PII, historiques de paiement) qui alimentent les marchés de l'usurpation d'identité. L'opération de juin 2026 contre la Global Schools Foundation a visé les données de passeports d'étudiants — une donnée à haute valeur sur les marchés souterrains.

Cette sélectivité change la nature de la menace. Ce ne sont plus des attaques d'opportunité. Ce sont des campagnes de reconnaissance préalable identifiant qui détient quoi, suivies d'une intrusion ciblée visant directement le joyau de la couronne. Les secteurs les plus attractifs en 2026 sont : la santé (dossiers patients), l'enseignement (données de mineurs, passeports), les télécoms (données clients à grande échelle), la propriété intellectuelle industrielle, et les données RH.

Un élément particulièrement préoccupant : selon le rapport BlackFog sur l'état du ransomware 2026, 78% des victimes d'extorsion pure avaient des solutions anti-ransomware en place. Ces solutions sont calibrées pour détecter le chiffrement massif. Elles sont aveugles face à une exfiltration lente et méthodique menée sur plusieurs semaines via des canaux légitimes.

Les vecteurs d'entrée qui alimentent cette économie

L'exfiltration de données à grande échelle nécessite du temps dans le réseau cible — en général plusieurs semaines entre l'intrusion initiale et la première communication d'extorsion. Ce temps de présence est possible parce que les attaquants utilisent des vecteurs d'entrée qui génèrent peu de bruit.

Les infostealers constituent aujourd'hui le premier vecteur d'alimentation de ces opérations. Des souches comme RedLine, Lumma, ou la nouvelle génération représentée par OnyxC2 (qui cible plus de 210 applications sur les endpoints) collectent des credentials en masse sur les postes des employés — cookies de session, identifiants de gestionnaires de mots de passe, tokens VPN. Ces credentials alimentent des marchés souterrains où les groupes d'extorsion les achètent pour quelques dizaines de dollars par accès. C'est la supply chain de l'intrusion : les infostealers font le travail de reconnaissance initiale, les groupes d'extorsion achètent les accès validés et passent directement à l'exploitation.

Les vulnérabilités VPN non patchées restent un vecteur majeur. CVE-2026-50751 sur Check Point VPN (CVSS 9.3), CVE-2026-10520 sur Ivanti Sentry (CVSS 10.0), CVE-2026-20245 sur Cisco SD-WAN — chaque faille VPN non corrigée est un accès potentiel au réseau interne livré clé en main. Les groupes d'extorsion ont des processus automatisés de scan et d'exploitation dès la publication d'un PoC, avec un délai d'action souvent inférieur à 48 heures.

Le phishing ciblé reste efficace, notamment via des leurres liés aux outils de travail hybride (Teams, SharePoint, Zoom). La compromission d'un compte Microsoft 365 offre un accès à la messagerie, aux fichiers SharePoint/OneDrive, et via des tokens OAuth potentiellement à des dizaines d'applications tierces.

Enfin, la compromission de la supply chain logicielle — comme les 408 packages AUR empoisonnés de l'opération Atomic Arch en mai 2026, ou les packages npm de l'opération TrapDoor — fournit un accès furtif aux environnements de développement, d'où l'exfiltration peut toucher des secrets de code source, des clés d'API de production, et des schémas de bases de données.

Adapter sa stratégie défensive : ce qui change concrètement

Si la menace principale n'est plus le chiffrement mais le vol de données, la stratégie défensive doit être repensée en conséquence. Voici les pivots que je recommande aux organisations de taille intermédiaire.

Passer d'une logique de disponibilité à une logique de confidentialité. Les efforts et budgets traditionnellement alloués au PRA/PCA doivent être rééquilibrés vers la prévention des fuites (DLP) et la détection de l'exfiltration. Un budget RTO excellent avec zéro contrôle sur l'exfiltration réseau est une stratégie mal calibrée en 2026.

Cartographier ses données sensibles sérieusement. Vous ne pouvez pas protéger ce que vous ne savez pas que vous avez. La plupart des organisations avec qui je travaille en audit découvrent des données sensibles dans des endroits inattendus : fichiers Excel de comptabilité sur des partages non restreints, exports de bases clients dans des répertoires temporaires, données RH dans des boîtes mail non purgées depuis 2019. Un Data Discovery précis est désormais un pré-requis.

Mettre en place un monitoring de l'exfiltration réseau. Les solutions NDR (Network Detection and Response) modernes détectent des patterns d'exfiltration — volumes inhabituels, transferts vers des destinations externes non habituelles, protocoles chiffrés vers des destinations cloud inconnues. L'exfiltration via des services cloud légitimes est la technique la plus courante des groupes professionnels — elle traverse les pare-feux sans alarme si vous n'avez pas de contrôle de contenu spécifique.

Réduire drastiquement les accès privilégiés inutiles. En appliquant le principe du moindre privilège avec rigueur — notamment sur les comptes de service, les accès VPN et les permissions SharePoint/OneDrive — vous limitez mécaniquement ce qu'un attaquant peut extraire même en cas d'intrusion réussie.

Préparer un plan de réponse à l'extorsion. Toute organisation doit avoir réfléchi avant d'être victime à des questions difficiles : paye-t-on ? À qui on fait remonter en interne ? Quel est le processus de notification réglementaire dans les 72 heures RGPD ? Qui sont nos conseils juridiques en cas de crise ? Quel est notre plan de communication clients ? Ces décisions ne se prennent pas à 23h le soir d'une attaque. Les organisations qui ont ce plan pré-établi gèrent les incidents avec 60% de coûts en moins selon les données Ponemon Institute.

Ce que les assureurs cyber ont déjà compris

Un indicateur révélateur de l'évolution du risque : les assureurs cyber ont massivement revu leurs conditions de couverture depuis 2024. La majorité des polices cyber premium en 2026 imposent désormais des contrôles spécifiques sur la prévention des fuites de données comme pré-requis à la couverture — DLP en place, chiffrement des données au repos, MFA sur tous les accès distants, segmentation réseau documentée.

Ces exigences reflètent l'analyse actuarielle des sinistres. Si votre assureur cyber ne vous a pas encore posé de questions sur vos contrôles d'exfiltration lors de votre dernier renouvellement, vérifiez explicitement avec votre courtier ce que votre police couvre réellement en cas d'extorsion pure — avant d'en avoir besoin.

Conclusion : repenser la priorité des investissements sécurité

La migration du modèle ransomware vers l'extorsion pure n'est pas un phénomène marginal ou temporaire. C'est l'évolution naturelle d'une industrie criminelle qui optimise ses méthodes en réponse aux défenses déployées. Les backups immuables et les plans de reprise ont rendu le chiffrement moins rentable pour les groupes qui ciblent des organisations bien préparées. Ces groupes ont simplement changé de tactique.

Se défendre contre l'extorsion par données demande de la visibilité (savoir où sont ses données sensibles), du contrôle (limiter qui peut y accéder et les exporter), et de la détection (monitorer les flux anormaux). Trois axes qui ne nécessitent pas des budgets pharaoniques mais une vraie réflexion stratégique et une exécution rigoureuse. Ce qui nécessite en revanche un budget conséquent, c'est de réagir après une exfiltration sans y avoir été préparé. Comme toujours en sécurité, le seul vrai bon moment d'investir, c'était avant.