Ransomwares en France : 85 % des attaques sont d'abord des attaques d'identité

Selon la 7ᵉ édition de l'étude annuelle de Sophos sur l'état des ransomwares, 85 % des organisations françaises touchées par un ransomware au cours des douze derniers mois confirment que cet incident correspondait aussi à leur attaque d'identité la plus grave de l'année — contre 67 % en moyenne mondiale. Un écart de 18 points qui place la France dans une situation singulière, et qui rappelle aux DPO et RSSI que la protection des identifiants est devenue un prérequis de conformité RGPD.

Ce qui s'est passé

Sophos a interrogé 2 158 responsables informatiques et cybersécurité dans le monde, dont 129 en France, tous issus d'organisations de 100 à 5 000 salariés ayant subi une attaque de ransomware au cours des douze derniers mois. L'enquête, menée entre janvier et mars 2026, établit pour la première fois un lien statistique net entre compromission d'identité et incident de ransomware dans l'Hexagone.

Les identifiants compromis arrivent en tête des causes premières (30 % des cas), devant le phishing (27 %) et les emails malveillants (20 %). À l'inverse, l'exploitation de vulnérabilités techniques recule fortement, à 13 % contre 30 % un an plus tôt. Hors vecteurs email et phishing, les applications et systèmes exposés constituent le point d'entrée le plus fréquent (46 %), devant les terminaux utilisateurs (22 %) et les VPN (15 %) — la France affichant le taux le plus élevé de compromissions liées aux VPN parmi tous les pays sondés. Côté causes organisationnelles, le manque de personnel ou de capacités arrive en tête (40 %), suivi du manque de protection (38 %) et du manque d'expertise (33 %).

60 % des attaques ont abouti à un chiffrement des données en France (contre 56 % en moyenne mondiale), mais le vol de données associé chute nettement à 18 %, contre 44 % l'an dernier. Le paiement de rançon reste répandu : 36 % des organisations ont payé pour récupérer leurs données, en légère hausse. Le montant médian des demandes s'établit à 500 000 $, en repli de 22 % sur un an, mais le coût moyen de remise en état hors rançon explose à 2,02 millions $, en hausse de 66 %.

Pourquoi c'est important pour la conformité RGPD

Une attaque d'identité qui débouche sur un ransomware touche presque toujours des données à caractère personnel : identifiants de connexion, annuaires RH, bases clients. Dès lors qu'un chiffrement ou une exfiltration est confirmé, l'organisation entre dans le champ de l'article 33 du RGPD et de son délai de notification de 72 heures à la CNIL, avec en parallèle l'obligation d'information des personnes concernées prévue à l'article 34 lorsque le risque est élevé. Notre guide sur la violation de données : comment réagir et se protéger détaille la procédure à suivre pas à pas dès la détection d'un incident.

Ce que révèle l'étude Sophos, c'est que la porte d'entrée n'est presque jamais la faille technique la plus sophistiquée : c'est le compte compromis, le mot de passe réutilisé, le VPN mal configuré. Notre guide complet sur les ransomwares revient sur les mécanismes de ces attaques et sur les mesures de sécurité attendues au titre de l'article 32 du RGPD.

Ce que ça change pour les organisations

Trois priorités ressortent de cette étude pour les équipes DPO et RSSI. D'abord, traiter la gestion des identités comme un sujet de conformité à part entière : authentification multifacteur généralisée, rotation et complexité des mots de passe — notre guide pour générer un mot de passe sécurisé conforme aux recommandations CNIL donne des repères concrets. Ensuite, sécuriser en priorité les accès distants : la France se distinguant par le taux le plus élevé de compromissions liées aux VPN, un audit des accès à distance et des passerelles exposées devient urgent. Enfin, muscler la capacité de réponse : 76 % des organisations françaises ayant restauré leurs données via des sauvegardes (contre 60 % en 2025), la fiabilité et le test régulier des plans de sauvegarde restent le facteur qui pèse le plus sur le délai de rétablissement — et donc sur la capacité à respecter les délais de notification RGPD.

Notre guide des 5 bonnes pratiques en matière de cybersécurité reprend ces réflexes essentiels pour réduire la surface d'attaque avant qu'un incident ne déclenche les obligations de notification.

Ce que Leto pense de cette étude

Ce chiffre de 85 % devrait déplacer le centre de gravité des budgets cybersécurité des entreprises françaises. Beaucoup d'organisations continuent d'investir prioritairement dans la détection de failles techniques, alors que l'étude Sophos confirme que le maillon faible reste humain et organisationnel : identifiants réutilisés, VPN mal surveillés, équipes en sous-effectif. Pour les DPO, c'est un argument de poids pour faire inscrire la gestion des identités et des accès à l'ordre du jour du comité de direction, au même titre que la conformité RGPD elle-même — les deux sujets étant, la donnée le prouve une nouvelle fois, indissociables.

Sources : Silicon.fr — En France, 85 % des ransomwares sont d'abord des attaques d'identité, Sophos — State of Ransomware in France 2026 (PDF)