D’après le rapport « 2026 AI-Era Ransomware Report », mené auprès de 953 professionnels de la sécurité dans douze pays par Proofpoint, l’intelligence artificielle ne crée pas de nouvelles attaques, elle rend les anciennes bien plus difficiles à repérer. Résultat, les organisations paient de plus en plus souvent une rançon, sans que cela mette fin à l’incident.
L’étude s’appuie sur les réponses de 803 organisations ayant subi un incident de ransomware au cours des douze derniers mois. Le constat qui s’en dégage est sans détour : 65 % des victimes estiment que l’IA a rendu l’attaque plus efficace, dont 28 % qui parlent d’un effet significatif. Seules 9 % n’ont trouvé aucune trace d’usage de l’IA dans l’incident qu’elles ont subi.
Les attaquants ne sortent pas de nouveaux modes opératoires de leur chapeau. Ils perfectionnent le phishing, l’usurpation d’identité et le vol d’identifiants, des techniques connues depuis des années, mais que l’IA générative rend plus convaincantes, mieux ciblées et bien plus faciles à industrialiser. Les leurres ne comportent plus les fautes de frappe ou les logos approximatifs qui permettaient jusqu’ici de les repérer d’un coup d’œil.
Le facteur humain reste la porte d’entrée principale
Les vecteurs d’accès initiaux le confirment. Les liens malveillants arrivent en tête avec 47 % des incidents, suivis de près par les pièces jointes piégées à 46 %. La collecte d’identifiants et la compromission de messagerie professionnelle complètent ce quatuor qui repose entièrement sur l’action d’un salarié qui clique, ouvre ou répond à un message qui semble légitime.
Le rapport documente aussi la montée d’une technique baptisée « device code phishing », qui détourne les flux légitimes d’autorisation d’appareils pour contourner l’authentification multifacteur. La victime saisit elle-même, sur une page d’authentification bien réelle, un code généré par l’attaquant, et lui accorde ainsi un accès sans jamais voir de mot de passe volé ni d’alerte MFA interceptée. En 2025, la quasi-totalité des organisations interrogées ont subi des tentatives de prise de contrôle de comptes, et deux tiers d’entre elles ont connu au moins une prise de contrôle réussie, y compris lorsque le MFA était activé.
Quand les organisations expliquent pourquoi leurs dispositifs de sécurité n’ont pas suffi, les réponses techniques arrivent loin derrière les réponses humaines. Quatre répondants sur dix estiment que l’attaque paraissait suffisamment légitime pour ne pas éveiller les soupçons de leurs employés, et près de quatre sur dix évoquent une interaction directe d’un utilisateur avec le contenu malveillant. Les défaillances des outils email eux-mêmes ne sont citées que par un tiers des répondants. Le rapport pointe également une nouvelle méthode en plein essor, ClickFix, qui pousse la victime à copier-coller elle-même une commande malveillante en réponse à un faux message d’erreur ou une fausse mise à jour, contournant ainsi entièrement l’analyse classique des pièces jointes puisqu’aucun fichier n’est en cause.
Le paiement n’est plus une sortie de crise
Plus de la moitié des organisations touchées, 54 % au niveau mondial, ont fini par payer une rançon, malgré des années de mises en garde des autorités. Ce chiffre masque des écarts considérables selon les pays. Aux États-Unis, 93 % des organisations concernées ont payé, contre seulement 19 % en Italie. Mais payer ne referme plus le dossier. Plus d’un tiers des organisations qui ont réglé une rançon ont ensuite reçu une seconde demande d’extorsion, et près de 2 % ont payé sans jamais retrouver l’accès à leurs systèmes.
Cette dynamique s’explique par l’ampleur du vol de données qui accompagne désormais la quasi-totalité des incidents. Environ deux tiers des organisations touchées ont subi une forme d’exfiltration, qu’il s’agisse de données confirmées comme sensibles ou de données dont la nature n’a pas pu être établie. Le ransomware ressemble de moins en moins à un simple verrouillage de systèmes et de plus en plus à une négociation prolongée, où l’attaquant conserve plusieurs leviers de pression simultanés : chiffrement, données volées et menace de divulgation publique.
Face à ce constat, l’éditeur recommande de concentrer les efforts sur trois fronts : bloquer les menaces avant qu’elles n’atteignent les salariés, protéger les identités contre la prise de contrôle de comptes, et réduire le délai entre détection et réponse pour éviter qu’un identifiant volé ne se transforme en cycle d’extorsion complet.
