Leader in the cybersecurity training sector.
Rabah Hachichi · 4 er septembre 2026 · Lecture 6 min
À retenir
Trois chiffres, trois réponses
Un dirigeant qui a suivi l’actualité de cet été a lu trois choses.
Que la France est le sixième pays le plus visé au monde par les rançongiciels.
Qu’elle est le deuxième pays au monde pour les fuites de données, derrière les États-Unis.
Qu’elle est le premier pays européen ciblé par les attaquants.
Les trois affirmations sont exactes. Elles ne parlent simplement pas de la même chose. Et tant qu’on ne sait pas ce que chacune compte, aucune ne permet de décider quoi que ce soit.
Cet article explique ce que mesurent ces trois classements, ce qu’ils ne mesurent pas, et ce qu’on peut en tirer. Il ne traite pas du niveau de risque de votre organisation en particulier, qui ne se déduit d’aucun classement national.
Trois classements, trois unités de mesure. Sources : Bitdefender, premier semestre 2026 · Surfshark, premier trimestre 2026 · ENISA.
Ce que chaque étude compte réellement
Le classement Bitdefender : les revendications publiques
Bitdefender a recensé 131 organisations françaises désignées comme victimes de rançongiciel entre janvier et juin 2026, ce qui place la France au sixième rang mondial. En Europe occidentale, le nombre de victimes revendiquées passe de 310 à 436 en un an, soit une hausse de plus de 40 %, et la France en concentre près de 30 %.
L’éditeur précise lui-même sa méthode : ces données reposent sur les organisations publiquement revendiquées par les groupes de rançongiciels, et ne couvrent pas l’ensemble des incidents survenus sur la période.
Autrement dit, ce classement mesure ce que les attaquants ont choisi de publier. Une organisation compromise qui n’apparaît sur aucun site d’extorsion n’y figure pas. Une organisation nommée y figure, même si l’étendue réelle de l’accès reste inconnue.
Le classement Surfshark : les comptes exposés
Surfshark compte des comptes compromis, pas des organisations. Au premier trimestre 2026, l’étude relève 23,5 millions de comptes exposés en France, ce qui la place au deuxième rang mondial derrière les États-Unis.
L’unité de mesure change tout. Une seule fuite portant sur une base de plusieurs millions de lignes déplace le classement d’un pays entier. Et un même individu peut apparaître plusieurs fois, à travers plusieurs comptes.
Le décompte de l’ENISA : les incidents recensés
L’agence européenne de cybersécurité travaille sur une troisième unité : les incidents portés à sa connaissance, tous types confondus. Elle place la France parmi les pays européens les plus exposés.
Ici, le biais est inverse du premier : plus un pays dispose de dispositifs de signalement structurés et utilisés, plus il remonte dans le classement. Un pays qui signale peu paraît épargné.
Ce qu’aucun des trois ne mesure
Le nombre d’attaques. Aucune de ces méthodes ne l’approche, et aucune ne le prétend. Les incidents non détectés, non signalés et non revendiqués n’apparaissent nulle part.
La gravité. Une revendication compte pour une, qu’il s’agisse d’une PME de douze personnes ou d’un opérateur national.
La véracité des volumes annoncés. Les revendications d’attaquants comptent souvent des lignes de base de données, ce qui n’équivaut pas à un nombre de personnes concernées.
Votre exposition. Un classement national ne dit rien de votre secteur, de votre taille, de vos accès distants ni de vos fournisseurs.
Ce qui a réellement changé cet été
Le fait marquant n’est pas le rang de la France. C’est que dans plusieurs cas récents, l’attaquant a rendu l’incident public avant l’organisation concernée, parfois plusieurs semaines après l’intrusion.
Cette bascule a trois conséquences directes.
La publication est devenue un levier. Diffuser un échantillon, annoncer un volume élevé, invoquer un manquement réglementaire supposé : ce ne sont plus des dommages collatéraux de l’attaque, c’est le moyen de pression lui-même.
