Paiements de rançongiciel 2025 : Moins d'argent malgré un nombre record d'attaques

Le paysage de la cybersécurité en 2025 présente une image paradoxale : alors que les attaques par ransomware atteignent leur niveau record, les rançons effectivement payées diminuent. Selon Chainalysis, l’année dernière, 820 millions de dollars ont été versés en paiements on-chain aux attaquants, soit une baisse de 8 % par rapport à l’année précédente avec environ 892 millions de dollars.

Le jeu des chiffres : plus de victimes, moins de revenus

Ce qui est réellement choquant dans les données de 2025, c’est le décalage entre la fréquence des attaques et les revenus réels pour les criminels. Le nombre de victimes de ransomware signalées a augmenté de 50 %, faisant de cette année une année record en termes d’attaques. Pourtant, les paiements de rançon sont restés bien en dessous des attentes.

Cela a conduit à un ratio moyen entre la rançon payée et le nombre de victimes de seulement 28 % en 2025, atteignant un niveau historiquement bas. Cependant, le rapport de Chainalysis indique que le montant final des paiements pourrait atteindre jusqu’à 900 millions de dollars, une fois que d’autres cas seront documentés et attribués. Même dans ce scénario, la différence avec 2024 resterait marginale, reflétant une stagnation.

Un phénomène particulièrement intéressant apparaît avec la demande médiane de rançon : celle-ci a explosé de 368 % en 2025, passant de 12 738 dollars l’année précédente à 59 556 dollars. Cela suggère que, bien que moins de victimes aient effectivement payé, celles qui l’ont fait ont transféré des montants beaucoup plus importants. Cette évolution révèle un changement dans les tactiques de ransomware.

Pourquoi les attaquants ont changé de stratégie

Les experts attribuent cette évolution à plusieurs facteurs imbriqués. Premièrement, les mesures de lutte contre les infrastructures de ransomware et leurs opérateurs se sont considérablement renforcées à l’échelle mondiale. Deuxièmement, le marché du ransomware lui-même s’est décentralisé : au lieu de quelques variantes dominantes et de groupes centralisés, de nombreux petits collectifs indépendants ont émergé. Cette fragmentation complique non seulement la traçabilité, mais aussi l’attribution fiable des flux de paiement à des groupes spécifiques.

Les cybercriminels ont réagi à cette pression en modifiant leur stratégie : ils se concentrent de plus en plus sur des petites et moyennes organisations plutôt que sur de grandes entreprises. La logique derrière cela est simple – des cibles plus petites sont perçues comme plus coopératives pour négocier la rançon et attirent moins l’attention publique. En conséquence, on observe moins d’attaques spectaculaires, mais une surface d’attaque plus large.

Répartition géographique et sectorielle des menaces

L’analyse géographique montre que les États-Unis restent la principale zone cible, suivis du Canada, de l’Allemagne et du Royaume-Uni. Dans ces pays, les secteurs de la fabrication et des services financiers/assurances sont particulièrement visés. Cependant, Chainalysis avertit que les acteurs de ransomware agissent généralement de manière opportuniste – ils exploitent moins des secteurs ou des saisons spécifiques, et plus des vulnérabilités, des mauvaises configurations ou des failles de sécurité récemment découvertes.

Malgré cette tendance vers des cibles plus petites, plusieurs incidents majeurs ont marqué 2025. L’attaque contre Jaguar Land Rover a causé des pertes estimées à 2,5 milliards de dollars. Le groupe Scattered Spider a également mené une attaque contre la chaîne de magasins britannique Marks & Spencer, interrompant ses opérations et causant des pertes importantes. Ces incidents montrent que des groupes organisés de grande envergure disposent toujours de la capacité et de l’intérêt pour cibler des cibles de haute valeur.

Perspectives : un paysage de ransomware en mutation

Les données de 2025 dessinent le portrait d’un paysage de menaces en diversification. Avec plus d’attaques mais des paiements moyens plus faibles, et des paiements médians en hausse, la lutte contre le ransomware devient une tâche encore plus complexe. Les organisations de toutes tailles doivent renforcer leurs mécanismes de défense, car le caractère décentralisé du marché moderne du ransomware signifie que les menaces peuvent venir de partout – pas seulement de grands acteurs établis.