Ransomware 2026 : les familles des dirigeants dans le viseur

Quand le ransomware quitte le cyberespace pour cibler les personnes

Le 14 octobre 2026, Semperis, spécialiste de la résilience liée à l'identité numérique, a publié son rapport annuel sur le risque ransomware, le Semperis 2026 Ransomware Risk Report. Fondé sur les réponses de 1 200 professionnels de la sécurité et des systèmes d'information dans neuf pays et huit secteurs d'activité, ce rapport documente une évolution inquiétante : le ransomware ne se contente plus de chiffrer des fichiers ou d'exfiltrer des données. Il s'attaque désormais aux individus eux-mêmes.

La statistique la plus frappante du rapport est que 37 % des attaques ransomware ayant touché les organisations interrogées comportaient des menaces explicitement dirigées contre les amis ou les membres de la famille des victimes. C'est une rupture nette avec les pratiques observées il y a encore deux ou trois ans, où la pression se limitait à la menace de publication des données volées.

Les formes que prennent ces menaces sont multiples et graduées. Selon les déclarations des répondants, 57 % ont reçu des messages, lettres ou colis menaçants. 19 % ont signalé des menaces d'intrusion physique à domicile. 17 % ont été confrontés à des tentatives d'enlèvement ou à des menaces en ce sens. 13 % ont reçu des menaces de violences corporelles directes. Ces chiffres ne sont pas hypothétiques : dans 53 % des cas rapportés, les attaquants ont effectivement mis leurs menaces à exécution, passant à l'acte concret.

Le swatting, pratique consistant à appeler les services d'urgence sous une fausse identité pour déclencher une intervention armée au domicile d'une victime, a été signalé par 23 % des organisations touchées. Cette tactique, longtemps associée aux harcèlements de la communauté gaming, est désormais instrumentalisée comme levier d'extorsion professionnelle. Les conséquences humaines sont documentées : un quart des organisations (25 %) indiquent que des employés ou leurs proches ont eu besoin de soins médicaux ou d'un suivi psychologique. Dans le même proportion, des données personnelles ont été exposées publiquement via des opérations de doxxing. 24 % ont dû embaucher des agents de sécurité personnelle, et 14 % ont vu des collaborateurs contraints de changer de poste, de bureau ou de lieu de résidence.

Sur le plan technique, le rapport confirme l'industrialisation de l'IA dans les campagnes offensives. Dans 87 % des incidents recensés, l'intelligence artificielle était weaponisée côté attaquant. L'IA permet d'accélérer la phase de reconnaissance, de personnaliser les messages de phishing, d'automatiser l'exfiltration et de générer des deepfakes vocaux pour duper les équipes de sécurité lors des appels de validation. En parallèle, 87 % des attaques ciblaient ou exploitaient l'infrastructure d'identité : Active Directory, Entra ID, systèmes SSO. Le vol ou la compromission des identifiants reste le vecteur d'entrée dominant.

Le secteur de la santé est particulièrement mis en lumière dans le rapport. Les incidents ransomware visant les hôpitaux, cliniques et prestataires de soins ont atteint une moyenne de 3,33 attaques par jour au troisième trimestre 2026, soit plus du double du rythme observé au troisième trimestre 2025. L'attractivité du secteur pour les cybercriminels tient à plusieurs facteurs : données de santé très valorisées sur les marchés illicites, tolérance zéro pour les interruptions de service qui pousse les victimes à payer rapidement, et systèmes souvent vieillissants et mal patchés.

Le rapport Semperis intervient dans un contexte où plusieurs grandes organisations françaises et européennes ont été victimes d'attaques ransomware avec composante d'extorsion personnelle au cours des derniers mois. Les équipes de réponse aux incidents observent une augmentation des appels téléphoniques directs aux dirigeants, accompagnés de preuves d'accès à leurs informations personnelles, adresses domiciliaires ou photographies de leurs enfants.

D'un point de vue géographique, le rapport couvre neuf pays, dont des États membres de l'Union européenne, le Royaume-Uni, les États-Unis, le Canada et l'Australie. Les résultats montrent que la tendance à la personnalisation des menaces n'est pas limitée à un contexte culturel ou géographique particulier : elle est observée sur l'ensemble des zones étudiées.

Une escalade qui redéfinit la gestion de crise cyber

La montée des menaces physiques dans les campagnes ransomware oblige les organisations à repenser en profondeur leur approche de la gestion de crise. Pendant longtemps, un incident ransomware était traité comme un problème purement technique et financier : isoler les systèmes, évaluer l'étendue du chiffrement, décider de payer ou non, restaurer les sauvegardes. Les plans de continuité d'activité (PCA) et les plans de reprise après sinistre (PRA) restaient confinés au périmètre informatique.

Le rapport Semperis 2026 marque un tournant : les équipes de sécurité doivent désormais intégrer des protocoles de protection physique dans leurs playbooks de réponse aux incidents. Cela inclut la formation des dirigeants et de leurs familles aux risques de swatting et de doxxing, la mise en place de canaux de communication sécurisés alternatifs, et la coordination avec les services de police locaux en cas d'alerte.

Cette évolution n'est pas sans précédent dans l'histoire de la criminalité organisée. Les groupes de crime organisé ont longtemps utilisé la menace physique pour garantir le paiement de rançons dans d'autres contextes. Le ransomware opère aujourd'hui comme une branche criminelle industrialisée, adoptant les mêmes tactiques de coercition tout en bénéficiant de l'anonymat et de la scalabilité offerts par les outils numériques.

Pour les responsables de la sécurité (RSSI) et les directions générales, le message est clair : la cyber-résilience ne peut plus être dissociée de la sécurité physique. Les budgets alloués à la protection des systèmes doivent être complétés par des investissements dans la sensibilisation des équipes, la protection des données personnelles des dirigeants sur les plateformes publiques, et la définition de procédures d'urgence en cas d'escalade vers le monde physique.

Ce qu'il faut retenir

• 37 % des attaques ransomware en 2026 comportent des menaces contre les proches des victimes, une tactique désormais systématisée par les groupes criminels.
• L'IA est présente dans 87 % des incidents, servant à personnaliser les attaques, automatiser l'exfiltration et contourner les contrôles d'identité.
• Les RSSI doivent intégrer des protocoles de sécurité physique dans leurs plans de réponse aux incidents ransomware, notamment la protection des dirigeants et de leur entourage.