Publié le 7 octobre 2025 23h00. L’intelligence artificielle transforme radicalement le paysage des rançongiciels, passant d’une menace axée sur le chiffrement de données à une forme de chantage plus sophistiquée et politisée, ciblant désormais la réputation des entreprises et l’infrastructure numérique mondiale.
- Les attaques par rançongiciel ne visent plus seulement des rançons financières, mais aussi le contrôle et la manipulation de l’information.
- L’IA permet aux cybercriminels de lancer des attaques plus rapides, moins coûteuses et plus difficiles à détecter.
- De nouveaux groupes criminels émergent, utilisant des outils pilotés par l’IA et opérant à la frontière entre la criminalité financière et les acteurs étatiques.
Le monde des rançongiciels a connu une mutation profonde en seulement un an. Les pirates informatiques ne se contentent plus de crypter massivement des fichiers pour exiger une rançon. Ils ont évolué vers des tactiques de chantage psychologique et juridique, opérant désormais à travers des organisations criminelles de plus en plus sophistiquées, dopées à l’intelligence artificielle. L’objectif a changé : il ne s’agit plus seulement d’obtenir des sommes considérables, mais de prendre le contrôle.
Ari Redbord, directeur de la politique mondiale chez TRM Labs, une société spécialisée dans le suivi de la blockchain, résume cette évolution :
« L’intelligence artificielle transforme complètement l’écosystème des rançongiciels. Non seulement les attaques les plus évoluées reviennent, mais elles changent les règles du jeu. Nous observons des opérations plus rapides, une utilisation sophistiquée de l’ingénierie sociale et des tactiques qui misent sur la pression réputationnelle plutôt que sur le chiffrement des données. De plus, la frontière entre les groupes financiers et les acteurs liés aux États est de plus en plus floue. »
L’IA permet désormais de générer du code malveillant capable de se réécrire pour échapper à la détection, de rédiger des courriels de phishing plus convaincants et d’automatiser le vol d’identifiants. Des attaques qui nécessitaient auparavant des semaines de préparation sont désormais lancées en quelques heures. Les analystes de TRM Labs ont identifié neuf nouveaux groupes criminels au cours des douze derniers mois, tous utilisant des outils basés sur l’IA : campagnes automatisées, logiciels malveillants polymorphes et réseaux de blanchiment d’argent plus complexes. Un écosystème qui se développe selon une logique simple : l’évolutivité.
Selon TRM Labs, la moitié des attaques ne comprennent plus de chiffrement de données. Le schéma classique – des fichiers rendus illisibles jusqu’au paiement d’une rançon – est remplacé par un chantage sans enlèvement de données : le vol d’informations et la menace de les divulguer. L’extorsion cible désormais non plus les serveurs, mais la réputation des entreprises.
Conscients de la pression exercée par les autorités de protection des données et les agences de régulation en cas de fuite d’informations, les groupes criminels menacent désormais ces entités et les concurrents des entreprises touchées.
Parmi les acteurs émergents, on peut citer Arcana Security, responsable d’une attaque contre le fournisseur américain Wideopenwest ; Terrible Wolf, qui canalise les paiements via des plateformes anonymes sur le dark web ; Se Frager, une scission du groupe russe Akira, opérant dans le secteur industriel ; et Sarcome, actif depuis 2024, qui cible les entreprises de taille moyenne en Amérique et en Europe et se caractérise par sa capacité à effacer ses traces et à exercer une pression publique sur ses victimes.
D’autres acteurs, tels que Ailock et APT LOCK, opèrent à un niveau encore plus élevé. Ailock est présenté comme un rançongiciel « assisté par l’IA » et menace de dénoncer ses victimes à leurs propres régulateurs. APTLOCK, selon les chercheurs, serait lié au groupe russe Fancy Bear et impliqué dans des opérations de sabotage, d’espionnage et d’extorsion. Dans les deux cas, la motivation financière est liée à des considérations politiques. Le rançongiciel devient un instrument de coercition étatique.
Kairos, The Fabric et Termite représentent une autre facette de cette évolution, combinant innovation criminelle et réapparition de programmes de rançongiciels existants. Kairos achète l’accès aux réseaux et aux extensions sans effort. Weyhro planifie des attaques chirurgicales qui détruisent les sauvegardes avant de demander un paiement. Termite, héritier du groupe russe disparu Dust, a réactivé son code source pour attaquer les entreprises faisant partie des chaînes d’approvisionnement de grandes sociétés, profitant de leur rôle de fournisseurs clés.
Le rançongiciel continue de s’appuyer sur l’économie des cryptomonnaies. Bitcoin reste la monnaie préférée, bien que de nombreux groupes migrent vers Monero et Tron pour leur opacité. Le blanchiment des fonds se fait par le biais de plateformes qui masquent la provenance de l’argent, comme Wasabi, qui combine différentes transactions en cryptomonnaie pour effacer la piste.
Les échanges sans vérification sont également utilisés, mais la traçabilité de la blockchain reste son point faible. TRM Labs suit ces flux pour le compte des gouvernements et des banques, identifiant des schémas récurrents : mouvements entre des adresses communes, transferts entre différentes chaînes et réutilisation de portefeuilles. Des indices qui permettent de récupérer des fonds ou de reconstituer le réseau financier du crime.
L’IA est également utilisée dans ce domaine. Les systèmes de conversion automatique entre les cryptomonnaies, améliorés par des algorithmes, déplacent de l’argent entre des centaines d’adresses en quelques secondes. Le résultat : un marché criminel plus liquide et plus adaptable où chaque acteur peut être à la fois l’auteur, l’intermédiaire et la blanchisserie.
Cette évolution a une dimension géopolitique. Certaines attaques visent à causer des dommages structurels, à perturber les services publics ou à éroder la confiance dans les institutions critiques. Le rançongiciel devient ainsi une forme de guerre numérique à faible intensité : il ne s’agit pas d’attaques formelles, mais elles montrent à quel point il est facile de frapper l’infrastructure numérique mondiale.
TRM Labs souligne que la lutte contre cette menace ne passe pas seulement par la cybersécurité traditionnelle, mais aussi par la coopération internationale et le suivi financier. Le renseignement sur la blockchain – qui prétend rendre l’argent anonyme – est devenu un outil de politique mondiale essentiel.