Gunra recrute des pentesters certifiés. Qilin opère des filiales dans plusieurs pays. LockBit 5 survive à son propre démantèlement. En 2026, le ransomware n'est plus une activité criminelle — c'est une industrie structurée, et les organisations qui ne l'ont pas encore compris continuent de gérer la menace avec des outils conçus pour le monde d'avant.

Du script kiddie à l'entreprise criminelle : l'évolution en trois générations

Il est utile, pour comprendre où nous en sommes, de retracer brièvement l'histoire. La première génération de ransomware — des années 2010 à 2017 environ — était celle du ransomware opportuniste de masse. Des souches comme CryptoLocker, Locky ou WannaCry se propageaient indifféremment, chiffraient tout ce qu'elles trouvaient, et demandaient des rançons modestes (quelques centaines de dollars) payables en Bitcoin. La cible était le volume : compromettre des millions de machines pour qu'un faible pourcentage paye. La sophistication technique était variable, mais le modèle économique restait rudimentaire.

La deuxième génération, qui s'est affirmée entre 2018 et 2023, a changé de paradigme. L'émergence du Ransomware-as-a-Service (RaaS) — illustrée par REvil, DarkSide, Maze, Conti, puis ALPHV/BlackCat — a introduit une division du travail entre développeurs du malware et affiliés opérant les attaques. Les rançons sont montées en flèche : de quelques centaines de dollars à plusieurs millions, ciblant délibérément des entreprises et des infrastructures critiques capables de payer. La double extorsion (chiffrement + exfiltration) est devenue la norme. Les groupes ont développé des portails de négociation professionnels, des équipes de communication, des politiques de « service client ». Le ransomware est devenu une entreprise.

Nous sommes aujourd'hui pleinement entrés dans la troisième génération. Elle se caractérise par quatre évolutions majeures qui rendent la menace qualitativement différente de tout ce qui précédait : la résilience opérationnelle face aux démantèlements, la professionnalisation du recrutement, la globalisation des opérations, et l'intégration de l'intelligence artificielle dans les chaînes d'attaque. Ces quatre dimensions méritent chacune un examen détaillé.

La résilience face aux démantèlements : pourquoi les opérations policières ne fonctionnent plus comme avant

En mai 2024, l'opération Cronos coordonnée par Europol et le FBI a démis LockBit de ses serveurs, saisi son infrastructure, déchiffré les clés de certaines victimes et — coup de théâtre — doxé l'administrateur présumé. Résultat 18 mois plus tard : LockBit 5 est actif, revendique l'exfiltration de données de U.S. Bank avec un ultimatum au 3 septembre 2026, et continue de recruter des affiliés.

Comment est-ce possible ? La résilience des groupes RaaS modernes repose sur plusieurs mécanismes que les opérations policières classiques ne parviennent pas à neutraliser simultanément :

La décentralisation technique. Les groupes RaaS de 3ème génération n'opèrent plus depuis une infrastructure centralisée. Leurs serveurs C2, leurs portails de négociation et leurs sites de fuite de données sont distribués sur plusieurs juridictions, répliqués sur des réseaux d'anonymisation (Tor, I2P), avec des basculements automatiques en cas de saisie. Prendre un serveur ne coupe plus l'opération.

La séparation des rôles et des identités. Les développeurs du malware, les opérateurs des portails, les affiliés qui mènent les attaques, et les équipes de négociation sont des individus distincts qui souvent ne se connaissent pas physiquement. Arrêter un affilié — ou même un développeur — ne met pas fin à l'opération. La structure en cellules cloisonnées est directement inspirée des modèles de crime organisé traditionnel.

Le branding comme actif transférable. Conti a disparu en tant qu'entité mais son code source a fuité en 2022 et a directement nourri Gunra en 2025. ALPHV/BlackCat a été démantelé mais ses développeurs ont rejoint d'autres groupes. LockBit rebrande en v5. Le savoir-faire, le code et les réseaux d'affiliés survivent aux marques. Quand une marque devient trop brûlante, on en crée une nouvelle.

La géopolitique du refuge. La plupart des opérateurs seniors des groupes RaaS les plus actifs opèrent depuis des pays sans traité d'extradition avec les États-Unis ou l'UE, principalement la Russie et certains États de l'ex-URSS. Les arrestations spectaculaires — comme celle de membres de Hive en 2023 — concernent généralement des individus ayant fait l'erreur de voyager dans des pays coopératifs. Les opérateurs expérimentés ont appris à ne plus sortir de leur zone de confort géographique.

La professionnalisation du recrutement : quand le RaaS embauche des pentesters

L'un des signaux les plus frappants de la maturité du RaaS de 3ème génération est l'évolution du recrutement. L'advisory CISA AA26-222A sur Gunra révèle que le groupe recrute activement des pentesters et des « hackers éthiques » comme courtiers d'accès initial, en leur offrant une part des profits des rançons. Ce n'est pas une curiosité anecdotique — c'est un symptôme d'une transformation profonde du marché criminel.