Le premier récit disponible est celui de l’attaquant. Pendant les premières heures, c’est le seul. Il est rédigé pour être repris tel quel, y compris par des professionnels de bonne foi.
Les classements enregistrent cette stratégie. Puisqu’ils comptent les revendications, ils montent quand les attaquants publient davantage, ce qui reflète autant leur pratique que le niveau réel de la menace.
Les cas limites
Un classement en hausse n’est pas nécessairement une dégradation. Il peut refléter un meilleur signalement, une pratique d’extorsion plus bruyante, ou un changement de méthodologie de l’étude.
Un classement en baisse n’est pas nécessairement une amélioration. Il peut simplement signifier que les attaquants publient moins, ou qu’ils monétisent autrement.
Le coût réel se mesure ailleurs. L’édition France du rapport Sophos sur les rançongiciels avance 2,02 millions de dollars en moyenne pour la remise en état après une attaque, hors rançon, en hausse de 65 % en un an, et relève que 15 % des intrusions sont entrées par un VPN, le taux le plus élevé des pays étudiés. Ces chiffres-là sont plus actionnables qu’un rang mondial.
Ce que ça demande à une équipe
Lire ces chiffres correctement est devenu une compétence en soi, et elle sert bien au-delà de la cybersécurité.
Savoir d’où vient un chiffre. Qui l’a produit, sur quelle période, avec quelle unité de mesure, et ce que la note méthodologique précise. Les bons rapports le disent, encore faut-il aller le lire.
Savoir ce qu’il ne dit pas. C’est la partie la plus utile en comité de direction. Un dirigeant qui demande « ce chiffre compte quoi, exactement ? » évite à son organisation de bâtir un plan sur une donnée mal comprise.
Savoir préparer sa propre prise de parole. Puisque l’attaquant peut publier le premier, la question n’est plus de savoir si l’on communiquera, mais avec quels éléments et sous quel délai. L’ANSSI a publié en juin 2026 une nouvelle version de son guide « Anticiper et gérer sa communication de crise cyber », en dix fiches et une checklist. C’est gratuit, c’est solide, et c’est le meilleur point de départ.
Comment nous formons sur ces sujets
Ces compétences sont travaillées dans nos formations en gestion de crise cyber et continuité d’activité, en premiers réflexes en cas d’incident, et dans le parcours référent cybersécurité opérationnel. Elles combinent la lecture des sources, la préparation des messages et la mise en situation.
ACG CyberAcademy est l’organisme de formation d’ACG Cybersecurity, certifié Qualiopi au titre des actions de formation.
Pour aller plus loin
Le guide de l’ANSSI est en accès libre sur MesServicesCyber. Si vous voulez discuter d’une session ou d’un format en intra, écrivez à formation@acgcybersecurity.fr.
Questions fréquentes
Aucun classement ne permet de l’affirmer. Les études disponibles mesurent des revendications publiques, des comptes exposés ou des incidents signalés, pas des attaques.
Parce qu’ils ne comptent pas la même chose. Organisations revendiquées, comptes compromis et incidents recensés sont trois unités de mesure différentes.
Que 131 organisations ont été publiquement désignées par des groupes de rançongiciels au premier semestre 2026. Le chiffre ne dit rien des incidents non revendiqués.
Il correspond souvent à des lignes de base de données, ce qui n’équivaut pas à un nombre de personnes concernées. Il doit être traité comme une revendication, pas comme un constat.
Aucun classement national ne le dit. Cela passe par un état des lieux de votre exposition réelle : accès distants, fournisseurs, données détenues, capacité de détection.
Directeur Technique, ACG Cybersecurity. CISSP, CISM, ISO 27001 Lead Auditor. Vingt-cinq ans en cybersécurité, dont quinze comme RSSI. Auditeur et formateur en continuité d'activité et gestion de crise.
Publié le 1er septembre 2026 · Mis à jour le 1er septembre 2026 · Sources vérifiées le 27 août 2026.
