Le ransomware explose de 48 % en mai 2026 alors que les attaques globales reculent

Avril 2026. Les attaques mondiales rebondissent après un premier trimestre chargé. Mai 2026. Elles redescendent de 7 % en rythme mensuel, à 2 055 attaques hebdomadaires par organisation. La tendance semble s’assagir.

Mai 2025. 472 attaques par ransomware sont signalées dans le monde. Mai 2026. 698. Une hausse de 48 % — la plus forte accélération enregistrée depuis le début de l’année.

Le rapport Check Point Research de juin 2026 livre un constat qui devrait inquiéter tous les RSSI : le volume global d’attaques ne raconte plus rien. Ce qui compte, c’est la nature de ce qui frappe encore.

Le paradoxe de mai 2026 : moins d’attaques, plus de rançons

Le chiffre brut pourrait rassurer. 2 055 attaques hebdomadaires par organisation dans le monde, c’est 7 % de moins qu’en avril 2026. La hausse annuelle se limite à 2 %. Une lecture rapide conclurait à une stabilisation du paysage des menaces.

Cette lecture est fausse.

Pendant que les volumes globaux fléchissent, le ransomware accélère dans des proportions que le rapport Check Point qualifie lui-même de « sharpest year-over-year jump of 2026 ». 698 incidents signalés publiquement, contre 472 un an plus tôt. La croissance touche toutes les régions : Asie +119 %, EMEA +40 %, Amériques +39 %. Ce n’est pas une poussée localisée. C’est une accélération distribuée.

Le paradoxe tient en une phrase : les attaquants tirent davantage de valeur de moins d’opérations. Le modèle n’est plus celui du tapis de bombes — c’est celui de la frappe chirurgicale, calibrée pour maximiser l’impact financier et la pression sur la victime.

Business Services : le secteur qui a pris +359 % en un an

La ventilation sectorielle du rapport Check Point illustre le changement de doctrine des opérateurs de ransomware avec une clarté brutale.

Le secteur Business Services concentre 35 % de toutes les victimes de ransomware en mai 2026. Le chiffre brut est encore plus saisissant : 248 incidents signalés, contre 54 en mai 2025. Une augmentation de 359 % en douze mois. Les prestataires de services — cabinets de conseil, services juridiques, gestion de paie, fournisseurs IT — sont devenus le point de pression idéal : un seul compromis peut déverrouiller l’accès à des dizaines de clients en aval.

Le secteur des biens de consommation suit la même trajectoire, avec une hausse de 223 % sur un an. L’industrie manufacturière progresse de 50 %, un chiffre cohérent avec la multiplication des incidents de supply chain documentés depuis 2024.

En volume absolu d’attaques globales — pas seulement ransomware —, c’est l’éducation qui reste en tête : 4 641 attaques hebdomadaires par organisation, +7 % sur un an. Réseaux ouverts, turnover étudiant permanent, budgets de sécurité chroniquement sous-dimensionnés : le cocktail est documenté depuis des années et rien n’a changé. Les gouvernements suivent à 2 620 attaques par semaine ; les télécoms à 2 583.

La surprise vient des secteurs émergents. L’agriculture bondit de 51 % sur un an, à 2 243 attaques hebdomadaires. L’hôtellerie et le tourisme progressent de 24 % ; la construction de 23 %. Aucun de ces secteurs n’était considéré comme une cible prioritaire il y a deux ans. La digitalisation accélérée de leurs opérations, combinée à la disponibilité massive d’outils d’attaque automatisés, change ce calcul en temps réel.

Trois groupes dominent, 61 sont actifs

Le marché du ransomware est devenu une économie à part entière. En mai 2026, 61 groupes distincts étaient actifs simultanément. Les trois premiers concentrent 39 % des attaques publiées ; les 58 autres se partagent les 61 % restants, un niveau de fragmentation qui reflète l’industrialisation et la compétition féroce du secteur.

Qilin arrive en tête avec 14 % des attaques revendiquées. Le groupe poursuit son expansion entamée après le démantèlement de RansomHub, appuyée sur une campagne agressive de recrutement d’affiliés menée depuis début 2025. Sa position dominante de mai 2026 confirme une montée en puissance continue.

The Gentlemen occupe la deuxième place avec 10 % des attaques, une position remarquable pour un groupe qui n’avait aucune activité enregistrée en mai 2025. Fondé mi-2025 par un ancien affilié de Qilin, le groupe s’est construit autour d’un accès à 14 000 appliances FortiGate pré-exploitées, mises à disposition de ses affiliés en libre-service. En moins d’un an, il est devenu l’une des menaces les plus sérieuses de l’écosystème. Ses communications internes de mai 2026 annoncent un pivot tactique : l’abandon des techniques brutales de désactivation d’EDR au profit d’une évasion userland chirurgicale — un signal clair qu’un groupe investit dans sa longévité opérationnelle.

