Qui est à l'origine des cyberattaques : acteurs, motivations et cas concrets

Les cyberattaques proviennent de quatre grandes catégories d’acteurs : les groupes criminels organisés, les États, les hacktivistes et les menaces internes. Chacun poursuit des objectifs distincts, du gain financier à l’espionnage géopolitique. La cybercriminalité coûte environ 10 500 milliards de dollars par an dans le monde, selon les estimations de Cybersecurity Ventures pour 2025.

Les groupes cybercriminels organisés

Le crime organisé constitue la première menace cyber à l’échelle mondiale. Ces groupes fonctionnent comme de véritables entreprises, avec des développeurs, des recruteurs et des blanchisseurs d’argent.

LockBit a dominé le paysage du ransomware pendant plusieurs années. En 2024, les autorités ont identifié Dmitry Khoroshev comme le créateur de ce groupe, responsable de centaines d’attaques contre des entreprises et institutions. Le groupe TA505, actif depuis 2014, a frappé le CHU de Rouen le 15 novembre 2019 avec le rançongiciel Clop. Cette attaque a paralysé les systèmes de gestion des blocs opératoires, des pharmacies et des admissions pendant plusieurs jours.

Concrètement, ces groupes ciblent les organisations les plus vulnérables. Les hôpitaux français en ont fait les frais : 380 cyberattaques recensées contre des établissements de santé en 2021, selon l’Agence du numérique en santé. Le centre hospitalier de Dax a dépensé 2,4 millions d’euros pour reconstruire son système informatique après une attaque par rançongiciel la même année.

Les États sponsors de cyberattaques

Plusieurs États utilisent des équipes de hackers pour mener des opérations d’espionnage, de sabotage ou de vol à grande échelle. Ces groupes, appelés APT (Advanced Persistent Threat), disposent de moyens financiers et techniques considérables.

Le Lazarus Group, lié à la Corée du Nord, a orchestré l’attaque WannaCry en mai 2017. Ce ransomware a infecté 300 000 ordinateurs dans 150 pays, paralysant le système de santé britannique (NHS) et des entreprises sur tous les continents. En 2025, ce même groupe a exécuté le vol de 1,5 milliard de dollars en cryptomonnaies sur la plateforme Bybit.

La Russie opère via plusieurs entités. Sandworm (APT44), rattaché au GRU (renseignement militaire), a déployé des attaques contre les infrastructures énergétiques ukrainiennes. La Chine mobilise APT41, un groupe qui mène des opérations d’espionnage contre des institutions gouvernementales européennes en utilisant des portes dérobées sophistiquées.

Hacktivistes et cybermilitants

Les hacktivistes utilisent le piratage informatique comme outil de protestation politique. Leur objectif : attirer l’attention sur une cause, exposer des informations sensibles ou perturber des organisations qu’ils jugent illégitimes.

Anonymous reste le collectif le plus emblématique. Né sur le forum 4chan en 2003, le groupe a mené l’opération OpFrance le 15 janvier 2015, ciblant plus de 20 000 sites web français après les attentats contre Charlie Hebdo. En 2016, l’opération Icarus a bloqué les sites de neuf banques à travers le monde pour protester contre la corruption financière.

Sur le terrain, les méthodes des hacktivistes reposent principalement sur les attaques par déni de service (DDoS), le défacement de sites web et la publication de données confidentielles (doxing). Ces actions restent moins sophistiquées que celles des groupes étatiques ou criminels, mais leur impact médiatique compense leur simplicité technique.

Les menaces internes aux organisations

Les attaques ne viennent pas toujours de l’extérieur. Des employés, prestataires ou partenaires disposant d’accès légitimes représentent un risque souvent sous-estimé par les entreprises.

Deux profils se distinguent. L’insider malveillant agit volontairement : vol de données clients, sabotage de systèmes ou revente d’accès à des groupes criminels. L’insider involontaire commet une erreur : clic sur un lien de phishing, mot de passe faible ou mauvaise configuration d’un serveur. Près de 90 % des enquêtes de sécurité en 2025 impliquent une faille liée à l’identité ou aux accès, selon les analystes du secteur.

Les entreprises qui traitent des données sensibles doivent surveiller les accès internes avec la même rigueur que les menaces externes. La segmentation des droits et l’authentification multifacteur réduisent ce risque.

Les cibles privilégiées en France d’après l’ANSSI

Le panorama de la cybermenace 2025, publié par l’ANSSI en mars 2026, dresse un bilan précis. L’agence a traité 3 586 événements de sécurité et confirmé 1 366 incidents sur l’année.

Quatre secteurs concentrent la majorité des attaques :

• Éducation et recherche : 34 % des incidents signalés
• Ministères et collectivités territoriales : 24 %
• Santé : 10 %
• Télécommunications : part significative du reste

Les exfiltrations de données ont bondi de 130 à 196 incidents entre 2024 et 2025. Les attaques par rançongiciel restent stables avec 128 cas confirmés. L’ANSSI décrit la situation comme “une marée haute qui perdure” : le niveau de menace ne faiblit pas, même si le nombre global d’incidents reste comparable à 2024.

Les actualités cybersécurité confirment cette tendance. La France reste une cible de choix pour les groupes criminels et les acteurs étatiques, du fait de son poids économique et de son rôle géopolitique.

Le ransomware, arme favorite des cybercriminels

Le rançongiciel (ransomware en anglais) chiffre les fichiers d’un système et exige un paiement pour les restituer. Ce type d’attaque représente la menace la plus visible et la plus coûteuse pour les organisations françaises.

WannaCry, lancé en mai 2017, a marqué un tournant. Exploitant une faille Windows découverte par la NSA (EternalBlue), le malware s’est propagé à 150 pays en quelques heures. Les dommages totaux ont atteint plusieurs milliards de dollars. La France figurait parmi les cinq pays les plus touchés.

Résultat ? Les groupes criminels ont industrialisé le modèle. Le ransomware-as-a-service (RaaS) permet à des affiliés sans compétences techniques de lancer des attaques en échange d’un pourcentage sur les rançons. LockBit fonctionnait sur ce principe avant son démantèlement partiel en 2024.

L’IA accélère cette industrialisation : plus de 80 % des campagnes de phishing intègrent du contenu généré par intelligence artificielle. APT36 est le premier acteur étatique à utiliser l’IA comme chaîne de production de malwares, selon les dernières analyses du secteur.

Stratégies de protection face aux cybermenaces

La protection contre ces acteurs multiples exige une approche structurée. L’ANSSI publie des recommandations adaptées à chaque profil d’organisation.

Les mesures prioritaires pour toute structure :

• Mettre à jour les systèmes et logiciels sans délai (WannaCry exploitait une faille corrigée deux mois avant l’attaque)
• Activer l’authentification multifacteur sur tous les comptes critiques
• Sauvegarder les données hors ligne, selon la règle 3-2-1 (3 copies, 2 supports, 1 hors site)
• Former les équipes au repérage des tentatives de phishing
• Segmenter le réseau pour limiter la propagation d’une intrusion

Les grandes entreprises et les administrations doivent aller plus loin. Un plan de réponse aux incidents testé régulièrement, une veille active sur les menaces en cours et un audit de sécurité annuel constituent le socle minimal. Le coût d’une attaque dépasse systématiquement celui de la prévention : les 2,4 millions d’euros dépensés par le centre hospitalier de Dax auraient financé des années de renforcement défensif.

La veille cybersécurité permet d’anticiper les nouvelles techniques d’attaque et d’adapter ses défenses avant qu’un incident ne survienne.