Rabah Hachichi · 1er septembre 2026 · Lecture 6 min
À retenir
Trois chiffres, trois réponses
Un dirigeant qui a suivi l’actualité de cet été a lu trois choses.
Que la France est le sixième pays le plus visé au monde par les rançongiciels.
Qu’elle est le deuxième pays au monde pour les fuites de données, derrière les États-Unis.
Qu’elle est le premier pays européen ciblé par les attaquants.
Les trois affirmations sont exactes. Elles ne parlent simplement pas de la même chose. Et tant qu’on ne sait pas ce que chacune compte, aucune ne permet de décider quoi que ce soit.
Cet article explique ce que mesurent ces trois classements, ce qu’ils ne mesurent pas, et ce qu’on peut en tirer. Il ne traite pas du niveau de risque de votre organisation en particulier, qui ne se déduit d’aucun classement national.
Trois classements, trois unités de mesure. Sources : Bitdefender, premier semestre 2026 · Surfshark, premier trimestre 2026 · ENISA.
Ce que chaque étude compte réellement
Le classement Bitdefender : les revendications publiques
Bitdefender a recensé 131 organisations françaises désignées comme victimes de rançongiciel entre janvier et juin 2026, ce qui place la France au sixième rang mondial. En Europe occidentale, le nombre de victimes revendiquées passe de 310 à 436 en un an, soit une hausse de plus de 40 %, et la France en concentre près de 30 %.
L’éditeur précise lui-même sa méthode : ces données reposent sur les organisations publiquement revendiquées par les groupes de rançongiciels, et ne couvrent pas l’ensemble des incidents survenus sur la période.
Autrement dit, ce classement mesure ce que les attaquants ont choisi de publier. Une organisation compromise qui n’apparaît sur aucun site d’extorsion n’y figure pas. Une organisation nommée y figure, même si l’étendue réelle de l’accès reste inconnue.
Le classement Surfshark : les comptes exposés
Surfshark compte des comptes compromis, pas des organisations. Au premier trimestre 2026, l’étude relève 23,5 millions de comptes exposés en France, ce qui la place au deuxième rang mondial derrière les États-Unis.
L’unité de mesure change tout. Une seule fuite portant sur une base de plusieurs millions de lignes déplace le classement d’un pays entier. Et un même individu peut apparaître plusieurs fois, à travers plusieurs comptes.
Le décompte de l’ENISA : les incidents recensés
L’agence européenne de cybersécurité travaille sur une troisième unité : les incidents portés à sa connaissance, tous types confondus. Elle place la France parmi les pays européens les plus exposés.
Ici, le biais est inverse du premier : plus un pays dispose de dispositifs de signalement structurés et utilisés, plus il remonte dans le classement. Un pays qui signale peu paraît épargné.
Ce qu’aucun des trois ne mesure
Le nombre d’attaques. Aucune de ces méthodes ne l’approche, et aucune ne le prétend. Les incidents non détectés, non signalés et non revendiqués n’apparaissent nulle part.
La gravité. Une revendication compte pour une, qu’il s’agisse d’une PME de douze personnes ou d’un opérateur national.
La véracité des volumes annoncés. Les revendications d’attaquants comptent souvent des lignes de base de données, ce qui n’équivaut pas à un nombre de personnes concernées.
Votre exposition. Un classement national ne dit rien de votre secteur, de votre taille, de vos accès distants ni de vos fournisseurs.
Ce qui a réellement changé cet été
Le fait marquant n’est pas le rang de la France. C’est que dans plusieurs cas récents, l’attaquant a rendu l’incident public avant l’organisation concernée, parfois plusieurs semaines après l’intrusion.
Cette bascule a trois conséquences directes.
La publication est devenue un levier. Diffuser un échantillon, annoncer un volume élevé, invoquer un manquement réglementaire supposé : ce ne sont plus des dommages collatéraux de l’attaque, c’est le moyen de pression lui-même.