DragonForce complète le podium à 8 %. Le groupe a grimpé de cinq places depuis janvier 2026 en absorbant les affiliés orphelins de RansomHub et en proposant un modèle white-label qui permet à chaque affilié d’opérer sous sa propre marque, sur une infrastructure partagée.

La concentration au sommet ne doit pas cacher la réalité : le ransomware est un écosystème profondément concurrentiel, où la barrière à l’entrée baisse à mesure que les plateformes de Ransomware-as-a-Service se multiplient. Un groupe émergent peut passer de zéro à une part de marché à deux chiffres en moins de douze mois.

États-Unis : 43 % des victimes mondiales à eux seuls

La répartition géographique est tout aussi concentrée. L’Amérique du Nord absorbe 49 % des incidents de ransomware signalés, suivie par l’Europe à 22 % et l’APAC à 19 %.

Les États-Unis représentent à eux seuls 43 % de toutes les victimes mondiales. Le Canada suit à 5,6 %, le Royaume-Uni à 4,6 %, l’Allemagne à 4,0 % et l’Espagne à 3,0 %.

Ce déséquilibre n’est pas nouveau, mais il s’aggrave : la concentration de sièges sociaux, de données sensibles et de capacités de paiement — rançon comme assurance cyber — fait des cibles nord-américaines le retour sur investissement le plus prévisible pour les opérateurs.

Le chiffrement recule, l’extorsion avance

Le rapport Check Point de mai 2026 s’inscrit dans une tendance plus large documentée depuis le rapport State of Ransomware Q1 2026 : le chiffrement pur des données n’est plus l’arme principale. Les groupes de ransomware modernes misent désormais sur le vol de données suivi d’une extorsion sans chiffrement, une technique qui réduit le bruit opérationnel tout en maintenant la pression sur la victime.

Le raisonnement est simple. Le chiffrement déclenche des procédures de réponse à incident immédiates, mobilise les assureurs, attire les régulateurs. Le vol silencieux de données, lui, peut passer inaperçu pendant des semaines. La menace de publication sur un data leak site suffit à forcer la négociation, sans jamais avoir à déployer de locker.

Cette évolution rend les indicateurs traditionnels — volume d’attaques, nombre de machines chiffrées — de moins en moins pertinents pour mesurer le risque réel. Ce qui compte, c’est le temps de présence moyen d’un attaquant dans le réseau avant détection. Et sur ce point, les chiffres restent mauvais.

GenAI : 1 prompt sur 25 expose des données sensibles

Le rapport Check Point consacre également une section au risque GenAI en entreprise, et les chiffres méritent qu’on s’y arrête. En mai 2026 :

• 1 prompt GenAI sur 25 émis depuis les réseaux d’entreprise présentait un risque élevé de fuite de données sensibles.
• 91 % des organisations utilisant des outils GenAI ont été exposées à ce risque.
• 22 % des prompts contenaient des informations potentiellement sensibles.
• L’utilisateur professionnel moyen a soumis 70 prompts dans le mois, sur une moyenne de 9 outils GenAI différents.

Chaque outil adopté sans cadre de gouvernance est une surface supplémentaire par laquelle des identifiants, de la propriété intellectuelle ou des données internes peuvent s’échapper sans bruit. L’exfiltration ne s’annonce pas.

Verdict

Le rapport de mai 2026 de Check Point Research est un signal d’alarme qui prend la forme d’un paradoxe statistique. Les attaques globales baissent ; le ransomware explose. La leçon est sans appel : mesurer la menace au volume d’attaques, c’est regarder le mauvais indicateur.

Les organisations doivent ajuster leur posture sur trois axes :

• Détection de la latéralisation et de l’exfiltration, pas seulement du chiffrement. Si le ransomware moderne n’a plus besoin de chiffrer pour nuire, les défenses bâties autour de la détection de lockers sont structurellement en retard.
• Gouvernance GenAI immédiate. Une politique de DLP et un cadre d’usage obligatoire — pas dans six mois. Les chiffres de Check Point montrent que le risque est déjà matérialisé dans les réseaux d’entreprise.
• Résilience de la chaîne d’approvisionnement. La hausse de 359 % dans le secteur Business Services signifie qu’un fournisseur non protégé est désormais le vecteur le plus probable d’une compromission majeure. Le questionnaire de sécurité annuel ne suffit plus : il faut du continuous monitoring.

Le paysage des menaces ne fait pas de pause. Il se réorganise plus vite que les défenses. Mai 2026 restera comme le mois où les courbes ont divergé pour de bon.

Références

• Check Point Research — Global Cyber Attacks Ease in May 2026, But Ransomware Surges 48% As Threats Reorganize
• Check Point Research — The State of Ransomware Q1 2026
• Mexico Business News — Global Ransomware Incidents Increase 48% in May 2026
• Express Computer — Global cyber attacks ease in May 2026, but ransomware surges 48%