L'iceberg ransomware : les entreprises ne déclarent qu'un incident sur dix
Le ransomware reste la menace la plus coûteuse pour les entreprises mondiales depuis 2019. Les estimations du coût total (rançons, coûts de restauration, pertes d'activité, amendes réglementaires) dépassent 20 milliards de dollars en 2025 selon plusieurs cabinets de recherche. Pourtant, la notification des incidents reste volontaire dans la plupart des juridictions — à l'exception des secteurs réglementés (santé, finance, infrastructures critiques) soumis à des obligations de reporting spécifiques. La crainte d'atteinte à la réputation, la pression des assureurs, et l'incertitude juridique sont les principaux freins à la divulgation.
1. Le ratio 1:10 : une donnée structurelle, pas une anomalie.
BlackFog suit les incidents via ses propres capteurs de détection, indépendamment des communications publiques des victimes. Un ratio de 10 incidents non déclarés pour 1 déclaré suggère que les analyses sectorielles de risque (utilisées pour calibrer les budgets cyber, les polices d'assurance et les réponses réglementaires) reposent sur un dixième de la réalité.
2. Pourquoi les entreprises ne déclarent-elles pas ?
Les freins identifiés sont multiples : crainte d'atteinte à la réputation et de fuite de clients, peur des sanctions réglementaires si des manquements sont révélés, pression des actionnaires sur le cours de bourse, conseil juridique recommandant la discrétion pendant les négociations de rançon, et dans certains cas paiement silencieux de la rançon pour éviter toute publicité.
3. L'effet domino de la sous-déclaration
Quand les secteurs ne partagent pas les données d'incidents, les indicateurs de compromission (IoC) ne sont pas diffusés à la communauté cyber. Les attaquants peuvent recycler les mêmes outils, techniques et procédures (TTPs) sur plusieurs victimes successives sans que les équipes de défense n'aient connaissance du pattern. C'est un échec systémique du modèle de partage de threat intelligence.
4. Les implications pour les RSSI
Un RSSI qui calibre son niveau de défense sur les statistiques publiques de ransomware travaille avec des données qui sous-estiment la menace d'un facteur 10. Cela affecte directement les décisions de budget (sous-investissement en détection et réponse), les exercices de simulation (scénarios trop optimistes), et les communications au conseil d'administration (mauvaise évaluation du risque résiduel).
5. La pression réglementaire va s'intensifier
En Europe, la directive NIS2 (entrée en vigueur en octobre 2024) impose des obligations de notification d'incidents dans les 24 heures pour les entités essentielles et importantes. En parallèle, la SEC américaine a renforcé ses exigences de divulgation des incidents cyber pour les sociétés cotées. Ces réglementations vont mécaniquement réduire l'écart entre incidents réels et déclarés — au prix d'une exposition accrue pour les entreprises concernées.
Implications
Business : les DSI doivent réviser leurs analyses de risque ransomware à la hausse — significativement. Si votre secteur compte 10 incidents déclarés par trimestre, considérez qu'il en a probablement 100. Calibrez vos budgets, vos plans de réponse et vos couvertures d'assurance en conséquence.
Concurrentiel : les entreprises qui développent une capacité de détection et de réponse aux ransomwares robuste (XDR, SIEM nouvelle génération, playbooks de réponse aux incidents) gagnent un avantage compétitif face à des concurrents sous-préparés.
Géopolitique / sectoriel : les secteurs de la santé, de l'éducation et des municipalités sont les plus touchés par le ransomware non déclaré selon les données de BlackFog — des secteurs où la pression réglementaire à la notification est encore insuffisante.
Le rapport BlackFog Q1 2026 confirme ce que les professionnels de la cybersécurité soupçonnaient : les statistiques publiques sur le ransomware ne représentent que la partie visible de l'iceberg. Dans ce contexte, la question pour les DSI n'est pas "notre secteur est-il ciblé ?" mais "comment nous préparons-nous à un incident que nous n'avons pas encore détecté ?". Le plan de réponse aux incidents, les sauvegardes immuables et les capacités de détection avancée ne sont plus optionnels — ils sont la norme de survie.
TL;DR
BlackFog révèle que 9 attaques ransomware sur 10 ne sont jamais divulguées publiquement au T1 2026, faussant massivement les analyses de risque sectorielles.
- Le ratio 1:10 entre incidents déclarés et non déclarés signifie que les budgets et polices d'assurance cyber calculés sur les statistiques publiques sont structurellement sous-dimensionnés.
- Les directives NIS2 (UE) et SEC (USA) vont progressivement réduire cet écart de déclaration — mais créeront de nouvelles obligations de transparence pour les entreprises.
- Action immédiate : réviser à la hausse l'évaluation du risque ransomware dans votre secteur et vérifier la robustesse de vos plans de réponse aux incidents et de vos sauvegardes immuables.
Questions fréquentes
Comment BlackFog détecte-t-il les incidents non déclarés ?
BlackFog utilise ses propres capteurs de détection déployés chez ses clients, combinés à une surveillance des dark web forums, des sites de leak d'attaquants (qui publient souvent les données volées même sans demande de rançon acceptée), et des honeypots. Cela lui permet d'identifier des attaques que les victimes n'ont pas divulguées publiquement.
Quelles obligations de déclaration s'appliquent aux entreprises françaises après NIS2 ?
La directive NIS2, transposée en droit français, impose aux entités essentielles et importantes de notifier un incident significatif à l'ANSSI dans les 24 heures suivant sa détection (notification initiale), puis de fournir un rapport complet dans les 72 heures. Les entités concernées incluent les opérateurs de services essentiels dans les secteurs de l'énergie, du transport, de la santé, des eaux, des infrastructures numériques et des services publics.
Payer la rançon suffit-il à éviter l'obligation de déclaration ?
Non. L'obligation de déclaration sous NIS2 ou auprès de la SEC porte sur l'incident lui-même (la compromission), non sur le paiement de la rançon. Par ailleurs, payer la rançon peut exposer à des risques supplémentaires si le groupe attaquant est listé sur les listes de sanctions (OFAC aux États-Unis, réglementations européennes), ce qui peut constituer une infraction aux lois anti-blanchiment.