Le premier récit disponible est celui de l’attaquant. Pendant les premières heures, c’est le seul. Il est rédigé pour être repris tel quel, y compris par des professionnels de bonne foi.
Les classements enregistrent cette stratégie. Puisqu’ils comptent les revendications, ils montent quand les attaquants publient davantage, ce qui reflète autant leur pratique que le niveau réel de la menace.
Les cas limites
Un classement en hausse n’est pas nécessairement une dégradation. Il peut refléter un meilleur signalement, une pratique d’extorsion plus bruyante, ou un changement de méthodologie de l’étude.
Un classement en baisse n’est pas nécessairement une amélioration. Il peut simplement signifier que les attaquants publient moins, ou qu’ils monétisent autrement.
Le coût réel se mesure ailleurs. L’édition France du rapport Sophos sur les rançongiciels avance 2,02 millions de dollars en moyenne pour la remise en état après une attaque, hors rançon, en hausse de 65 % en un an, et relève que 15 % des intrusions sont entrées par un VPN, le taux le plus élevé des pays étudiés. Ces chiffres-là sont plus actionnables qu’un rang mondial.
Ce que ça demande à une équipe
Lire ces chiffres correctement est devenu une compétence en soi, et elle sert bien au-delà de la cybersécurité.
Savoir d’où vient un chiffre. Qui l’a produit, sur quelle période, avec quelle unité de mesure, et ce que la note méthodologique précise. Les bons rapports le disent, encore faut-il aller le lire.
Savoir ce qu’il ne dit pas. C’est la partie la plus utile en comité de direction. Un dirigeant qui demande « ce chiffre compte quoi, exactement ? » évite à son organisation de bâtir un plan sur une donnée mal comprise.
Savoir préparer sa propre prise de parole. Puisque l’attaquant peut publier le premier, la question n’est plus de savoir si l’on communiquera, mais avec quels éléments et sous quel délai. L’ANSSI a publié en juin 2026 une nouvelle version de son guide « Anticiper et gérer sa communication de crise cyber », en dix fiches et une checklist. C’est gratuit, c’est solide, et c’est le meilleur point de départ.
Comment nous formons sur ces sujets
Ces compétences sont travaillées dans nos formations en gestion de crise cyber et continuité d’activité, en premiers réflexes en cas d’incident, et dans le parcours référent cybersécurité opérationnel. Elles combinent la lecture des sources, la préparation des messages et la mise en situation.
ACG CyberAcademy est l’organisme de formation d’ACG Cybersecurity, certifié Qualiopi au titre des actions de formation.
Pour aller plus loin
Le guide de l’ANSSI est en accès libre sur MesServicesCyber. Si vous voulez discuter d’une session ou d’un format en intra, écrivez à formation@acgcybersecurity.fr.
Questions fréquentes
Aucun classement ne permet de l’affirmer. Les études disponibles mesurent des revendications publiques, des comptes exposés ou des incidents signalés, pas des attaques.
Parce qu’ils ne comptent pas la même chose. Organisations revendiquées, comptes compromis et incidents recensés sont trois unités de mesure différentes.
Que 131 organisations ont été publiquement désignées par des groupes de rançongiciels au premier semestre 2026. Le chiffre ne dit rien des incidents non revendiqués.
Il correspond souvent à des lignes de base de données, ce qui n’équivaut pas à un nombre de personnes concernées. Il doit être traité comme une revendication, pas comme un constat.
Aucun classement national ne le dit. Cela passe par un état des lieux de votre exposition réelle : accès distants, fournisseurs, données détenues, capacité de détection.
Directeur Technique, ACG Cybersecurity. CISSP, CISM, ISO 27001 Lead Auditor. Vingt-cinq ans en cybersécurité, dont quinze comme RSSI. Auditeur et formateur en continuité d'activité et gestion de crise.
Publié le 1er septembre 2026 · Mis à jour le 1er septembre 2026 · Sources vérifiées le 27 août 2026.
Demande d’information
Demande d’information
