Panorama 2025 de l'ANSSI : l'exfiltration prend le pas sur le rançongiciel

Le Panorama de la cybermenace 2025, publié par le CERT-FR le 11 mars 2026, contient une observation qui mérite d'être lue deux fois : sur le volet cybercriminel, il est constaté une baisse de l'utilisation de rançongiciels au profit d'une augmentation significative de la seule exfiltration de données. Nous en tirons quatre conséquences pratiques.

1. La sauvegarde ne protège plus contre le scénario dominant

Cinq ans d'investissement collectif ont porté sur la résilience au chiffrement : sauvegardes immuables, copies hors ligne, exercices de restauration. Cet effort était justifié et reste nécessaire. Mais il répond à une question que l'attaquant pose de moins en moins.

Contre une exfiltration seule, une sauvegarde parfaite ne sert à rien. Les données n'ont pas été détruites, elles ont été copiées. Le levier de négociation n'est plus l'indisponibilité mais la publication — et il n'existe aucun équivalent technique de la restauration face à une donnée déjà sortie. Une organisation qui mesure sa maturité à son temps de restauration mesure sa résistance au scénario d'hier.

2. Le scénario silencieux devient le scénario majoritaire

Un rançongiciel s'annonce. L'exfiltration seule, non : elle est détectée quand l'attaquant décide de se manifester, ou jamais. Les capacités de détection construites autour des marqueurs de chiffrement — pics d'écriture, extensions renommées, suppression des clichés instantanés — n'ont rien à traiter.

• Surveiller les volumes sortants par utilisateur et par serveur, avec un référentiel de normalité. C'est l'indicateur le plus directement lié au scénario, et il est rarement en place.
• Instrumenter les accès aux dépôts de documents : un compte qui consulte en deux jours plus de fichiers qu'en six mois est un signal fort, indépendant de tout logiciel malveillant.
• Surveiller les canaux d'exfiltration légitimes — services de stockage grand public, transferts chiffrés sortants, applications de synchronisation — plutôt que les seuls canaux exotiques.

3. L'outillage légitime n'est plus un marqueur d'acteur étatique

Le Panorama relève que les frontières traditionnelles entre acteurs étatiques et cybercriminels ont continué de s'éroder, ce qui complexifie notamment le processus d'imputation. Le détournement à des fins malveillantes d'outils et de services légitimes n'est plus, précise le rapport, une pratique caractéristique des groupes réputés liés à des États.

Conséquence directe pour un analyste : constater qu'un intrus opère avec des binaires d'administration système et des services d'hébergement commerciaux ne renseigne plus sur son profil ni sur ses intentions. La discrétion s'est démocratisée. Il faut cesser de déduire la gravité d'un incident de la sophistication apparente de l'outillage, et la déduire de ce à quoi l'intrus a eu accès.

4. La vitesse d'exploitation reste le facteur dimensionnant

Le rapport confirme que les attaquants exploitent toujours des vulnérabilités, massivement et de manière opportuniste, ou plus ciblée selon la finalité recherchée — et que celles visant les équipements de bordure et les solutions exposées sur Internet peuvent être exploitées très rapidement. L'année 2026 l'a amplement illustré, avec plusieurs alertes CERT-FR sur des équipements d'accès distant activement exploités.

Le délai réel entre la publication d'un avis et l'application du correctif sur le parc exposé est, à notre avis, le meilleur indicateur unique de maturité d'une organisation. Il est mesurable, il est comparable dans le temps, et il ne se maquille pas.

Ce que nous faisons évoluer dans nos missions

• Ajouter au plan de continuité un volet « publication de données » distinct du volet « indisponibilité » : qui qualifie, qui notifie la CNIL dans les 72 heures, qui parle aux clients concernés, avec quels éléments de langage préparés.
• Faire porter l'exercice de crise annuel sur une fuite de données plutôt que sur un chiffrement — l'exercice est plus inconfortable, ce qui est exactement la raison de le faire.
• Classifier les dépôts documentaires par sensibilité avant l'incident. Le jour venu, la première question posée par la direction est « qu'est-ce qui est parti », et la réponse dépend d'un travail d'inventaire qui ne s'improvise pas.

Le Panorama note enfin que l'ANSSI a pu s'appuyer, en 2025 comme les années précédentes, sur des fuites de données affectant les acteurs cybercriminels eux-mêmes, permettant de mieux comprendre leur fonctionnement. La lecture intégrale du rapport vaut le temps qu'elle prend.