Ransomwares : l’extorsion vise désormais les salariés et leurs proches

C’est l’un des enseignements majeurs du Ransomware Risk Report 2026 de Semperis, qui dresse un tableau particulièrement préoccupant pour les organisations françaises.

L’IA entre pleinement dans l’arsenal des attaquants

En France, l’intelligence artificielle a été mobilisée dans 100% des attaques par ransomware analysées, contre 84% à l’échelle mondiale. Un écart qui place l’Hexagone à la pointe (ou plutôt dans la ligne de mire) de cette industrialisation des cyberattaques. L’IA permet notamment d’accélérer la reconnaissance des vulnérabilités, de produire des messages de phishing plus crédibles et d’adapter les scénarios d’ingénierie sociale à chaque cible.

Cette évolution ne se limite pas aux outils utilisés par les pirates. À l’international, 44% des victimes déclarent que leurs propres agents ou systèmes d’IA ont été exploités lors de l’attaque. Les entreprises qui connectent des assistants IA à leurs données, applications et annuaires d’identité doivent donc les considérer comme une surface d’attaque à part entière.

« Le fait que l’IA ait été utilisée dans 100% des attaques recensées en France montre à quel point elle est désormais intégrée à l’arsenal des cybercriminels », alerte Matthieu Trivier, VP of Pre-Sales EMEA chez Semperis. Autre alerte « les attaquants cherchent de nouveaux moyens d’exercer une pression directe sur les organisations, jusqu’à menacer leurs salariés et leurs proches ».

Une extorsion de plus en plus personnelle

Le rapport documente un basculement inquiétant : la pression ne s’exerce plus seulement sur le système d’information, mais aussi sur les personnes. Dans les neuf pays étudiés, l’intimidation psychologique apparaît dans près de 25% des attaques, et les menaces ont été mises à exécution dans 53% des cas.

En France, 6% des attaques comportent des menaces physiques et 17% visent des membres de la famille ou des proches. À l’échelle mondiale, 24% des victimes ou de leurs familles ont été confrontées au swatting (fausses alertes destinées à provoquer l’intervention des forces de l’ordre) tandis que 25% ont nécessité une prise en charge médicale ou psychologique.

« Une attaque par ransomware fait monter ce stress à un tout autre niveau », témoigne Tim Beasley, Senior Incident Response Consultant chez Semperis, qui souligne l’impact direct de ces crises sur la santé mentale des équipes informatiques et de sécurité.

L’identité, nouvelle ligne de front

Les infrastructures d’identité restent le maillon faible privilégié. Au niveau mondial, 87% des attaques ont ciblé ou exploité des systèmes tels qu’Active Directory, Microsoft Entra ID ou Okta. En France, cette part atteint 40%, ce qui confirme la centralité des identités dans la chaîne d’attaque : une fois un compte à privilèges compromis, l’attaquant peut se déplacer latéralement, désactiver les défenses et verrouiller l’organisation.

Pourtant, la capacité de restauration ne suit pas. Seules 31% des entreprises françaises interrogées disposent de sauvegardes dédiées à l’identité, et 30% seulement ont automatisé la restauration de leur système d’identité. Les plans de reprise intègrent une procédure de restauration d’Active Directory dans 23% des cas, d’Entra ID dans 33% et d’Okta dans 19%.

Attaques répétées et paiements multiples

La résilience reste également fragilisée par la récurrence des incidents. Près de 70% des organisations victimes ont été ciblées à plusieurs reprises, et 31% ont versé plusieurs rançons. Cette dynamique montre que le paiement ne garantit ni la fin de l’incident, ni l’effacement des accès obtenus par les attaquants.

Les plans de réponse obsolètes constituent, selon l’étude, le premier obstacle à une gestion de crise efficace en France. Le manque de personnel expérimenté et les insuffisances de formation des collaborateurs aggravent encore ce déficit de préparation.

Ce que les RSSI doivent en retenir

Pour réduire l’exposition, les organisations doivent articuler plusieurs chantiers :

• Cartographier et surveiller en continu les identités privilégiées, notamment dans Active Directory, Entra ID et Okta.
• Mettre en place des sauvegardes d’identité isolées, testées et restaurables rapidement.
• Intégrer les agents IA au périmètre de sécurité : contrôles d’accès, journalisation, supervision et réponse aux abus.
• Actualiser les plans de crise et les exercer, y compris sur les scénarios de compromission d’identité.
• Préparer un volet humain : accompagnement des équipes, procédures de signalement et gestion des menaces visant les collaborateurs.

« L’identité est la monnaie d’échange ». Si un attaquant parvient à en compromettre une, il peut agir très vite, souvent avant même que l’organisation n’ait identifié l’intrusion.

À mesure que l’IA abaisse le coût des attaques et que l’extorsion devient plus intrusive, la cyber-résilience ne peut plus se limiter à la prévention. Elle impose désormais de pouvoir continuer à opérer, restaurer les identités critiques et protéger les personnes qui font tourner l’entreprise.

Source : Ransomware Risk Report 2026 de Semperis – 9 pays étudiés : la France, les États-Unis, le Royaume-Uni, l’Allemagne, l’Italie, l’Espagne, Singapour, le Canada et l’Australie

Ressources complémentaires sur ITPro.fr

Ransomware : l’IA accélère le vol de données et place les dirigeants dans le viseur

Ransomware en santé : la double extorsion fait exploser la facture en Europe