Blackfield, Krybit, ENCFORGE : la fragmentation du marché

En 2024, surveiller LockBit, ALPHV et Cl0p offrait une visibilité correcte sur 60 à 70 % des menaces ransomware pesant sur les entreprises françaises. En 2026, cette même approche ne couvre plus que 30 à 40 % du paysage réel. Le reste ? Des dizaines de groupes spécialisés — Blackfield, Krybit, ENCFORGE et bien d'autres — dont certains sont actifs depuis moins de six mois et ciblent vos secteurs avec une précision chirurgicale. La fragmentation ransomware 2026 n'est pas un simple détail de cartographie : c'est une rupture méthodologique qui invalide la veille centrée sur les grandes marques criminelles. Suivre trois acteurs majeurs ne suffit plus à anticiper l'attaque qui frappera votre chaîne de production ou votre système d'information. Cet article décrypte cette recomposition, ses causes profondes et les ajustements concrets à opérer dans votre dispositif de détection.

De l'oligopole à la mosaïque : comment le marché ransomware a muté en 18 mois

Entre mi-2023 et début 2025, le marché ransomware était dominé par une poignée d'acteurs qui concentraient la majorité des revenus et de la visibilité médiatique : LockBit 3.0, ALPHV/BlackCat, Cl0p, Black Basta, et quelques seconds couteaux. Ces groupes avaient en commun une infrastructure significative, des équipes spécialisées (négociateurs, développeurs, affiliés), et une notoriété suffisante pour faire pression sur leurs victimes.

En pratique, les incidents que nous traitons révèlent que l'écart entre politiques de sécurité documentées et application réelle est presque toujours plus grand que prévu. La vérification terrain régulière reste la seule façon de mesurer ce delta.

— Retour terrain, Ayi NEDJIMI Consultants

Puis les forces de l'ordre ont frappé. Operation Cronos en février 2024 démantèle l'infrastructure de LockBit. ALPHV/BlackCat disparaît après un exit scam sur ses propres affiliés lors de l'attaque Change Healthcare. Black Basta implose après des fuites internes de chats qui exposent ses membres. En moins de dix-huit mois, l'oligopole ransomware s'est effondré — non pas parce que les autorités ont gagné la guerre, mais parce que le vide créé a été immédiatement comblé par une nuée de successeurs.

Le modèle Ransomware-as-a-Service (RaaS) a facilité cette prolifération. Les outils, les playbooks d'attaque, les panels de négociation, les locker multiplateforme — tout s'achète, se loue ou se fork sur les marchés cybercriminels. Un groupe comme Krybit, apparu en mars 2026, n'a pas eu besoin de partir de zéro : il a assemblé une stack opérationnelle en quelques semaines, recruté des affiliés avec une promesse de 80 % des rançons collectées, et ciblé des secteurs où il avait identifié des faiblesses systémiques. Blackfield, Hunters International, RansomHub, Fog, Underground — la liste des groupes actifs en 2026 dépasse facilement la cinquantaine de noms identifiés par les équipes de threat intelligence.

Ce que les analystes appellent la "fragmentation" est donc la conséquence directe de deux dynamiques convergentes : la destruction des grandes structures par les forces de l'ordre, et la démocratisation des outils d'attaque via les marchés RaaS. Le résultat est un écosystème plus diffus, plus difficile à anticiper, et paradoxalement plus difficile à défendre pour les organisations qui avaient calibré leurs systèmes sur les TTPs des grandes familles disparues.

Portrait des nouveaux groupes : Krybit, Blackfield, ENCFORGE — trois profils, trois logiques

Pour comprendre pourquoi la fragmentation pose un problème défensif concret, il faut regarder de près les profils des nouveaux groupes. Ils ne sont pas des clones des grandes familles disparues — ils en sont des évolutions spécialisées, parfois techniquement plus sophistiquées sur des dimensions précises.

Krybit est représentatif du modèle RaaS standardisé de nouvelle génération. Actif depuis mars 2026, le groupe cible principalement les PME et ETI dans les secteurs de la distribution, de la santé et de l'automobile. Sa particularité est une approche de ciblage par empreinte numérique : Krybit collecte massivement des données d'exposition (scans Shodan, certificats TLS, ASN mappings) pour identifier des organisations ayant des équipements réseau périmètriques connus pour être mal patchés, puis automatise partiellement la phase d'accès initial. Sa double extorsion intègre une pression temporelle précise — 96 heures avant publication — et une communication professionnelle qui mimique les standards des grands groupes disparus. En juillet 2026, Ford de Mexico et Vibonum Technologies comptent parmi ses victimes revendiquées.

