L'extorsion se déprécie. L'argent part ailleurs.
Les références majeures de l'année sont enfin parues. Elles confirment l'essentiel de ce que nous avancions en mars et ajoutent un constat que nous n'avions pas vu venir : le rançongiciel figure dans plus de violations que jamais et rapporte moins que jamais.
- Publié le
- 24 juin 2025
- Période couverte
- 1 avril 2025 – 30 juin 2025
- Clôture documentaire
- 24 juin 2025
Perspective de direction
Six conclusions qui comptent pour l'année qui vient
Le rançongiciel figure dans plus de violations que jamais et rapporte moins que jamais
Il est présent dans 44 % des violations, contre 32 %, soit une hausse de 37 % en un an. Sur la même période, la part des victimes refusant de payer atteint 64 %, contre environ 50 % en 2022 ; le paiement médian tombe à 115 000 $ contre 150 000 $ ; et l'analyse de la chaîne de blocs chiffre le total des paiements en baisse de 35 %. Plus d'attaques, moins de payeurs, des chèques plus petits.
Cette dépréciation explique la fragmentation de mars, et annonce la suite
Quarante nouveaux groupes se sont formés en 2024 et le quatrième trimestre a établi un record de volume. Lu à côté de l'effondrement du rendement, ce n'est pas une expansion : c'est un nombre croissant d'opérateurs compensant une recette en baisse, ce qui exige mécaniquement plus de victimes et plus de pression sur chacune. L'escalade annoncée par le Centre canadien pour la cybersécurité en est la conséquence arithmétique.
L'économie criminelle a fortement grossi, et la croissance est du côté de la fraude
Les pertes déclarées à l'IC3 du FBI atteignent un record de 16,6 milliards de dollars en 2024, en hausse de 33 %, dont 6,6 milliards de fraude à l'investissement et 2,8 milliards de fraude au président. L'extorsion, comme catégorie de perte déclarée, pèse 143 millions. L'argent n'a pas quitté la cybercriminalité. Il a quitté l'extorsion.
L'implication d'un tiers dans les violations a doublé, de 15 % à 30 %
En mars, nous soutenions que les grandes organisations avaient durci leur propre périmètre et relogé leur risque résiduel au bilan de leurs fournisseurs. C'est cet argument, mesuré indépendamment, un trimestre plus tard. Un risque qui double en douze mois ne peut pas être gouverné par un instrument qui échantillonne une fois par an.
La périphérie d'accès distant est confirmée par trois jeux de données distincts
Les équipements de bordure et les VPN comme cible d'exploitation de vulnérabilités passent à 22 %, près de huit fois les 3 % précédents. X-Force place l'exploitation d'applications exposées à 30 % des accès initiaux, à égalité avec les comptes valides, les services distants externes ajoutant 11 %. Notre lecture de mars en faisait la porte dominante ; trois télémétries indépendantes le disent maintenant.
La contrainte s'est déplacée de la détection vers la visibilité
Mandiant n'a pas pu déterminer le vecteur d'infection initial dans 34 % de ses investigations de 2024, et 57 % des organisations ont appris leur propre compromission par une source externe. Quand l'adversaire vous prévient en cinq jours de médiane et vos partenaires en vingt-six, le problème n'est pas l'absence d'alerte. C'est que la preuve nécessaire pour reconstituer les faits n'a jamais été collectée.
Le trimestre en chiffres
44 %
Part des violations impliquant un rançongiciel, contre 32 %
Mesuré sur plus de 12 000 violations, et compté avec ou sans chiffrement. La catégorie grossit pendant que la technique qu'elle recouvre change.
64 %
Victimes refusant de payer la rançon
Environ 50 % en 2022. La preuve la plus nette disponible que l'investissement défensif produit un résultat mesurable en argent.
115 000 $
Rançon médiane versée, contre 150 000 $
Le total des paiements recule de 35 % selon l'analyse de la chaîne de blocs. Un prix qui baisse face à un volume qui monte définit un marché qui se déprécie.
30 %
Violations impliquant un tiers, doublé depuis 15 %
La chaîne d'approvisionnement cesse d'être un sujet de gouvernance pour devenir une statistique de violation, en douze mois.