Plusieurs implications méritent d'être mesurées :

La qualité technique des attaques augmente. Un pentester expérimenté maîtrise les techniques de Living off the Land (LotL) qui permettent d'éviter les EDR, les méthodes de pivoting réseau, l'exploitation de l'Active Directory, et la couverture des traces. Les affiliés des premières générations RaaS utilisaient souvent des frameworks pré-packagés (Cobalt Strike, Metasploit) de façon relativement grossière. Un pentester recruté comme IAB apporte un niveau de sophistication opérationnelle radicalement différent.

Le marché du recrutement cybercriminel cannibalise le marché légal. Les salaires offerts par les groupes RaaS pour des compétences en test d'intrusion sont très compétitifs. Dans certains pays où les salaires des professionnels de la cybersécurité restent modestes, la tentation est réelle. Les recruteurs opèrent sur des forums spécialisés mais aussi de plus en plus sur des plateformes légitimes, se faisant passer pour des employeurs ou des clients légitimes.

La frontière éthique devient un enjeu de formation. Les écoles et formations de cybersécurité qui produisent des pentesters sans les former aux implications juridiques et éthiques de leur métier créent potentiellement des candidats pour ce marché. La détection d'approches de recrutement criminel doit faire partie du curriculum de toute formation sérieuse.

Gunra n'est pas un cas isolé. ALPHV/BlackCat, avant son démantèlement, avait également attiré des professionnels du secteur légal en promettant des revenus bien supérieurs à ceux du marché. La tendance est structurelle.

L'intégration de l'IA dans les chaînes d'attaque : au-delà du buzz

La question de l'utilisation de l'intelligence artificielle par les groupes ransomware est souvent traitée de façon superficielle ou alarmiste. Il convient d'être précis sur ce qui est documenté et ce qui relève encore de la spéculation.

Ce qui est documenté et opérationnel en 2026 :

La génération de phishing ultra-personnalisé. Les LLM (Large Language Models) permettent de produire des emails de spear-phishing dans n'importe quelle langue, sans les fautes grammaticales qui trahissaient les campagnes précédentes, personnalisés à partir d'informations publiques sur la cible (LinkedIn, site web de l'entreprise, communiqués de presse). Le volume et la qualité du phishing ont augmenté de façon mesurable depuis la démocratisation des LLM en 2023-2024.

L'automatisation de la reconnaissance. Des outils basés sur des LLM permettent d'accélérer la phase de reconnaissance (OSINT) : extraction automatique d'informations pertinentes sur une cible depuis des sources publiques, identification des technologies utilisées, mapping des employés clés et de leurs rôles. Ce travail qui prenait des heures à un opérateur humain peut désormais s'effectuer en minutes.

L'assistance au développement de malware. Des études de red team ont démontré que les LLM peuvent assister la génération de code malveillant, même si les guardrails des modèles commerciaux limitent les cas d'usage les plus évidents. Des modèles fine-tunés ou non censurés, accessibles sur des plateformes underground, comblent partiellement cette limitation.

Ce qui reste spéculatif ou non documenté à grande échelle :

L'autonomie complète des chaînes d'attaque IA, sans intervention humaine pour les phases de décision et d'exploitation, n'a pas encore été documentée dans des incidents réels à grande échelle. L'exploitation de vulnérabilités complexes et la navigation dans des environnements Active Directory très spécifiques requièrent encore une expertise humaine que l'IA ne remplace pas en 2026. Mais la trajectoire est claire.

L'impact sur l'assurance cyber : une crise de tarification systémique

L'industrialisation du ransomware a produit un effet collatéral majeur : la crise du marché de l'assurance cyber. En 2021-2022, plusieurs assureurs majeurs — dont AXA France, en annonçant la suspension temporaire de la couverture ransomware — ont pris conscience que le modèle assurantiel classique ne fonctionnait pas pour ce type de risque.

Pourquoi ? L'assurance repose sur un principe de mutualisation : les primes des non-sinistres couvrent les indemnisations des sinistres, avec un équilibre statistique calculé sur des données historiques. Le ransomware casse ce modèle de trois façons :

La corrélation des sinistres. Une campagne ransomware bien conduite peut affecter simultanément des dizaines ou centaines d'entreprises assurées chez le même assureur. Ce n'est pas un risque individuel mutualisable — c'est un risque systémique comparable à une catastrophe naturelle.

L'aléa moral. Des études ont montré que les entreprises assurées contre le ransomware avaient tendance à investir moins dans leur sécurité, sachant que l'assurance couvrirait le sinistre. Certains groupes ransomware ont même développé des techniques pour identifier si une cible est assurée avant de calibrer leur demande de rançon.