Blackfield adopte une stratégie de ciblage sectoriel concentrée sur l'industrie manufacturière en Asie du Pacifique. L'attaque contre Nidec Chaun Choung Technology en juin 2026 — deux téraoctets exfiltrés, deux millions de dollars exigés — illustre sa méthodologie : compromission d'une filiale à réseau séparé du groupe pour limiter les défenses centralisées, exfiltration longue durée préalable au chiffrement, et revendication publique assortie d'un échantillon de données pour crédibiliser la menace. Blackfield cible délibérément des sous-traitants de rang 2 ou 3, souvent moins matures en cybersécurité, mais dont les données ont une valeur directe pour des concurrents ou des États.

ENCFORGE représente quelque chose de plus inquiétant encore : un groupe qui a intégré l'IA dans son modèle opérationnel. Identifié par Sysdig début 2026, ENCFORGE utilise des agents LLM pour automatiser des phases d'attaque qui nécessitaient auparavant un opérateur humain qualifié : reconnaissance des environnements cibles, identification des assets à haute valeur, génération de leurres de phishing personnalisés, et sélection des modèles d'IA présents dans l'environnement victime comme cibles de chiffrement prioritaires. Son prédécesseur JADEPUFFER avait introduit le concept de ransomware autonome piloté par LLM — ENCFORGE l'opérationnalise à plus grande échelle. Ce n'est pas de la science-fiction : c'est dans le paysage de menaces actuel.

Ces trois profils illustrent un principe important : les nouveaux groupes ne sont pas interchangeables. Ils ont des TTPs spécifiques, des secteurs cibles, des niveaux de sophistication et des modèles de pression différents. Une défense générique calibrée sur "le ransomware en général" est de moins en moins pertinente face à cette diversification.

Pourquoi la fragmentation rend vos défenses existantes moins efficaces

Si vous avez construit votre posture défensive autour de la détection de signatures et de comportements associés aux grandes familles ransomware historiques, vous avez un problème. Non pas parce que vos outils ne fonctionnent plus — mais parce que les IOC et les règles de détection que vous avez accumulés correspondent à des groupes qui, pour certains, n'existent plus sous cette forme. La fragmentation a trois effets défensifs concrets que je constate régulièrement chez mes clients.

Premier effet : la montée en puissance des inconnues inconnues. Les grandes familles ransomware étaient documentées en profondeur — IOC publics, règles YARA, analyses détaillées. Les nouveaux groupes, dans les 3 à 6 premiers mois de leur existence, disposent d'une documentation threat intel quasi nulle. Vos EDR et SIEM ne vont pas lever d'alerte sur un ransomware Blackfield ou Krybit en phase initiale si leurs signatures ne sont pas encore dans les bases de connaissance. La détection comportementale (mouvement latéral atypique, exfiltration de volume anormal, chiffrement progressif) reste votre meilleure défense — mais encore faut-il l'avoir correctement configurée.

Deuxième effet : la rotation des vecteurs d'accès initial. Les grandes familles avaient des vecteurs favoris relativement stables : campagnes phishing avec Emotet/Qakbot pour LockBit, exploitation de CVE spécifiques pour Cl0p, compromission via des MSP pour ALPHV. Les nouveaux groupes sont plus opportunistes. Krybit exploite des équipements réseau mal patchés identifiés par scan automatisé. Blackfield semble cibler des connexions VPN avec des credentials obtenus via infostealers. ENCFORGE utilise des agents IA pour personnaliser ses leurres de spear phishing. Il n'y a pas de "vecteur du moment" à surveiller — il y en a plusieurs, en rotation permanente. Votre couverture défensive doit être large et pas uniquement optimisée pour les vecteurs que vous avez déjà vus.

