Le poids stratégique des ransomwares industriels s’étend au-delà des usines

Les attaques contre l’industrie manufacturière augmentent fortement en 2026

Les attaques par ransomware contre les industriels se sont accélérées au cours des sept premiers mois de 2026, avec 1 183 incidents rendus publics. Cela représente une hausse de 40 % par rapport à la même période en 2025.

Les chiffres globaux sont tout aussi significatifs. Le rapport 2026 Manufacturing & Distribution Ransomware Report de Black Kite recense 5 237 victimes rendues publiques dans les secteurs manufacturier et de la distribution entre janvier 2023 et juillet 2026.

Cette hausse ne s’explique pas uniquement par l’attrait des grandes marques industrielles. Les industriels sont des cibles privilégiées, car leurs calendriers de production, leurs engagements de livraison et leurs relations avec leurs fournisseurs tolèrent difficilement les interruptions prolongées. Une compromission chez un fabricant de composants de taille moyenne peut perturber des entreprises beaucoup plus importantes qui n’ont pourtant pas été directement touchées.

Les attaquants peuvent également évaluer les cibles potentielles avant de tenter une intrusion. Les faiblesses visibles publiquement — notamment les systèmes exposés à Internet et non corrigés, les services accessibles, les identifiants divulgués et les contrôles de sécurité mal configurés — peuvent révéler quelles organisations sont à la fois accessibles et susceptibles de subir une forte pression opérationnelle.

Les opérateurs de ransomware bénéficient ainsi d’un contexte de négociation favorable. Lorsqu’une ligne de production s’arrête, les dommages financiers s’accumulent heure après heure, tandis que les retards de livraison transmettent les perturbations aux clients et aux partenaires.

Cette tendance n’est liée ni à une vulnérabilité divulguée particulière, ni à un logiciel, ni à un fournisseur donné. Aucun CVE, aucune plage de versions concernée, aucun correctif ni aucune mesure technique corrective confirmée n’a été identifié pour les incidents recensés dans le rapport.

Jaguar Land Rover illustre l’ampleur économique potentielle

L’attaque contre Jaguar Land Rover montre comment une perturbation liée à un ransomware peut s’étendre d’un constructeur à l’ensemble de l’économie.

Pendant tout le mois de septembre 2025, l’entreprise a fermé ses usines britanniques à la suite de l’incident. L’arrêt a interrompu la production d’environ 1 000 véhicules haut de gamme par jour et affecté plus de 5 000 autres entreprises.

Les conséquences ont dépassé le cercle des fournisseurs et prestataires directement connectés. La Bank of England a identifié l’incident comme l’un des facteurs ayant contribué au ralentissement de la croissance nationale. Jaguar Land Rover a ensuite annoncé la suppression de 4 000 emplois, en attribuant ces réductions à la cyberattaque.

Le UK’s Cyber Monitoring Centre a estimé l’impact financier total à 1,9 milliard de livres sterling. Il a qualifié l’événement de cyberattaque la plus dommageable sur le plan économique de l’histoire du Royaume-Uni, devant l’impact de l’épidémie WannaCry de 2017.

Une telle ampleur explique pourquoi les industriels offrent un levier de pression particulièrement important aux groupes d’extorsion. La restauration de l’informatique de l’entreprise ne suffit pas forcément à redémarrer immédiatement une usine. Les machines de production, les systèmes de gestion des stocks, les processus de contrôle qualité, les communications avec les fournisseurs et la planification des livraisons peuvent rester perturbés après les premières opérations de confinement.

Les coûts continuent également de se propager au-delà du réseau de la victime. Les fournisseurs peuvent perdre des commandes, les entreprises de logistique ne plus rien avoir à transporter et les clients se retrouver dans l’incapacité d’achever leurs propres produits.

De nouveaux groupes de ransomware s’emparent rapidement de victimes industrielles

L’augmentation du volume des attaques s’est accompagnée d’un renouvellement rapide des opérateurs de ransomware. Environ la moitié des attaques contre le secteur manufacturier recensées en 2026 ont été attribuées à des groupes qui n’existaient pas encore deux ans plus tôt.

The Gentlemen illustre clairement cette accélération. Black Kite a observé le groupe pour la première fois en septembre 2025. À la mi-2026, celui-ci avait revendiqué 142 victimes dans le secteur manufacturier et représentait 12 % des attaques de l’année.

Le classement publié des principaux groupes de ransomware était le suivant :

1. Qilin
2. The Gentlemen
3. Akira
4. DragonForce
5. INC Ransom

Ferhat Dikbiyik, directeur de la recherche et du renseignement chez Black Kite, a expliqué l’attrait du secteur par l’effet immédiat que les intrusions peuvent avoir sur la production et les obligations de livraison. Plus une usine reste à l’arrêt, plus la pression en faveur d’une négociation augmente.

L’émergence de nouveaux groupes complique également la planification de la défense. Les organisations ne peuvent pas se concentrer exclusivement sur un nombre limité de marques de ransomware établies, d’autant que de nouveaux opérateurs peuvent accumuler rapidement les victimes. L’exposition à prendre en compte est celle de l’infrastructure accessible et des conséquences opérationnelles, et non le seul nom associé à une revendication publiée sur un site de fuite de données.

L’Europe absorbe une part croissante des attaques contre l’industrie

La répartition géographique a fortement évolué au profit de l’Europe. Les attaques dans la région ont augmenté de 85 %, tandis que le total enregistré aux États-Unis est resté pratiquement inchangé par rapport à 2025.