L'inflation des rançons. La présence d'assureurs prêts à payer (car plus rapide et moins cher que la reconstruction) a mécaniquement contribué à l'inflation des montants demandés. Les négociateurs ransomware ont rapidement appris à détecter si un interlocuteur est un responsable IT stressé ou un professionnel de la gestion de crise mandaté par l'assureur — et à ajuster leurs demandes en conséquence.

En 2026, le marché de l'assurance cyber a répondu à ces défis par plusieurs évolutions : franchises beaucoup plus élevées (souvent 10-15% du sinistre contre 1-5% auparavant), exclusions explicites pour les attaques étatiques et les cyber-guerres, primes sensiblement plus élevées avec audit de sécurité obligatoire, et conditions de couverture qui imposent des contrôles techniques minimaux (MFA, EDR, sauvegardes isolées). Pour les organisations ne satisfaisant pas ces prérequis, l'assurance ransomware est désormais soit inabordable, soit simplement non disponible.

Ce que ça change concrètement pour les DSI et RSSI en 2026

Face à un adversaire industrialisé, une réponse artisanale ne peut pas fonctionner. Voici ce que l'analyse du RaaS de 3ème génération implique concrètement pour les responsables de la sécurité :

La question n'est plus « serons-nous attaqués ? » mais « quand, et serons-nous capables de répondre ? » Les groupes RaaS avec des affiliés actifs dans le monde entier opèrent des scans automatisés permanents. Si vous avez une surface d'attaque exposée (VPN, RDP, applications web), vous êtes dans les listes de reconnaissance. La probabilité d'une tentative sérieuse dans les 12 prochains mois n'est pas marginale — elle est significative pour la grande majorité des organisations de taille intermédiaire et grande.

La résilience est maintenant une exigence de premier ordre. Les défenses préventives (pare-feux, EDR, MFA) sont nécessaires mais pas suffisantes. Un groupe RaaS avec des affiliés de niveau pentester va trouver un chemin. La question devient : quelle est votre capacité à détecter l'intrusion pendant la phase de reconnaissance (avant le chiffrement) ? Quelle est votre capacité à restaurer vos systèmes en 24-48h sans payer ? Ces deux questions définissent votre vraie posture de résilience.

La gestion du risque tiers est devenue incontournable. L'incident Miljödata en Suède, l'attaque McKesson via ShinyHunters, la compromission de fournisseurs SaaS : les attaquants ont compris que cibler les prestataires multiplie l'impact. Votre programme de sécurité doit inclure une évaluation rigoureuse des risques portés par vos fournisseurs critiques.

Les exercices de crise ne sont plus optionnels. Face à des groupes qui ont des équipes de négociation professionnelles et des processus rodés, une organisation qui découvre sa procédure de réponse à incident pendant l'incident est en position de faiblesse totale. Les exercices de simulation (tabletop exercises) et les plans de continuité testés sont désormais une ligne de défense réelle, pas un exercice de conformité.

Mon avis d'expert

Ce qui m'inquiète le plus en 2026, ce n'est pas la sophistication technique des groupes ransomware — c'est l'écart croissant entre leur professionnalisme et celui de la défense. Du côté attaquant, on a des groupes structurés comme des PME, avec des RH, des équipes techniques, des négociateurs, des contrôleurs de gestion qui optimisent le retour sur investissement des campagnes. Du côté défenseur, on a trop souvent des RSSI sous-dimensionnés, des budgets contraints, des comités de direction qui comprennent la menace uniquement après avoir lu un article dans Le Monde. Le gap se creuse. La réponse ne peut pas être uniquement technique — elle doit être organisationnelle, financière et politique. Les dirigeants qui pensent encore que la cybersécurité est un sujet IT et non un sujet stratégique sont en train de préparer la catastrophe de demain.

Conclusion : s'adapter à un adversaire industrialisé

Le RaaS de 3ème génération n'est pas une évolution marginale du ransomware des années précédentes. C'est un changement de nature : la menace est devenue industrielle, résiliente, professionnelle et mondiale. Les réponses qui fonctionnaient contre la génération précédente sont nécessaires mais insuffisantes.

S'adapter à cet adversaire requiert de penser la cybersécurité non plus comme un problème technique à résoudre une fois, mais comme une capacité organisationnelle permanente à maintenir et à entraîner. Les organisations qui investissent dans la détection précoce, la résilience opérationnelle, la gestion rigoureuse des risques tiers et les exercices de crise réguliers — et qui obtiennent l'engagement réel de leur direction générale sur ces sujets — sont celles qui s'en sortiront le mieux quand l'inévitable se produira.

Et pour les autres, la question n'est pas de savoir si un groupe ransomware les ciblera. C'est de savoir s'ils l'apprendront avant ou après.

Besoin d'un regard expert sur votre sécurité ?

Discutons de votre contexte spécifique.

Prendre contact