Ransomware 2026 : l'extorsion sans chiffrement a tué l'utilité des sauvegardes

On a vendu aux entreprises pendant dix ans l'idée que des sauvegardes solides les protégeraient contre le ransomware. En 2026, cette croyance est devenue dangereuse. Pas parce que les sauvegardes sont inutiles — elles le restent pour la continuité opérationnelle — mais parce que le ransomware a muté et que la menace principale n'est plus le chiffrement. C'est l'exposition.

Le chiffrement n'est plus le moteur principal de l'extorsion en 2026

Les chiffres sont là et ils ne laissent pas beaucoup de place au doute. Selon les données de CrowdStrike, SentinelOne et Securelist agrégées en 2026, la part des incidents ransomware n'impliquant pas de chiffrement des données est passée de 2% en 2024 à 22% fin 2025, et continue de progresser au fil des mois de 2026. Certains analystes estiment que ce taux atteignait déjà 30% au deuxième trimestre 2026 si l'on inclut les groupes opérant en mode hybride — chiffrement partiel limité aux systèmes les plus visibles, exfiltration massive en arrière-plan.

Derrière ce chiffre se cache une réalité opérationnelle que j'observe directement dans mes missions d'audit et de réponse à incident : les groupes ransomware les plus sophistiqués ont compris que chiffrer est coûteux, risqué et de moins en moins efficace. Coûteux en temps — le chiffrement d'un parc de plusieurs milliers de postes prend des heures et génère du bruit réseau détectable. Risqué parce que les EDR modernes, notamment les solutions basées sur la détection comportementale, repèrent de mieux en mieux les patterns d'accès massif aux fichiers caractéristiques du chiffrement. Et de moins en moins efficace parce que les plans de reprise d'activité se sont améliorés — même si beaucoup d'entreprises surestiment encore leur maturité réelle sur ce point.

La réponse des groupes à cette évolution du marché : changer le modèle économique. Exfiltrer d'abord, massivement et silencieusement. Menacer de publier, pas de ne pas restaurer. Encaisser sans déployer d'encrypteur. Clop a théorisé et industrialisé ce modèle dès 2023 avec la campagne MOVEit Transfer : exploitation d'une zero-day, exfiltration de données de centaines d'organisations, extorsion par menace de publication — sans la moindre ligne de code chiffrant déployée. En 2026, avec sa campagne contre PTC Windchill et FlexPLM, Clop reproduit exactement le même schéma en ciblant cette fois la propriété intellectuelle industrielle.

ShinyHunters fonctionne depuis plusieurs mois à l'extorsion pure par credential theft et exfiltration OAuth/SSO, sans jamais déployer de ransomware chiffrant. Karakurt n'a jamais eu d'encrypteur depuis sa création. Et selon les analyses de Tec-Refresh, de nouveaux groupes entrent sur le marché en 2026 en choisissant délibérément de ne pas développer de composant chiffrant, se concentrant exclusivement sur l'exfiltration et l'extorsion. C'est plus simple, plus discret, et le ROI est meilleur.

Le résultat pratique pour les entreprises est brutal à formuler : votre plan de sauvegarde et de restauration ne change rien au problème fondamental que pose l'extorsion sans chiffrement. Si les données sont déjà parties, payer ou ne pas payer la rançon ne les efface pas du leak site ou des mains de l'attaquant. La sauvegarde vous aide à redémarrer vos systèmes — elle ne vous aide pas à récupérer ce qui a été volé et ne supprime pas le levier d'extorsion entre les mains de l'attaquant.

Ce que les attaquants volent réellement — et pourquoi ça marche

Pour comprendre pourquoi l'extorsion sans chiffrement fonctionne, il faut regarder de près la qualité de ce qui est exfiltré. Les groupes les plus avancés ne volent pas au hasard. Ils ciblent des données avec une valeur maximale pour l'extorsion — c'est-à-dire des données dont la divulgation cause un préjudice irréversible ou engage une responsabilité légale immédiate.

