Les ransomwares remontent la hiérarchie : les managers sont des cibles de choix

Lorsqu’une attaque de type ransomware fait la une des journaux, l’attention se concentre généralement sur l’entreprise touchée, les systèmes chiffrés, les données volées et les perturbations ou demandes de rançon qui en résultent. En revanche, on en sait beaucoup moins sur les employés compromis au tout début de l’attaque et sur les raisons qui en font des cibles particulièrement intéressantes.

Une nouvelle étude de Zscaler ThreatLabz s’intéresse à cette première phase d’une attaque par ransomware. ThreatLabz a identifié les victimes d’une campagne menée par un groupe de ransomware connu pour obtenir un accès initial aux systèmes, dérober d’importantes quantités de données d’entreprise et chiffrer de manière ciblée les systèmes critiques. L’étude met en évidence le profil de ces victimes et montre comment leurs fonctions et leur niveau d’autorité peuvent permettre à cybercriminel de progresser au sein de l’entreprise.

Cette étude s’inscrit dans le cadre des travaux que ThreatLabz consacre aux ransomwares. Le rapport Zscaler ThreatLabz 2026 sur les ransomwares, dont la publication est prévue dans les deux prochains mois, apportera de nouvelles données sur les victimes de ransomwares, ainsi que sur les tendances, les cibles et les tactiques les plus récentes, et sur les risques auxquels les entreprises doivent se préparer.

Principaux résultats

En l’espace d’un mois, ThreatLabz a recensé 351 victimes réparties entre 334 entreprises touchées par une même campagne de ransomware.

• 62 % des victimes occupaient un poste de manager ou de niveau supérieur.
• Près de 75 % des victimes travaillaient dans la comptabilité et la finance, les ventes, les opérations, les ressources humaines ou le marketing.
• 44 % des victimes appartenaient à la génération X, pour un âge moyen de 46 ans
• 50 % travaillaient pour des entreprises du secteur industriel ou des technologies de l’information.
• Plus d’une douzaine d’entreprises comptaient plusieurs employés parmi les victimes.

Les dénominateurs communs : responsabilités, argent et accès aux activités de l’entreprise

Ces résultats laissent penser que les victimes n’ont pas été choisies au hasard. La majorité occupait des postes de manager ou exerçait des fonctions métier susceptibles de donner aux hackers accès à des ressources utiles pour s’implanter dans l’entreprise, atteindre d’autres utilisateurs et systèmes, dérober des informations sensibles et accentuer la pression par l’extorsion et le chiffrement de données.

Les managers étaient les cibles privilégiées : 62 %

Près des deux tiers des victimes occupaient un poste de manager ou un poste à responsabilité supérieure. Pour les équipes de sécurité, les utilisateurs à privilèges sont généralement les administrateurs et autres utilisateurs bénéficiant de droits d’accès élevés. Mais les groupes de ransomware s’en prennent aussi aux employés qui disposent de privilèges métier, c’est-à-dire d’un accès et d’une autorité liés à leur fonction et à leurs relations professionnelles.

La valeur d’un compte de manager compromis tient avant tout à l’étendue des accès métier associés à cette fonction. Un manager peut notamment valider des paiements, superviser des budgets et des fournisseurs, examiner des contrats, accéder à des informations sensibles ou coordonner des activités entre plusieurs entités de l’entreprise.

La génération X représentait la part la plus importante des victimes : 44 %

Les victimes étaient âgées de 23 à 70 ans, avec une moyenne de 46 ans. La forte représentation de la génération X tient peut-être moins à leur âge qu’à leur parcours professionnel. Les salariés de la génération X sont plus susceptibles d’occuper des postes de management ou à responsabilité élevée évoqués précédemment, ce qui donne aux hackers un accès à des systèmes et des données de valeur ainsi qu’à une autorité décisionnelle importante.

La plupart des victimes exerçaient leur activité dans cinq grandes fonctions métier : 75 %

Près des trois quarts des victimes travaillaient dans cinq domaines : comptabilité et finance, ventes, opérations, ressources humaines et marketing.

Les employés de la comptabilité et de la finance (17,7 %) ont accès aux factures, aux paiements, aux validations, aux coordonnées bancaires et aux données fournisseurs. Les équipes commerciales (17,4 %) gèrent les comptes clients, les tarifs, les contrats et les affaires en cours. Les équipes opérationnelles (16,8 %) assurent souvent la coordination entre les fournisseurs et les différentes entités de l’entreprise. La compromission de ces comptes peut donner aux hackers accès à des informations sensibles, notamment des données financières, des systèmes de paiement et des contrats essentiels à l’entreprise.

