Le rapport 2026 de Proofpoint, fondé sur près de 1 000 professionnels interrogés dans 12 marchés, indique que 54% des organisations touchées par un ransomware ont payé. Parmi les payeurs, 37% ont subi une seconde demande d’extorsion, tandis que 2% n’ont jamais récupéré l’accès à leurs fichiers.
Ces chiffres documentent un risque concret, payer ne ferme pas forcément le dossier, et peut installer une relation durable entre victimes et cybercriminels.
Proofpoint mesure 54% de paiements dans 12 marchés
Dans son « 2026 AI-Era Ransomware Report« , l’éditeur de cybersécurité Proofpoint s’appuie sur une enquête menée auprès de près de 1 000 professionnels de la sécurité répartis sur 12 marchés. L’objectif est de décrire, au plus près des pratiques réelles, la façon dont les organisations réagissent lorsqu’un ransomware chiffre des systèmes, perturbe l’activité et menace de publier des données volées.
Le premier enseignement tient dans l’ampleur du paiement. Selon l’étude, 54% des organisations affectées déclarent avoir payé les attaquants, dans l’espoir de récupérer l’accès aux fichiers et de limiter la diffusion de documents dérobés. Le chiffre tranche avec les messages répétés d’une partie des autorités et du secteur, qui déconseillent de verser une rançon, notamment pour éviter d’alimenter l’économie criminelle et de financer de futures campagnes.
Ce choix est souvent dicté par des contraintes opérationnelles. Une entreprise à l’arrêt, des systèmes indisponibles, des chaînes logistiques perturbées, des prises de rendez-vous annulées ou des services publics dégradés créent une pression immédiate. Dans ce contexte, le paiement peut être perçu comme une option de continuité, parfois même comme la seule voie jugée « praticable » à court terme, surtout quand les sauvegardes sont incomplètes, trop anciennes, ou elles-mêmes compromises.
Le rapport insiste sur un point, la décision n’est pas uniquement financière. La crainte d’une exposition publique de fichiers internes, contrats, informations RH, données clients, ajoute un volet de chantage, souvent appelé double extorsion. Les victimes ne cherchent plus seulement une clé de déchiffrement, elles tentent aussi de réduire un risque d’atteinte à la réputation et d’effets juridiques, notamment en matière de notification et de conformité.
Dans ce paysage, le mot d’ordre « ne pas payer » se heurte à la réalité de terrain. Proofpoint décrit une tension durable entre recommandations de principe et arbitrages de crise. Les chiffres ne disent pas tout des motivations, mais ils quantifient une tendance, le paiement reste fréquent, malgré l’incertitude sur le résultat et malgré le risque de réattaque.
37% des payeurs subissent une seconde demande d’extorsion
Le point le plus sensible du rapport concerne la répétition des demandes. Proofpoint indique que, parmi les organisations ayant payé, une majorité déclarent avoir récupéré l’accès après un premier versement, avec 56% de victimes qui paient une fois et obtiennent un retour d’accès aux fichiers. Cette donnée peut nourrir l’idée qu’un paiement « fonctionne » dans un certain nombre de cas, au moins sur l’aspect technique du déchiffrement.
Mais l’étude ajoute une statistique qui change l’équation, 37% des organisations ayant payé auraient reçu une seconde demande d’extorsion peu de temps après. Le mécanisme est limpide, un groupe criminel qui obtient un paiement identifie une victime comme solvable, sous pression, et potentiellement prête à négocier. Le premier versement devient un signal de capacité et de disposition à payer, ce qui peut déclencher une surenchère.
Cette seconde extorsion peut prendre plusieurs formes. Elle peut être une demande supplémentaire au titre d’une prétendue « clé complète », un supplément pour empêcher la publication de données, ou une nouvelle menace liée à la persistance d’un accès clandestin dans le système. Dans certains scénarios, des acteurs distincts peuvent aussi réexploiter une même brèche, si la remédiation n’a pas été menée à fond. La victime se retrouve alors face à un enchaînement, payer n’a pas suffi à rétablir une situation de sécurité normale.
Proofpoint mentionne aussi un cas d’échec net, 2% des payeurs déclarent ne jamais avoir récupéré l’accès à leurs fichiers. Ce pourcentage, minoritaire, rappelle une réalité souvent répétée par les spécialistes, le paiement ne constitue pas un contrat. Rien n’oblige l’attaquant à fournir une clé fonctionnelle, à donner la bonne clé, ou à fournir un outil de déchiffrement stable. Même lorsqu’une clé est fournie, le processus peut être long, partiel, ou provoquer de la corruption de données.
Ces éléments renforcent l’argument selon lequel payer ne garantit ni la restauration, ni la fin du chantage. Ils déplacent aussi le débat, la question n’est pas seulement morale ou stratégique, elle devient probabiliste et opérationnelle. Dans une crise, l’organisation doit intégrer un risque chiffré de récidive et un risque, même limité, de perte totale malgré paiement.