Les catégories les plus fréquemment ciblées en 2026, d'après les analyses post-incident publiées par Mandiant, CrowdStrike et les retours d'expérience terrain : données client (RGPD, responsabilité légale vis-à-vis des personnes concernées), données d'enquête judiciaire ou réglementaire (cas ATF/Qilin — dossiers d'enquête, identités d'informateurs), propriété intellectuelle industrielle (plans CAO, formules, brevets, données de procédé — cas Clop/Windchill), données de santé (DMP, dossiers patient), informations contractuelles et financières confidentielles, et données de due diligence en cours de M&A (fusions-acquisitions en cours constituent une cible de choix, avec des délais courts et des enjeux financiers colossaux).

Ces catégories partagent des caractéristiques communes du point de vue de l'attaquant. Premièrement, leur divulgation cause un préjudice irréversible : une fois publiés, des plans de conception ou des données patient ne peuvent pas être « dépubliés ». Deuxièmement, leur exposition engage la responsabilité légale de l'organisation victime vis-à-vis de ses clients, partenaires ou régulateurs — une pression considérable qui s'ajoute à la pression directe de l'attaquant. Troisièmement, leur valeur pour des tiers (concurrents, États, courtiers de données) crée un marché de revente potentiel qui renforce la crédibilité de la menace : l'attaquant peut toujours vendre ce que la victime refuse de payer pour garder confidentiel.

Dans le cas de Clop et PTC Windchill, les données exfiltrées incluent des plans CAO complets, des spécifications de fabrication, des données chaîne d'approvisionnement et des informations sur les processus de production. Pour un équipementier automobile ou aérospatial, la divulgation de ces données représente des années de R&D exposées — et potentiellement la fin d'avantages concurrentiels construits sur la durée, avec des implications contractuelles vis-à-vis des clients OEM qui ont fourni ces données dans le cadre de partenariats de co-développement.

L'écosystème de l'extorsion a également évolué vers des tactiques de pression multi-niveaux. Clop envoie des emails directs aux employés des organisations victimes pour les inciter à faire pression sur leur direction afin qu'elle paie. Certains groupes contactent directement les clients des victimes pour les informer que leurs données sont potentiellement compromises. D'autres menacent de notifier eux-mêmes les régulateurs (CNIL en France, FTC aux États-Unis) si la rançon n'est pas payée dans le délai imparti. Ces tactiques psychologiques s'appliquent indépendamment de l'existence d'un chiffrement et se révèlent redoutablement efficaces.

Ce que cela change concrètement pour la défense

Si l'extorsion pure sans chiffrement devient le modèle dominant, le curseur défensif doit se déplacer de la restauration vers la prévention de l'exfiltration. C'est un changement de paradigme important pour beaucoup d'équipes de sécurité — et un changement de budget difficile à défendre auprès de directions habituées à entendre que « les sauvegardes nous protègent ».

La première implication concrète est que l'inventaire et la classification des données sensibles ne sont plus une bonne pratique théorique inscrite dans une politique de sécurité non appliquée : ce sont des prérequis opérationnels pour identifier ce qui vaut la peine d'être protégé en priorité et ce dont la compromission constitue un risque d'extorsion réel. La plupart des organisations que j'audite ignorent précisément où résident leurs données les plus sensibles dans leur SI. Windchill, SharePoint, des serveurs de fichiers non documentés, des instances cloud mal configurées avec des buckets S3 en accès trop large — la répartition est souvent bien plus chaotique que ce que croit la direction. Vous ne pouvez pas protéger ce que vous ne connaissez pas.

La deuxième implication est que les contrôles DLP (Data Loss Prevention) méritent une réévaluation sérieuse. Les solutions DLP traditionnelles sont souvent mal configurées, génèrent trop de faux positifs et finissent par être mises en exception permanente par les équipes opérationnelles. Mais dans un contexte où l'exfiltration est le vecteur principal de la menace d'extorsion, un DLP correctement calibré sur les données réellement sensibles — et non sur l'ensemble des documents Word de l'entreprise — devient un outil défensif de premier rang. La difficulté réside dans la phase de tuning, souvent sous-estimée en temps et en expertise, qui conditionne l'efficacité réelle du contrôle.