Troisième effet : la pression temporelle raccourcie. Les grandes opérations ransomware avaient un dwell time souvent long — 15 à 30 jours en moyenne entre compromission initiale et chiffrement. Ce délai offrait une fenêtre de détection. Les nouveaux groupes, en particulier ceux qui utilisent des outils automatisés pour accélérer la phase post-exploitation, raccourcissent ce délai. Des campagnes de 48 à 72 heures entre accès initial et chiffrement sont de plus en plus documentées. Si votre détection repose uniquement sur des alertes SIEM nécessitant une investigation manuelle, cette fenêtre peut être insuffisante pour stopper l'attaque avant le chiffrement.

Les secteurs les plus exposés à la vague de nouveaux groupes RaaS

La diversification des groupes s'accompagne d'une diversification des cibles. Si les secteurs healthcare, finance et énergie restent des cibles prioritaires pour les groupes établis, les nouveaux entrants ciblent délibérément des secteurs traditionnellement sous-représentés dans les statistiques de victimes ransomware.

L'industrie manufacturière asiatique est le secteur le plus ciblé par des groupes comme Blackfield. Les raisons sont multiples : convergence IT/OT qui élargit la surface d'attaque, maturité cybersécurité historiquement plus faible que dans la finance ou la santé, données de production et de R&D à haute valeur de revente, et chaînes d'approvisionnement globales qui offrent des chemins d'accès indirects aux grandes entreprises via leurs sous-traitants. L'attaque Nidec Chaun Choung est exemplaire de cette stratégie.

Les PME de services numériques — agences, ESN, hébergeurs, intégrateurs — sont visées par des groupes comme Krybit pour deux raisons : elles ont accès aux systèmes de leurs clients (effet multiplicateur), et elles sont souvent moins bien protégées que leurs clients finaux. Un MSSP ou un intégrateur compromis devient une porte d'entrée vers des dizaines d'organisations en aval.

Les plateformes d'automatisation et d'IA émergent comme une nouvelle catégorie cible. ENCFORGE cible explicitement les modèles de langage et les pipelines MLOps dans les environnements d'entreprise. Une organisation ayant déployé n8n, Make ou des pipelines LangFlow en production dispose d'une infrastructure d'automatisation qui, si compromise, peut être utilisée pour se propager latéralement à travers tous les systèmes que ces workflows connectent. La vulnérabilité n8n GHSA-gv7g-jm28-cr3m publiée cette semaine illustre exactement ce risque.

La supply chain logicielle reste une cible de choix. Les groupes les plus sophistiqués cherchent à compromettre des éditeurs ou des distributeurs de logiciels pour atteindre simultanément des milliers de victimes via une seule compromission. ShinyHunters a démontré en juillet 2026 avec la fuite EY que ce vecteur reste actif et efficace à grande échelle.

Ce que ça change concrètement pour votre stratégie de défense

Passer d'une threat intel IOC-centrée à une threat intel TTP-centrée. Les IOC (adresses IP, hashes, domaines) ont une durée de vie très courte dans un paysage fragmenté où les groupes changent régulièrement d'infrastructure. Les TTPs, encodées dans le framework MITRE ATT&CK, sont beaucoup plus stables et couvrent des comportements communs à de multiples groupes. Investir dans la détection comportementale basée sur des TTPs est structurellement plus résilient face à la fragmentation.

Renforcer la couverture sur les vecteurs d'accès initial sous-surveillés. Les équipements réseau périmètriques (VPN, firewalls, SD-WAN) restent les vecteurs préférés de nombreux nouveaux groupes. Appliquer les patches dans les 48 à 72 heures pour les CVE CVSS >= 8.0 sur ces équipements devrait être un standard non négociable. La CISA KEV est un excellent point de départ : toute CVE inscrite au catalogue KEV doit être patchée en priorité absolue. Selon une analyse de Chainguard publiée en juin 2026, 43 % des intrusions ransomware documentées en H1 2026 ont utilisé comme vecteur initial une vulnérabilité connue sur un équipement périmétrique pour laquelle un patch était disponible depuis plus de 30 jours. Ce chiffre reste structurellement stable depuis 2023.

Audit de l'exposition des plateformes d'automatisation. Si vous utilisez n8n, Make, Zapier, LangFlow, ou toute plateforme d'automatisation, auditez régulièrement les droits d'accès des utilisateurs, la version du logiciel, et l'accessibilité réseau de l'interface. Ces plateformes sont devenues des composantes critiques de l'infrastructure IT sans bénéficier du même niveau de sécurité que les systèmes traditionnels. Un compte n8n compromis, c'est potentiellement l'accès à tous les systèmes que vos workflows connectent.

