Secu
À quoi ressemble une victime de ransomware ?
Par Guillaume Perissat, publié le 28 août 2026
Oubliez le cliché du ransomware qui commence par la compromission d’un compte administrateur. Une étude du ThreatLabz de Zscaler brosse le portrait-robot de la victime type. Plutôt un manager des fonctions financières, commerciales ou opérationnelles, souvent éloigné de l’IT, dont les accès et les responsabilités constituent une véritable mine d’or pour les cybercriminels.
Dans une attaque par ransomware, le premier compte compromis est rarement anodin. Et, à en croire une étude du ThreatLabz de Zscaler, rarement ce que l’on imagine. En analysant une campagne de ransomware sur une période d’un mois, les chercheurs ont identifié 351 victimes réparties dans 334 organisations. Leur constat : les attaquants ont un faible pour les profils proches des métiers dans l’entreprise.
Ainsi, 62 % des victimes recensées occupent un poste de manager ou un niveau hiérarchique supérieur. Dans la majeure partie des cas, les fonctions ciblées sont loin d’être concentrées sur l’IT. Trois quarts des victimes travaillaient dans cinq grandes familles de métiers : finance et comptabilité (17,7 %), ventes (17,4 %), opérations (16,8 %), ressources humaines et marketing.
Le privilège métier, nouvelle porte d’entrée
Ces fonctions ont en commun de manipuler des données sensibles ou de se trouver au croisement de nombreux processus de l’entreprise. Autrement dit, les cybercriminels ne recherchent pas uniquement les administrateurs systèmes ou les comptes techniquement privilégiés. Ils s’intéressent aussi au « privilège métier » que confèrent la fonction, les responsabilités et les relations professionnelles.
« La valeur d’un compte de manager compromis réside dans l’étendue des accès professionnels associés à ce poste. Les managers peuvent approuver des paiements, superviser des budgets et des fournisseurs, examiner des contrats, accéder à des données sensibles ou coordonner le travail entre différentes unités opérationnelles » décrivent les chercheurs. La compromission de ce compte peut donc offrir aux attaquants un point d’appui particulièrement intéressant pour progresser dans le système d’information.
Recherche Sales Manager, 46 ans, secteur industriel
Le ThreatLabz cite à titre d’exemple un Regional Sales Manager, par le biais duquel l’attaquant va obtenir accès aux contrats et comptes clients, prévisions de revenus ou encore les commandes. Autres cas mentionnés, le comptable, pour des raisons évidentes, mais aussi le responsable projet ainsi que, plus surprenant, le Property Manager, chargé de l’immobilier d’une entreprise.
On notera que la moyenne d’âge des victimes est d’environ 46 ans, la génération X représentant 44 % des victimes. Leur prédominance parmi les victimes tient, selon les chercheurs, peut-être moins à l’âge en soi qu’au stade de carrière atteint par nombre de ses membres. Les employés de cette génération sont plus susceptibles d’occuper les postes d’encadrement ou de direction susmentionnés, offrant dès lors aux attaquants un accès à des systèmes et des données de grande valeur, ainsi qu’à un pouvoir décisionnel.
Les industriels particulièrement exposés
Autre enseignement de l’étude, 50 % des victimes travaillaient dans des entreprises industrielles ou technologiques, avec respectivement 35,5 % et 14,6 % des victimes. Dans l’industrie, la compromission d’un compte métier peut constituer un point d’entrée vers des environnements critiques liés à la production, à la logistique ou à la distribution. Dans l’IT, elle peut exposer des données techniques ou des plateformes essentielles à la fourniture de services.
L’étude relève enfin que plus d’une douzaine d’organisations ont vu plusieurs salariés compromis au cours de la campagne analysée. Un signal important pour les équipes de sécurité. La découverte d’un premier compte compromis ne doit pas conduire à considérer l’incident comme circonscrit.
À LIRE AUSSI :
À LIRE AUSSI :