La troisième implication est que la détection comportementale des accès aux données doit monter en priorité dans les SIEM et XDR. Détecter un compte qui accède à 10 000 fichiers CAO en deux heures, un service account qui commence à lire des partages réseau inhabituels, ou des volumes de données transférés vers des destinations cloud inconnues — ce sont des comportements qui précèdent l'exfiltration et qui sont détectables à condition d'avoir les règles en place et une équipe pour les traiter. La plupart des organisations ont une bonne visibilité sur ce qui entre dans leur réseau et une visibilité très insuffisante sur ce qui en sort.

Sur la question des sauvegardes, la nuance est importante : elles restent absolument indispensables pour la continuité opérationnelle face à un chiffrement résiduel, une défaillance système ou tout autre sinistre. Mais leur rôle dans le dispositif de défense contre la menace d'extorsion dominante de 2026 est limité. Il faut arrêter de croire qu'elles protègent contre l'essentiel de la menace — pas les abandonner, mais ne plus les présenter à la direction comme la réponse principale au problème ransomware.

Les secteurs les plus exposés à l'extorsion pure en 2026

Tous les secteurs ne sont pas égaux face à l'extorsion sans chiffrement. Les groupes ransomware ciblent là où la pression maximale peut être exercée avec les données disponibles.

Le secteur industriel et manufacturier est en première ligne, comme le démontre la campagne Clop contre PTC Windchill. Les données PLM — plans CAO, spécifications produit, secrets de fabrication, données de la chaîne d'approvisionnement — ont une valeur commerciale directe et leur divulgation engage souvent des responsabilités contractuelles vis-à-vis des clients OEM ou des partenaires en co-développement. Sur 43 victimes confirmées dans la campagne Windchill/FlexPLM, la grande majorité sont des industriels manufacturiers, des équipementiers ou des entreprises aérospatiales.

Le secteur de la santé reste une cible prioritaire pour des raisons combinées : données patient hautement sensibles engageant des obligations RGPD, environnement technique souvent hétérogène avec des systèmes legacy difficiles à sécuriser, et propension plus élevée à payer pour éviter l'impact opérationnel ou la divulgation de données médicales. Les établissements de santé qui payaient des rançons pour récupérer leurs dossiers patients après chiffrement font maintenant face à des groupes qui n'ont plus besoin de chiffrer : la menace de publication des données de santé suffit.

Les cabinets d'avocats, d'audit et de conseil sont des cibles de choix pour leur accès privilégié aux secrets de leurs clients. Données de due diligence M&A en cours, documents liés à des litiges, secrets industriels transmis dans le cadre de mandats — une fuite nuit simultanément au cabinet et à ses clients, créant une pression maximale sur les deux niveaux. ShinyHunters a particulièrement ciblé ce secteur en 2025-2026, en s'appuyant sur des credentials OAuth/SSO volés pour accéder aux espaces collaboratifs cloud des cabinets.

Les agences gouvernementales et de défense, comme l'illustre la compromission de l'ATF par Qilin, représentent des cibles dont la valeur d'extorsion est parfois moins financière que politique ou stratégique. Des données d'enquête judiciaire, des identités d'agents ou d'informateurs, des plans d'infrastructure critique — leur divulgation a des conséquences qui dépassent largement la sphère financière et concernent directement la sécurité nationale.

La dimension réglementaire qui aggrave la pression

Un aspect souvent sous-estimé de la mutation vers l'extorsion sans chiffrement est son interaction avec les obligations réglementaires de notification. En Europe, le RGPD impose une notification à la CNIL dans les 72 heures suivant la prise de connaissance d'une violation de données personnelles. NIS2, applicable depuis octobre 2024 dans la plupart des États membres, ajoute des obligations de notification anticipée pour les entités essentielles et importantes.