Réduire le dwell time détectable. Avec des attaques plus rapides, la détection précoce devient critique. Cela passe par une couverture EDR exhaustive sans angles morts, des règles de détection de mouvement latéral (Pass-the-Hash, Kerberoasting, DCSync), et une surveillance des anomalies de volume sur les systèmes de fichiers et les transferts réseau. Un chiffrement de masse se détecte si vous avez les bonnes règles en place — mais il faut les avoir calibrées avant l'incident, pas après.

Exercices de simulation adaptés aux nouveaux groupes. Si vos exercices tabletop ou vos red teams simulent encore des scénarios LockBit ou ALPHV, c'est que vos plans de réponse sont calibrés sur le passé. Intégrer des scénarios Krybit (accès initial via équipement vulnérable, exfiltration rapide, double extorsion 96h) ou Blackfield (compromission filiale, mouvement latéral lent, exfiltration IT/OT) est indispensable pour tester des réponses opérationnelles réalistes. Selon le rapport Q2 2026 de Recorded Future, le nombre de groupes ransomware distincts revendiquant des victimes est passé de 28 en Q2 2024 à 67 en Q2 2026 — une multiplication par 2,4 en deux ans. Sur ces 67 groupes, 31 étaient actifs depuis moins de six mois.

L'économie du RaaS fragmenté : commissions, doubles extorsions et évolution des montants de rançon

La fragmentation du marché ne se limite pas au nombre d'acteurs — elle transforme aussi les mécaniques économiques qui sous-tendent chaque attaque. Dans le modèle oligopolistique de 2023-2024, les opérateurs historiques (LockBit, ALPHV) reversaient généralement 70 à 80 % des rançons collectées à leurs affiliés, en conservant le reste pour financer le développement du locker, l'infrastructure de négociation et le support technique. En 2026, la concurrence entre dizaines de groupes RaaS a fait grimper mécaniquement ces commissions : Krybit propose jusqu'à 85 %, certains groupes émergents montent à 90 % pour attirer des affiliés expérimentés dans un marché où l'offre de talents techniques reste limitée face à la demande de nouvelles marques ransomware.

Cette guerre des commissions a un effet direct sur le comportement des affiliés : plus volatils, ils changent de groupe au gré des opportunités, ce qui explique pourquoi un même mode opératoire (même loader, même technique de mouvement latéral, mêmes outils d'exfiltration) réapparaît sous des bannières différentes d'un trimestre à l'autre. Un affilié qui opérait sous Black Basta en 2025 peut très bien avoir migré vers Fog ou Underground en 2026, en conservant exactement le même arsenal technique. C'est un point clé pour les équipes de threat intelligence : suivre les groupes par nom de marque devient moins pertinent que suivre les clusters d'affiliés par leurs TTPs.

Sur le plan des montants demandés, la fragmentation a paradoxalement fait baisser la médiane des rançons initiales tout en augmentant leur variance. Les groupes de niche comme ENCFORGE, qui ciblent des PME et ETI avec une exposition financière plus limitée, demandent typiquement entre 150 000 et 800 000 dollars — des montants calibrés pour rester dans la zone où la victime négociera plutôt que de refuser catégoriquement. À l'inverse, les groupes qui héritent du savoir-faire des anciennes structures (Hunters International, RansomHub) continuent de viser des cibles à fort chiffre d'affaires avec des demandes dépassant régulièrement les 5 millions de dollars. Cette segmentation par gabarit de victime signifie qu'aucune organisation, quelle que soit sa taille, ne peut se considérer hors du radar économique d'un des dizaines de groupes actifs.

La triple extorsion — chiffrement, exfiltration de données, et pression directe sur les clients ou partenaires de la victime via emails ou appels — s'est également généralisée bien au-delà des groupes historiques qui l'avaient popularisée. Krybit a été observé envoyant des notifications automatisées aux clients B2B de ses victimes dans les 48 heures suivant l'intrusion, une tactique qui augmente la pression de négociation sans coût opérationnel significatif pour l'attaquant.

