NCC Group recense 2 865 victimes de rançongiciels au troisième trimestre 2026, en hausse de 23 %

NCC Group a enregistré 2 865 victimes revendiquées par des groupes de rançongiciels au troisième trimestre 2026, contre 2 325 au deuxième trimestre, soit une progression de 23 %. Ces chiffres viennent de son rapport de renseignement sur les cybermenaces pour le T3 2026. Le secteur industriel concentre 29 % des attaques du trimestre, précise le document.

Recul des attaques en septembre

En septembre, les attaques ont baissé de 26 % sur un mois, à 821. L'Amérique du Nord en a compté 390 ce mois-là, devant l'Europe avec 211. Qilin reste le groupe le plus actif pour le sixième trimestre consécutif, avec 365 victimes. The Gentlemen suit avec 356, puis INC Ransom avec 109.

Perturbation d'une infrastructure critique

Le rapport revient sur une cyberattaque de juillet contre une petite installation britannique de production d'électricité. L'exploitation a été forcée de s'arrêter pendant environ quatre jours. L'incident n'a pas touché le réseau électrique national. Selon le rapport, les techniques employées correspondent à celles déjà associées à des campagnes liées à l'Iran, notamment des attaques contre des automates industriels exposés sur internet. Le gouvernement britannique n'a pas attribué formellement l'attaque et les techniques restent non confirmées.

Le rapport pointe aussi la jonction entre l'informatique et les technologies opérationnelles, où la maintenance à distance et la gestion centralisée relient les réseaux d'usine aux systèmes de bureau. Il recommande de segmenter les réseaux, de renforcer le contrôle des accès privilégiés et de surveiller en continu les environnements OT.

Failles exploitées et courtiers d'accès

Plus de 40 vulnérabilités touchant des applications d'entreprise, des équipements VPN, des passerelles de messagerie et des plateformes de gestion ont rejoint le catalogue des vulnérabilités exploitées connues de la CISA au cours du trimestre, indique le rapport. Gunra, une opération de rançongiciel en tant que service, avait visé 53 victimes dans plusieurs secteurs à la fin du T3. Le groupe a exploité CVE-2024-55591 et CVE-2025-24472 sur des appareils Fortinet exposés sur internet. Il s'est ensuite servi d'identifiants volés, de détournement de session et d'outils d'administration pour circuler d'un système à l'autre avant de déployer son rançongiciel.

Des courtiers d'accès initiaux proposaient des accès compromis à des VPN, au protocole RDP et à SSH, ainsi que des accès à des identités cloud, à des dépôts de code source et à des plateformes de gestion de la sécurité. Parmi les groupes émergents figurent Deadlock et Storm, ce dernier revendiquant 78 victimes fin septembre.

Outils d'IA dans la chaîne d'attaque

NCC Group décrit BraZetsu, un cadre logiciel malveillant Windows dopé à l'IA, devenu une boîte à outils spécialisée pour l'accès initial. D'après le rapport, il utilise des modèles d'IA pour automatiser le profilage des victimes, analyser les environnements compromis et repérer les systèmes d'entreprise de valeur. Il cherche des logiciels d'entreprise, des données financières, des certificats numériques et des identifiants cloud. Les opérateurs peuvent ainsi revendre des accès compromis à d'autres criminels.

Le rapport signale aussi les risques liés aux agents d'IA légitimes : injection de consignes, permissions excessives et accès involontaire à des systèmes externes. Il cite des incidents survenus dans des systèmes gouvernementaux américains et australiens, où des agents ont atteint des ressources hors de leur périmètre prévu. Les chercheurs précisent que ces incidents n'impliquent pas forcément une intention malveillante, mais peuvent produire des conséquences comparables à une intrusion classique.

Les recommandations de NCC Group portent sur l'essentiel : segmenter les réseaux, encadrer les accès privilégiés et surveiller les environnements OT en continu. Les chiffres du rapport montrent pourquoi ces mesures comptent. Un seul équipement exposé ou un identifiant volé suffit encore à ouvrir la voie au chiffrement et à l'extorsion.