22 %
Équipements de bordure et VPN comme cible d'exploitation
Près de huit fois les 3 % précédents, le mouvement annuel le plus marqué du jeu de données, et une confirmation indépendante de notre lecture de mars.
16,6 Md$
Pertes cyber déclarées au FBI en 2024, en hausse de 33 %
Un record, sur 859 532 plaintes. Ce sont la fraude à l'investissement et la fraude au président qui la tirent, pas l'extorsion.
34 %
Intrusions dont le vecteur initial n'a pu être déterminé
Une investigation sur trois ne peut pas dire par où l'attaquant est entré. C'est un problème de journalisation, pas de détection.
57 %
Organisations informées de leur propre violation par un tiers
L'adversaire prévient en cinq jours de médiane, les partenaires externes en vingt-six. La plupart des organisations apprennent encore leur pire journée par quelqu'un d'autre.
L'ordre du jour du conseil
Cinq questions auxquelles votre conseil devrait savoir répondre ce trimestre
Elles découlent directement des constats ci-dessus. L'édition complète porte, pour chacune, la preuve qui la motive et l'action priorisée qui y répond.
Si nous étions compromis aujourd'hui, saurions-nous établir par où ils sont entrés ?
34 % des investigations n'y parviennent pas.
Apprendrions-nous notre propre compromission de l'intérieur ou de l'extérieur ?
57 % l'apprennent de l'extérieur.
Combien de nos fournisseurs peuvent atteindre nos données, et quand avons-nous regardé leur exposition plutôt que leurs réponses ?
L'implication d'un tiers a doublé à 30 %.
Quel est notre délai maximal de correction sur les boîtiers exposés, et qui l'a accepté ?
60 % des principales vulnérabilités ont un code d'exploitation public sous deux semaines.
Qui est responsable de la fraude au paiement ici : la finance, la sécurité, ou personne ?
2,8 Md$ de pertes déclarées pour fraude au président.
Envie de voir ce qui a changé ce trimestre, le radar des tendances, le point de vue FortaRisks et ce que nous surveillons ensuite ?
La perspective de direction ci-dessus ouvre le rapport. L'édition complète porte l'analyse et les recommandations qui en découlent.
Ce que l'édition complète ajoute
- Ce qui a changé ce trimestre, et ce qui n'en a que l'air
- Radar des tendances : direction, maturité et impact d'affaires
- Le point de vue FortaRisks, quatre convictions
- Regard vers l'avant, 3 à 6 mois, avec les degrés de confiance
- Le paysage des menaces, les développements en détail
- L'exposition par secteur, OT et manufacturier détaillés
- Les recommandations priorisées, par thème et par risque traité
- L'action priorisée qui répond à chaque question ci-dessus, la base documentaire et la méthode
17 pages · 13 sources · téléchargement immédiat, sans attente
Comment cette édition est bâtie
Cette édition s'appuie sur les rapports exécutifs et annuels publiés par les plus grandes firmes de conseil, de recherche et de cybersécurité jusqu'à la date de clôture, lus au regard de l'analyse de FortaRisks Research et de notre propre renseignement sur les cybermenaces. Quatre sources majeures parues depuis la clôture de mars l'alimentent, confrontées aux neuf de l'édition d'ouverture. Elle note aussi les cinq prévisions faites en mars : deux réalisées, une partiellement, deux trop tôt pour être jugées.
Chaque chiffre de cette page figure dans l'édition complète avec sa source, sa période de données et ses limites méthodologiques. Une source n'est admise que si sa date de publication précède la clôture documentaire : une édition historique ne s'appuie jamais sur une recherche qui n'existait pas encore. Lorsque deux jeux de données indépendants divergent, nous rapportons les deux plutôt que d'en retenir un. La lecture, la synthèse inter-sources et les conclusions sont celles de FortaRisks Research, éclairées par le renseignement sur les menaces que nous exploitons.
Voyez où se situe votre organisation dans ces chiffres
Le rapport dit ce qui se passe sur le marché. Une démo de trente minutes dit ce qui se passe sur votre surface d'attaque.