Pourquoi la pression opérationnelle pousse encore à payer
Si les recommandations publiques déconseillent le paiement, la fréquence observée par Proofpoint invite à comprendre le moteur de cette décision. Une attaque par ransomware n’est pas uniquement un incident informatique, c’est souvent une crise d’activité. La paralysie d’un ERP, l’indisponibilité d’outils de production, l’arrêt d’un système de facturation, ou la perturbation d’un service client peuvent générer des pertes immédiates. Dans certains secteurs, l’arrêt peut aussi toucher des services essentiels.
Le rapport met en avant un facteur clé, la « pression du monde réel ». Dans une organisation, le temps de réponse est compté. Les équipes doivent évaluer l’étendue du chiffrement, la présence éventuelle d’exfiltration, la capacité de restauration, et l’état des sauvegardes, tout en gérant la communication interne, les obligations réglementaires, et parfois les demandes d’assureurs. Dans ce contexte, un paiement peut apparaître comme une tentative de raccourcir l’interruption, même si le gain n’est pas certain.
La menace de divulgation sur des places de marché clandestines ajoute une dimension. Le chantage à la publication de données vise à amplifier l’urgence. Les attaquants savent que la restauration technique ne traite pas le risque réputationnel. Même avec des sauvegardes solides, une entreprise peut craindre la diffusion de contrats, d’échanges internes, ou d’informations personnelles. Ce volet explique pourquoi certaines victimes paient pour « éviter » la publication, même si rien ne prouve que les données soient supprimées.
Les arbitrages peuvent aussi être influencés par l’environnement contractuel. Certains prestataires imposent des pénalités en cas d’indisponibilité, certains secteurs subissent une exigence de continuité, et certaines organisations craignent des contentieux. Le coût d’un arrêt prolongé peut dépasser, sur le papier, le montant demandé. Cette comparaison est trompeuse si elle oublie le risque de récidive, mais elle pèse dans la décision, surtout lorsque la gouvernance de crise est imparfaite.
Enfin, la maturité de la préparation reste inégale. Une politique de sauvegarde mal testée, des procédures de restauration non répétées, ou une cartographie des systèmes incomplète rallongent les délais. Lorsque l’organisation découvre en pleine crise qu’elle ne peut pas restaurer rapidement, la tentation de payer augmente. Les chiffres de Proofpoint peuvent être lus comme un indicateur de ce déficit de préparation, plus que comme une préférence assumée pour le paiement.
Prévention: phishing, sauvegardes hors ligne et protection des terminaux
Face à ces résultats, Proofpoint et une partie du secteur insistent sur les mesures de prévention. Le rapport cite d’abord la sensibilisation au phishing, car de nombreuses intrusions commencent par un courriel piégé, un lien frauduleux, ou une pièce jointe malveillante. Former régulièrement les équipes, tester les réflexes via des simulations, et renforcer les procédures pour les demandes sensibles, comme les changements de mots de passe ou les paiements, réduit la surface d’attaque.
Deuxième pilier, les sauvegardes hors ligne. Conserver des copies déconnectées, avec une stratégie de rotation, vise à éviter qu’un attaquant chiffre aussi les sauvegardes ou supprime les points de restauration. Mais la sauvegarde n’est utile que si la restauration est testée. Des exercices réguliers, par application critique, permettent de mesurer un temps de reprise réaliste et d’identifier les dépendances oubliées, comme des certificats, des accès administrateur, ou des configurations réseau.
Le rapport évoque aussi l’intérêt de solutions de protection des terminaux et de détection, y compris des outils présentés comme « assistés par IA« . L’idée est d’améliorer la détection d’activités anormales, mouvements latéraux, élévations de privilèges, exécutions suspectes, avant que le chiffrement ne se généralise. Dans la pratique, l’efficacité dépend de la qualité du déploiement, de la couverture des postes et serveurs, et de la capacité des équipes à traiter les alertes.
Au-delà des outils, la segmentation réseau, la réduction des privilèges, l’authentification multifacteur et la gestion rigoureuse des accès à distance restent des mesures structurantes. Elles limitent la propagation et compliquent l’escalade. Les organisations qui combinent ces pratiques avec une supervision active diminuent le risque d’une attaque « totale », celle qui met l’ensemble du système d’information à genoux.
Les chiffres de Proofpoint, dont 37% de récidive après paiement, replacent la prévention au centre, non comme un slogan, mais comme une stratégie de réduction de dépendance. Plus une organisation est capable de restaurer vite, plus elle peut refuser de payer, et plus elle réduit la probabilité d’être ciblée à nouveau pour sa supposée capacité à céder sous pression.