Les États-Unis sont restés la région la plus ciblée, avec 412 attaques, mais leur part de l’activité déclarée est passée de 52 % à 35 %. L’Europe a enregistré 369 attaques, tandis que le reste du monde en a comptabilisé 402, soit presque deux fois plus que lors de la période précédente.

L’Allemagne a concentré l’essentiel de la hausse européenne, avec 77 attaques. L’impact potentiel à l’échelle nationale est considérable, car l’industrie manufacturière représentait 20 % de l’économie allemande en 2024.

SafePay était à l’origine de 22 % des attaques en Allemagne en 2025 et figurait toujours parmi les groupes de ransomware les plus actifs du pays en 2026. Parmi les autres pays européens fortement touchés figuraient l’Italie, avec 57 incidents, le Royaume-Uni, avec 43 incidents, et la France, avec 40 incidents.

Ces chiffres n’indiquent pas que les États-Unis soient devenus stratégiquement secondaires. Ils montrent plutôt que les opérateurs de ransomware étendent leurs activités à d’autres pôles industriels, où les arrêts de production peuvent offrir un levier de pression comparable.

Le tissu industriel européen, étroitement interconnecté, peut amplifier cet effet. Une organisation compromise dans un pays peut fournir des fabricants, des distributeurs ou des clients dans plusieurs autres.

Les entreprises de distribution constituent des points de défaillance concentrés

La distribution compte moins de victimes rendues publiques que l’industrie manufacturière, et les entreprises touchées sont généralement plus petites. Sa position dans la chaîne d’approvisionnement en fait néanmoins un secteur stratégique pour les attaquants.

Les entreprises de transport routier, les commissionnaires de fret et les exploitants d’entrepôts prennent en charge des marchandises appartenant à plusieurs organisations. La compromission d’un seul prestataire peut donc perturber plusieurs clients à la fois, même si leurs propres systèmes restent sécurisés.

Le secteur de la distribution a enregistré 196 incidents en 2025. Le premier semestre 2026 en a produit 95.

Ces totaux doivent être remis en contexte. Une campagne de Clop menée en janvier et février 2025 a généré 52 victimes, soit plus d’un quart du total annuel du secteur. Si l’on exclut cette campagne, le total sous-jacent comparable est passé de 75 incidents en 2025 à 95 en 2026.

La propagation dans la chaîne d’approvisionnement peut s’effectuer dans les deux sens. En aval, l’incident visant Jaguar Land Rover a affecté plus de 5 000 autres organisations. En amont, l’attaque de Clop contre le fournisseur technologique Cleo a finalement entraîné près de 400 victimes rendues publiques.

Dans les deux cas, les organisations dépendantes peuvent être incapables de corriger le problème initial. Le système vulnérable peut appartenir à un fournisseur ou à un prestataire technologique extérieur à leur périmètre administratif.

Les inventaires de fournisseurs font donc partie de la surface d’attaque effective d’un fabricant. Une entreprise peut disposer de contrôles internes solides tout en perdant une partie de sa capacité de production lorsqu’un fournisseur de composants essentiel, un exploitant d’entrepôt ou une entreprise de transport devient indisponible.

Les défenses doivent couvrir les systèmes exposés et les dépendances opérationnelles

Il n’existe pas de correctif unique pour l’ensemble des activités de campagne décrites dans les résultats sur les ransomwares visant les secteurs manufacturier et de la distribution. La défense doit couvrir à la fois les voies d’intrusion directes et les dépendances externes qui transforment une compromission en arrêt prolongé.

Les fabricants et les distributeurs devraient donner la priorité aux mesures suivantes :

• Repérer et corriger les systèmes exposés à Internet qui ne sont pas à jour.
• Supprimer les services accessibles depuis l’extérieur qui ne sont pas indispensables aux opérations.
• Identifier les identifiants divulgués, les renouveler et surveiller toute utilisation abusive ultérieure.
• Examiner les interfaces de gestion exposées et les contrôles de sécurité mal configurés.
• Vérifier que les réseaux de production, d’entrepôt et d’entreprise peuvent être isolés en cas d’intrusion.
• Surveiller en continu l’exposition aux risques des fournisseurs et des prestataires logistiques.
• Cartographier les tiers dont la défaillance pourrait interrompre la production ou empêcher les livraisons.
• Exiger des fournisseurs qu’ils maintiennent des contrôles de sécurité définis et signalent les incidents.
• Se préparer à des fermetures prolongées d’usines, à des interruptions logistiques et à l’indisponibilité de fournisseurs.

Ces mesures doivent faire l’objet de tests opérationnels. Un plan d’isolement réseau a une utilité limitée si son activation désactive également des processus essentiels liés à la sécurité, aux stocks ou à la reprise d’activité. La planification de la continuité doit préciser quelles opérations peuvent être poursuivies manuellement, combien de temps les réserves dureront et quels fournisseurs disposent d’alternatives viables.

Le UK’s Cyber Security and Resilience Bill ouvre la voie à une réponse réglementaire parallèle. La proposition permettrait aux ministres de bloquer l’approvisionnement en aval auprès de prestataires considérés comme présentant un risque élevé. Les fournisseurs pourraient ainsi devoir choisir entre renforcer leur sécurité et perdre l’accès aux clients concernés par ces restrictions.

Le risque lié aux ransomwares dans l’industrie manufacturière ne se limite plus à l’organisation dont les systèmes sont chiffrés ou perturbés. L’augmentation du nombre d’incidents, l’émergence rapide de nouveaux groupes et la concentration des dépendances montrent que des compromissions relativement limitées peuvent produire des conséquences économiques disproportionnées.