Cette mécanique réglementaire crée une pression supplémentaire que les groupes d'extorsion exploitent délibérément. Même si une organisation décide de ne pas payer la rançon, elle doit notifier les autorités et potentiellement ses clients — ce qui déclenche des enquêtes réglementaires, des questions de clients et partenaires, et parfois des sanctions financières. La menace de publication des données volées devient d'autant plus puissante que l'organisation sait que la divulgation entraîne des conséquences réglementaires automatiques difficiles à éviter.

La bonne réponse à cette situation n'est pas de payer pour tenter d'éviter la notification réglementaire — payer ne garantit aucunement la destruction des données et ne supprime pas l'obligation de notifier si une violation a bien eu lieu. C'est de construire une posture défensive qui réduit le risque de vol de données en amont, de sorte que la question du paiement et de la notification ne se pose pas dans les conditions les plus défavorables.

Trois mesures concrètes à prioriser dès maintenant

Les RSSI et DSI qui me consultent dans ce contexte posent souvent la même question : par où commencer, avec des ressources contraintes ? Voici ma réponse terrain.

Premièrement, cartographiez vos données sensibles avant tout le reste. Lancez un projet de data discovery ciblé sur vos systèmes les plus critiques — pas tout le SI en une fois, mais les zones à risque prioritaire : le PLM ou PDM si vous êtes un industriel, les dossiers patient ou les SI métier si vous êtes dans la santé, les espaces collaboratifs et SharePoint si vous êtes un cabinet de conseil. L'objectif n'est pas la perfection mais d'identifier les 20% de données dont la divulgation causerait 80% du préjudice réel. Ce travail prend 2 à 4 semaines selon la taille de l'organisation et change fondamentalement les priorités de protection — et de budget.

Deuxièmement, réévaluez votre capacité de détection de l'exfiltration sortante. Votre SOC a-t-il des alertes sur les transferts de données vers des destinations cloud non approuvées ? Voyez-vous les volumes sortants par compte utilisateur et par service, ou seulement les volumes entrants et les alertes d'attaque ? La majorité des organisations que j'audite ont une bonne visibilité sur ce qui entre dans leur réseau et une visibilité très insuffisante sur ce qui en sort — précisément là où les exfiltrations se produisent, silencieusement, via des outils légitimes comme rclone, WinSCP, les APIs cloud natives ou même les fonctionnalités de partage des solutions collaboratives.

Troisièmement, testez votre réponse à un scénario d'extorsion pure sans chiffrement. Beaucoup d'organisations ont exercé leur PCA/PRA sur un scénario de chiffrement et restauration. Très peu ont testé un scénario où un groupe les contacte en affirmant avoir volé 500 Go de données sensibles, fournit un échantillon en preuve, et menace de publier dans 72 heures — sans avoir rien chiffré. Qui décide dans cette situation ? Qui engage l'avocat spécialisé ? Qui notifie la CNIL ? Qui communique aux clients ? Qui active les relations avec les assureurs cyber ? Faire cet exercice sur table (tabletop exercise) avant l'incident révèle invariablement des lacunes de processus et de gouvernance que personne n'avait anticipées.

Conclusion

L'extorsion sans chiffrement n'est pas une curiosité marginale du paysage cyber 2026 : c'est le mode opératoire de plusieurs des groupes les plus actifs et les plus destructeurs. Clop avec PTC Windchill, Qilin avec l'ATF américain, ShinyHunters avec ses campagnes d'identifiants OAuth — tous illustrent que le préjudice réel ne vient plus du chiffrement mais de l'exposition des données volées.

Continuer à centrer sa stratégie de défense sur la restauration après chiffrement, c'est répondre à la menace d'il y a cinq ans. La réponse à la menace de 2026 exige une compréhension précise de ce que vous avez, un contrôle strict sur qui y accède, et une capacité réelle à détecter l'exfiltration avant qu'elle ne soit terminée. Ce n'est pas une transformation qui se fait en un projet ou en un trimestre. Mais c'est celle qui déterminera votre exposition réelle face aux groupes d'extorsion qui opèrent aujourd'hui.