Indicateurs de compromission communs malgré la diversité des marques

Face à une cinquantaine de groupes actifs, l'approche par signature de malware ou par nom de famille ransomware atteint ses limites opérationnelles. La bonne nouvelle, documentée par les équipes de threat intelligence de Mandiant et Recorded Future sur le premier semestre 2026, c'est que malgré la prolifération des marques, les vecteurs d'accès initial et les outils post-exploitation restent remarquablement concentrés. Trois familles de vecteurs représentent encore plus de 75 % des intrusions initiales toutes marques confondues : l'exploitation de VPN et de passerelles périmétriques non patchées (Fortinet, Ivanti, Citrix), le phishing avec vol d'identifiants suivi de contournement MFA par fatigue de notification, et l'achat d'accès initial déjà compromis auprès de courtiers spécialisés (Initial Access Brokers) sur les forums cybercriminels.

Côté outillage post-compromission, la standardisation est tout aussi frappante. Cobalt Strike reste l'outil de commande et contrôle dominant, désormais souvent remplacé ou complété par Sliver ou Brute Ratel pour échapper aux signatures EDR les plus répandues. Pour l'exfiltration, Rclone configuré vers des buckets de stockage cloud (Mega, Backblaze, S3 détourné) domine très largement, suivi par WinSCP et des scripts PowerShell maison pour les groupes aux ressources plus limitées. SystemBC continue de servir de proxy SOCKS pour masquer le trafic de commande et contrôle, un choix technique qui traverse quasiment tous les groupes actifs recensés en 2026, qu'ils soient historiques ou apparus depuis moins d'un an.

Cette concentration des TTPs malgré la fragmentation des marques a une conséquence pratique directe : une stratégie de détection construite autour du framework MITRE ATT&CK, ciblant les techniques plutôt que les signatures de malware nommées, conserve une efficacité largement supérieure à une approche basée sur des indicateurs de compromission (IoC) spécifiques à chaque groupe. Les règles Sigma et YARA génériques ciblant l'usage anormal de Rclone, les connexions SystemBC, ou les patterns de mouvement latéral via WMI et PsExec restent pertinentes indépendamment du nom du groupe qui les emploie. C'est un argument fort pour réorienter les budgets de threat intelligence vers des flux qui documentent les comportements plutôt que vers de simples listes de noms de groupes émergents, dont la demi-vie opérationnelle dépasse rarement quelques mois avant qu'un rebranding ou une dissolution ne survienne.

Questions fréquentes

Qu'est-ce que fragmentation ransomware 2026 et pourquoi est-ce important ?

La réponse dépend du contexte organisationnel, mais les principes fondamentaux restent constants : évaluation du périmètre, identification des actifs critiques et priorisation par risque réel plutôt que par vulnérabilité isolée.

Comment mettre en oeuvre les bonnes pratiques liées à fragmentation ransomware 2026 ?

Une approche structurée et documentée est clé. Les outils et méthodologies évoluent rapidement — rester informé des ressources ANSSI, NIST et MITRE ATT&CK est indispensable pour adapter les recommandations génériques à chaque contexte.

Quelles ressources pour approfondir fragmentation ransomware 2026 ?

Les ressources officielles (ANSSI, CISA, CERT-FR) constituent le point de départ. Complétées par des retours d'expérience terrain, elles permettent d'adapter les recommandations aux réalités opérationnelles de chaque organisation.

Conclusion : l'adaptation permanente comme seul impératif

Il n'y a pas de stratégie de défense anti-ransomware qui reste valide plusieurs années sans être actualisée. Le paysage change trop vite. Ce que 2026 confirme clairement, c'est que la fragmentation du marché ransomware est une tendance structurelle, pas un épiphénomène post-démantèlement. Blackfield, Krybit, ENCFORGE ne sont pas les derniers nouveaux groupes que vous entendrez parler — ils sont les précurseurs d'une vague continue.

La bonne réponse à cette réalité n'est pas la panique, mais la rigueur sur les fondamentaux : patch management agressif sur les équipements périmètriques, détection comportementale TTP-centrée, couverture EDR exhaustive, sauvegardes immuables testées, et plans de réponse mis à jour en continu. Ces fondamentaux ne changent pas d'un groupe à l'autre. Ce qui change, c'est le contexte dans lequel ils s'appliquent — et c'est pour ça que la veille threat intelligence reste une activité opérationnelle, pas un nice-to-have.