Le commerce de détail aborde la saison hivernale avec un diagnostic à double facette : améliorer la capacité à arrêter l’encryptage, tout en faisant face à une pression économique et opérationnelle du cybercrime persistante. Le rapport State of Ransomware in Retail 2025 met en lumière un scénario où les équipes IT et cybersécurité doivent faire face à une visibilité insuffisante, des tactiques d’extorsion sans chiffrement en augmentation et des exigences de rançon plus agressives, dans un secteur caractérisé par de faibles marges et une opération largement décentralisée.

Cette photographie, tirée d’une enquête indépendante menée auprès de 361 responsables IT et cybersécurité dans des entreprises du retail réparties dans 16 pays (toutes ayant subi des attaques par ransomware au cours des 12 derniers mois), fournit des chiffres clés pour orienter les décisions : 46 % des attaques débutent par une faille de sécurité inconnue, 30 % exploitent des vulnérabilités connues (troisième année consécutive comme principale cause technique) ; et seulement 48 % se soldent par un chiffrement des données, minimum de cinq ans. En revanche, la délinquance “sans chiffrement” —chantage via la publication d’informations volées— triplée dans le retail, passant de 2 % à 6 %, tandis que la demande médiane de rançon double pour atteindre 2,0 millions de dollars, et que le montant payé en moyenne augmente de 5 %, pour atteindre 1 million de dollars.

Un périmètre aux points aveugles : ce qui reste invisible ouvre toujours la porte

Le point le plus préoccupant du rapport est d’ordre opérationnel : près de la moitié des incidents (46 %) débutent dans une faille inconnue de l’organisation. Dans un environnement où coexistent magasins, logistique, e-commerce, terminaux de paiement (TPV) et fournisseurs, la dissémination des actifs et la rotation des services créent des zones d’ombre : dispositifs non inventoriés, identifiants hérités, accès à distance avec des politiques disparates ou équipements réseau dépourvus de télémétrie.

Les 30 % des attaques avec une origine technique identifiée exploitent des vulnérabilités connues, ce qui montre que la gestion des correctifs et de l’exposition — notamment en ce qui concerne les accès à distance, les services Internet et les équipements réseau — demeure un point faible. À cela s’ajoutent l’achat d’accès et l’abus d’identités : après le ransomware, le comportement de compromission de comptes devient le deuxième incident le plus fréquent dans le retail, suivi par les fraudes par e-mail (BEC), qui occupent la troisième place.

Moins de chiffrement, plus de pression : la mutation des adversaires

Le taux de chiffrement diminue à 48 %, signe d’une détection et d’une contenation plus précoces. Mais les attaquants ne baissent pas la garde : ils pivotent. Lorsqu’ils échouent à chiffrer, ils dérobinent des données et extorquent (en menaçant de publier ces données), une tactique qui se triple pour atteindre 6 % en deux ans. Le but reste le même — contraindre au paiement — mais par une voie différente, avec des « horloges » de pression (compteurs de publications sur des plateformes de fuite) et des messages conçus pour forcer une décision rapide.

Par ailleurs, le marché criminel s’intensifie : la demande médiane grimpe à 2,0 millions de dollars, et le montant moyen payé à 1 million de dollars (augmentation de 5 % par rapport à 2024). La « bonne nouvelle » est que seulement 29 % des victimes ayant payé ont reçu exactement la somme demandée ; 59 % ont payé moins, et 11 % ont payé plus. Cela rappelle que négocier sans une base solide (copie de sauvegarde fiable, support juridique et forensic, assurance cybernétique avec protocole) augmente le risque et le coût.

Indicateurs de résilience : progrès mesurables… et défis encore à relever

• Détection précoce avant chiffrement, dans un délai maximal de cinq ans. Les organisations sont mieux capables de supporter le premier choc de l’attaque : davantage de comportements anormaux sont détectés, et des réponses automatiques isolent les points d’extrémité à temps.
• Récupération plus rapide et moins coûteuse. Le coût moyen de reprise (hors rançon) diminue de 40 % pour atteindre 1,65 millions de dollars, sur une période d’au moins trois ans ; 51 % des systèmes sont restaurés en ≤ une semaine.
• Backups : mieux vérifiés avec des tests concrets. Seuls 62 % des restaurations proviennent de copies testées, avec une période minimale de quatre ans. La leçon est claire : il faut suivre la règle du 3-2-1, avec des copies versionnées, hors ligne / immuables et testées avec chronomètre.

La face humaine de l’attaque : pression, rotation et épuisement des équipes

Au-delà des aspects techniques et financiers, le rapport quantifie l’impact sur les personnes et les structures : après un incident impliquant un chiffrement, 47 % des équipes IT et cybersécurité ressentent une augmentation de la pression, et dans un cas sur quatre (26 %), la direction du département est reléguée. Le stress chronique et la surcharge se traduisent par des absences, une rotation accrue, et surtout, une perte de mémoire opérationnelle : précisément ce dont on a besoin pour apprendre et s’améliorer après une attaque.

