Sophos’ seventh annual ransomware survey draws a sharp line in France between identity compromise and ransomware: 85% of French organizations hit by ransomware said last year’s incident was also their most serious identity attack, well above the global average of 67%. The study is based on interviews with 2,158 IT and cybersecurity leaders worldwide, including 129 in France, all from organizations with 100 to 5,000 employees that suffered a ransomware attack in the previous 12 months.

The French data shows compromised credentials as the leading initial attack vector, cited in 30% of cases, ahead of phishing at 27% and malicious emails at 20%. By contrast, exploitation of vulnerabilities fell sharply to 13%, down from 30% a year earlier. Sophos also highlights a new pattern beyond email and phishing: exposed applications and systems were the most common entry point at 46%, followed by user endpoints at 22% and VPNs at 15%. France stands out here too, recording the highest rate of VPN-related compromises among all countries surveyed.

The organizational weaknesses behind these incidents are familiar: lack of staff or capacity was the top issue at 40%, followed by insufficient protection at 38% and lack of expertise at 33%.

On the impact side, 60% of attacks in France led to data encryption, above the global average of 56% and up from 58% in 2025. Yet the share of cases involving data theft alongside encryption dropped sharply to 18%, from 44% last year. All French organizations whose data was encrypted managed to recover it. Backups played a larger role in recovery, used by 76% of victims versus 60% in 2025. Still, ransom payment remains common: 36% paid to get their data back, slightly up from 33% a year earlier.

Ransom demands themselves have eased. The median demand in France fell to $500,000, down 22% from $643,125 in 2025, and the proportion of demands above $1 million declined from 49% to 39%. But lower ransom asks did not mean a cheaper overall incident. Excluding ransom payments, the average recovery cost after an attack rose to $2.02 million from $1.22 million in 2025, an increase of nearly 66%, covering downtime, remediation time, hardware costs and lost business.

Recovery times improved, however: 64% of French organizations were back on their feet within a week or less, up from 53% in 2025, while the share taking one to six months to recover fell from 18% to 10%.

The survey also captures the human toll on teams dealing with encrypted-data incidents. Forty-two percent reported increased pressure from senior management, 33% said their workload kept rising after the attack, 31% felt guilty for failing to prevent it, and 17% said team leadership was replaced. On a more positive note, 37% said they received greater recognition from executives, up sharply from 18% in 2025. The survey was conducted between January and March 2026, with financial figures in dollars and extreme ransom demands of $40 million or more excluded.

Dans la septième édition de son étude annuelle sur l’état des ransomwares, Sophos établit pour la première fois un lien très net entre attaques d’identité et incidents de ransomware dans l’Hexagone.

L’éditeur britannique a interrogé 2 158 responsables informatiques et cybersécurité dans le monde, dont 129 en France *, tous issus d’organisations de 100 à 5 000 salariés ayant subi une attaque de ransomware au cours des douze derniers mois.

Le chiffre le plus frappant du rapport concerne le lien entre identité et ransomware. 85 % des organisations françaises touchées confirment que l’incident de ransomware de l’an dernier correspondait aussi à leur attaque d’identité la plus grave, contre une moyenne mondiale de 67 %. Un écart de 18 points qui place la France dans une position singulière.

Ce constat se reflète dans les causes premières des attaques. Les identifiants compromis arrivent en tête (30 % des cas), devant le phishing (27 %) et les emails malveillants (20 %). À l’inverse, l’exploitation de vulnérabilités recule fortement, à 13 % contre 30 % un an plus tôt.

Autre enseignement inédit cette année : hors vecteurs email et phishing, les applications et systèmes exposés constituent le point d’entrée le plus fréquent (46 %), devant les terminaux utilisateurs (22 %) et les VPN (15 %). Sur ce dernier point, la France se distingue par le taux le plus élevé de compromissions liées aux VPN parmi tous les pays sondés par Sophos.

Côté causes organisationnelles, le manque de personnel ou de capacités arrive en tête (40 %), suivi du manque de protection (38 %) et du manque d’expertise (33 %).

Des rançons plus basses, un coût de remise en état qui explose

60 % des attaques ont abouti à un chiffrement des données en France, un taux supérieur à la moyenne mondiale (56 %) et en hausse par rapport aux 58 % de 2025. En revanche, le vol de données associé à ces chiffrements chute nettement, à 18 % contre 44 % l’an dernier.

Sur la restauration, toutes les organisations françaises dont les données ont été chiffrées sont parvenues à les récupérer. Les sauvegardes ont joué un rôle croissant : 76 % des victimes les ont utilisées pour restaurer leurs systèmes, contre 60 % en 2025. Le paiement de rançon reste toutefois une pratique répandue, avec 36 % des organisations ayant payé pour récupérer leurs données, en légère hausse par rapport à 33 % un an plus tôt.

Le montant médian des demandes de rançon en France s’établit à 500 000 $, en repli de 22 % par rapport aux 643 125 $ de 2025. La part des demandes dépassant le million de dollars diminue également, passant de 49 % à 39 %.

Mais cette baisse des rançons ne se traduit pas par une facture globale allégée. Hors paiement de rançon, le coût moyen de remise en état après une attaque atteint 2,02 millions $ contre 1,22 million en 2025 ; soit une hausse de près de 66 %. Ce montant couvre les interruptions de service, le temps de résolution, les coûts matériels et les pertes d’exploitation.

Le délai de rétablissement s’améliore néanmoins : 64 % des organisations françaises se sont remises en une semaine ou moins, contre 53 % en 2025, tandis que la part des entreprises mettant entre un et six mois pour s’en remettre recule de 18 % à 10 %.

L’étude documente aussi l’impact humain sur les équipes concernées par un chiffrement de données. 42 % des répondants font état d’une pression accrue de la direction générale, et 33 % d’une charge de travail en hausse constante depuis l’attaque. Près d’un tiers (31 %) déclare ressentir de la culpabilité de ne pas avoir su empêcher l’incident, et 17 % rapportent un remplacement de l’encadrement de l’équipe.

Signe positif toutefois, 37 % des professionnels interrogés signalent une reconnaissance accrue de la part des cadres dirigeants, un chiffre en forte progression par rapport aux 18 % mesurés en 2025.

* L’enquête a été menée entre janvier et mars 2026, avec des données financières exprimées en dollars et purgées des rançons extrêmes de 40 millions de dollars ou plus.

The post En France, 85 % des ransomwares sont d’abord des attaques d’identité appeared first on Silicon.fr.