La moitié des victimes travaillaient dans l’industrie ou l’informatique : 50 %

Les victimes se répartissent sur plusieurs secteurs, l’industrie et l’informatique représentant respectivement 35,5 % et 14,6% des cas.

Pour les groupes de ransomware, les employés d’organisations industrielles peuvent constituer une porte d’entrée vers des systèmes critiques qui soutiennent la fabrication, la distribution ou la logistique. Dans le secteur informatique, la compromission de comptes peut exposer la propriété intellectuelle de l’entreprise ainsi que les plateformes qui assurent la fourniture de ses services numériques. Une perturbation de ces systèmes peut rapidement avoir des répercussions à la fois sur l’activité et sur les résultats financiers de l’entreprise. Le chiffrement d’une plateforme de production, de logistique ou de fourniture de services peut interrompre l’activité et entraîner une perte de revenus. Les données opérationnelles ou techniques dérobées peuvent par ailleurs servir à renforcer les demandes d’extorsion.

À quoi ressemblent les victimes

Les profils présentés ci-dessous illustrent les différents types de victimes identifiés dans le cadre de cette étude.

Ces employés n’ont pas besoin de droits d’administrateur pour exposer gravement l’entreprise. Leurs accès quotidiens peuvent ouvrir aux hackers la voie vers des données sensibles, des processus financiers et opérationnels, des applications d’entreprise et des communications internes.

Renforcer la protection des managers contre les ransomwares

Les postes de management requièrent des mesures de protection adaptées aux stratégies des hackers et aux accès qu’ils peuvent exploiter après la compromission d’un compte. Optimisées par l’IA, les opérations de reconnaissance, de personnalisation des attaques et d’usurpation d’identité gagnent en rapidité et en crédibilité. Les groupes de ransomware peuvent ainsi cibler ces employés en laissant moins de signaux susceptibles de les alerter. Par conséquent, les équipes de sécurité doivent avant tout :

• Limiter les communications externes sur les plateformes collaboratives. Bloquer les messages et appels non sollicités provenant d’utilisateurs externes sur des plateformes telles que Microsoft Teams et Slack.
• Préparer les employés aux tentatives d’usurpation d’identité. Former les utilisateurs à vérifier toute demande inhabituelle émanant prétendument du service informatique via des canaux de communication internes de confiance et les informations disponibles dans l’annuaire de l’entreprise avant d’y donner suite.
• Déployer des solutions inline de protection du réseau et des terminaux. S’appuyer sur des solutions de détection réseau et sur les terminaux utilisant l’IA pour identifier les contenus malveillants, les comportements suspects et les activités d’attaque avant qu’ils ne puissent se propager.
• Surveiller en permanence l’activité pour détecter les signes de compromission. Rechercher les comportements inhabituels au niveau des utilisateurs, des appareils, des applications, des transferts de données et des outils d’accès à distance. Cette campagne a également fait plusieurs victimes dans plus d’une douzaine d’entreprises, ce qui souligne la nécessité d’étendre la surveillance et les investigations au-delà du premier compte compromis.
• Appliquer l’accès sur la base du moindre privilège. Limiter les accès de chaque salarié aux seules applications, aux seuls systèmes et aux seules données nécessaires à l’exercice de ses fonctions, afin de réduire le périmètre auquel un cybercriminel peut accéder en cas de compromission d’un compte.
• Déployer une architecture Zero Trust pour contenir les attaques. Segmenter les accès afin d’empêcher les attaquants de se déplacer latéralement et d’atteindre d’autres systèmes en cas d’accès initial.

Restez à l’écoute : la recherche sur les ransomwares se poursuit

Identifier les salariés ciblés par les groupes de ransomware permet de mieux cerner les accès métier susceptibles d’exposer l’entreprise. Cela permet également de repérer les points d’accès à renforcer pour éviter qu’une compromission isolée n’engendre un vol de données, un chiffrement des systèmes ou une perturbation généralisée de l’activité.

Consultez le document de synthèse pour un aperçu rapide des principales conclusions de cette recherche.

Suivez ThreatLabz sur X et notre blog consacré à la recherche en sécurité pour rester informé des dernières menaces découvertes, des analyses de campagnes et des actualités en matière de sécurité.

Le prochain rapport ThreatLabz 2026 sur les ransomwares apportera davantage d’informations sur les victimes de cette campagne, ainsi qu’une analyse approfondie de l’activité des ransomwares au cours de l’année écoulée, des groupes qui en sont à l’origine, de l’évolution des pratiques de vol de données et d’extorsion, et de nombreux autres enseignements.