Le tableau de bord des menaces en 2025 : près de 90 groupes et TTP mélangés

Les équipes d’intelligence des menaces et de MDR ont observé près de 90 groupes distincts ciblant au moins un acteur du retail durant l’année écoulée. Parmi eux figurent des noms bien connus — Akira, Cl0p, Qilin, PLAY, Lynx — mais la liste évolue rapidement : de « nouvelles marques » et des campagnes multimodales (ransomware + exfiltration + BEC) cohabitent avec des chaînes d’infection recyclant des vulnérabilités dans les accès à distance ou sur des dispositifs périphériques non patchés. Le résultat est que le territoire du retail ne se limite plus à la ‘muraille’ du magasin : il devient la somme de magasins, d’e-commerce, d’intégrations avec des fournisseurs, d’API et de services SaaS.

Fiche technique pour un sphere tech : de la détection à la réduction du MTTR

1) Actifs & Exposition : inventaire, priorisation, correctifs

• Inventaire réel (pas seulement CMDB) : endpoints, serveurs, TPV, dispositifs réseau/ sécurité, SaaS critiques, accès à distance et APIs.
• Carte d’exposition : ce qui est sur internet (VPN, tableaux de bord, edge, reverse proxies, équipements réseau), avec correctifs/enjeux en suspens, et configurations par défaut.
• Priorisation basée sur l’exploitation : en face de dizaines de bulletins, cibler ceux actifs et exploités ; automatiser si possible (WSUS/Intune, Ansible, etc.).
• Telemetrie Surface : gestion de l’external attack surface et suivi des dérives de configuration en magasins et sièges.

2) Identité et mail : 80/20 de nombreux incidents

• Authentification multi-facteur (MFA) par défaut et accès conditionnel ; hygiene des identifiants (rotation, stockage hors code, PAM pour les privilèges).
• Mail : DMARC, SPF, DKIM et règles anti-BEC pour secteurs paiements/finances ; exercices simulés de vishing/envoyage massif d’emails.

3) Endpoints “serieux” : EDR/XDR et gestion des applications

• EDR/XDR avec isolement automatique et rollback en cas d’activité suspecte.
• Allow-listing et mode kiosque en TPV, points d’accueil et équipements en magasin ; limiter la surface d’attaque en évitant la “première morsure”.

4) Segmentation et gestion des déplacements

• Microsegmentations ou, à minima, VLANs et ACL entre magasin – backoffice – services centraux ; éviter que un TPV accède à la zone “jewelry”.
• DLP/monitoring d’exfiltration dans des repositories sensibles et en e-commerce ; lutter contre l’extorsion sans chiffrement.

5) Backups avec vérifications (et chronomètre)

• 3-2-1 avec immutabilité et hors ligne ; automatiser la vérification.
• Restaurations chronométrées des systèmes critiques (ERP, e-commerce, inventaire), avec documentation du RTO/RPO réel et identification des failles.

6) 24/7 ou MDR : la menace ne connaît pas de pause

• Les équipes sans relais permanents envisagent d’adopter un MDR avec SLA de réponse et chasse proactive ; suivre la baisse du MTTD en quelques semaines.
• Tableau de crise : rôles (technique, légaux, business), guides de décision (quand faire intervenir la forensic/police/communiqué) et modèles de documents.

Métriques clés (et compréhensibles par le comité)

• MTTD/MTTR par domaine : magasins, logistique, e-commerce, paiements.
• Taux de chiffrement vs taux de détection précoce ; objectif : que 48 % ne soit que le début.
• Taux de restauration des copies, avec tests concrets.
• Coût de la récupération (hors rançon) par rapport au secteur (1,65 M$).
• Semaine 1 : % des services critiques opérationnels en ≤ 7 jours (objectif ≥ 51 %).
• Exposition : actifs vulnérables et jours d’exposition.

Questions fréquemment posées

Pourquoi le chiffrement baisse-t-il alors que la pression économique augmente ?
Parce que les attaquants s’adaptent. Si le chiffrement échoue (meilleure détection / containment), ils exfiltrent et extorquent en menaçant de publier des données. La taux de chiffrement chute à 48 %, mais la menace d’extorsion sans chiffrement monte à 6 %, et la médiane de la rançon double à 2 millions de dollars. Leur objectif reste le même : obliger au paiement, mais par une autre voie.

Est-il judicieux de payer la rançon si j’ai des sauvegardes ?
L’étude montre que 58 % des victimes de chiffrement ont payé, et seulement 62 % ont pu restaurer leurs systèmes avec des copies valides (quatre ans ou plus). Si vos sauvegardes ne sont pas testées ou si votre RTO est irréaliste, la pression commerciale pousse à payer. La meilleure stratégie reste des backups 3-2-1, testés réellement, avec EDR/XDR et MDR 24/7 pour éviter d’arriver à cette situation.

Quels TTP prioriser dans la défense d’un secteur retail ?
Focalisez-vous sur exposition et accès distant, identité (MFA/condtionnel), mail (anti-BEC), EDR/XDR avec isolement, segmentation magasin–backoffice–siège, et télémétrie unifiée. Ce sont ces leviers qui réduisent le plus le MTTD/MTTR et limitent la zone d’impact.

Comment mesurer le retour sur investissement en MDR et correctifs “cachés” ?
En utilisant des données comparables : coût moyen de récupération (objectif ≤ 1,65 M$ dans le retail), délai de détection et résolution, jours d’exposition par actif, taux de détection précoce et semaine 1 de reprise opérationnelle. Investir dans “l’invisible” se justifie quand cela réduit les minutes perdues et la facture totale.

Source : Ramsonware in retail