Ép.594 – RadioCSIRT Épisode Spécial Panorama de la Cybermenace 2025 du jeudi 12 mars 2026

L’ANSSI publie son Panorama de la cybermenace 2025 (CERTFR-2026-CTI-002). 1 366 incidents confirmés sur l’exercice, niveau stable par rapport à 2024 mais structurellement plus élevé que les années précédentes. Quatre secteurs concentrent 76 % des incidents : éducation et recherche (34 %), ministères et collectivités (24 %), santé (10 %), télécommunications (9 %).

Le nombre d’attaques par ransomware est en légère baisse (128 en 2025, contre 141 en 2024), tandis que les incidents d’exfiltration de données progressent de 51 % : 196 incidents contre 130 en 2024. La bascule est structurelle : les groupes criminels abandonnent partiellement le chiffrement au profit de l’extorsion par la donnée seule, modèle plus silencieux et plus difficile à détecter. Qilin, Akira et LockBit 3.0 dominent le paysage ransomware. Cl0p maintient son modèle d’exfiltration pure, avec l’exploitation en août 2025 de CVE-2025-6182 dans Oracle E-Business Suite.

La frontière entre acteurs étatiques et cybercriminels s’efface structurellement. Des modes opératoires réputés liés à la Russie, la Chine, l’Iran et la Corée du Nord adoptent des outils criminels commerciaux, tandis que des groupes cybercriminels utilisent des techniques d’espionnage étatique. APT28, Turla, Callisto, Sandworm côté russe. Salt Typhoon, APT31, RedDelta, UNC5221 côté chinois. Scattered Spider côté cybercriminel pur, avec plusieurs entités françaises du secteur du luxe compromises en 2025.

La généralisation du Living off the Land est la tendance technique dominante de l’année. Les outils RMM légitimes, AnyDesk, MeshAgent, ScreenConnect, et les services cloud grand public, Google Drive, Dropbox, MEGA, sont détournés comme vecteurs offensifs et canaux de command and control. La détection par signature ne suffit plus.

Les équipements de bordure restent la surface d’exposition prioritaire : Ivanti Connect Secure (CVE-2025-0282, CVE-2025-22457), Fortinet, SharePoint Toolshell (CVE-2025-49704, CVE-2025-49706), VMware ESXi (CVE-2025-22224, CVE-2025-22225, CVE-2025-22226). Plus de 6 200 actifs français restent exposés à des vulnérabilités exploitées depuis 2023 et 2024.

Sources :

• ANSSI / cyber.gouv.fr – Panorama de la cybermenace 2025 : https://cyber.gouv.fr/actualites/panorama-de-la-cybermenace-2025/
• Blog Marc-Frédéric Gomez – Analyse complète du Panorama de la cybermenace 2025 de l’ANSSI (CERTFR-2026-CTI-002) : https://blog.marcfredericgomez.fr/analyse-complete-du-panorama-de-la-cybermenace-2025-de-lanssi-certfr-2026-cti-002/

On ne réfléchit pas, on patch !

Vos retours sont les bienvenus.
Répondeur : 07 68 72 20 09
Email : radiocsirt@gmail.com
Site web : www.radiocsirt.org
Newsletter Hebdo : https://radiocsirt.substack.com