TL;DR : L’essentiel
- L’analyse de près de 17 000 publications d’extorsion montre que les opérateurs de ransomware concentrent 84% de leurs annonces du lundi au vendredi, réfutant l’image du pirate nocturne.
- La moitié de l’activité globale se déroule sur seulement huit heures UTC, principalement l’après-midi en Europe et le matin sur la côte est des États-Unis, avec un pic annuel en octobre.
- Le secteur se fragmente rapidement : le nombre de marques actives a presque doublé en deux ans, malgré un taux d’inactivité de près de 50% au bout de quelques mois.
L’image populaire du pirate informatique agissant au milieu de la nuit s’effondre face aux données réelles de la cybercriminalité. L’étude menée par l’équipe de Ransomnews Research sur une période de deux ans révèle une organisation stricte, calquée sur les horaires de travail classiques d’une entreprise.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Les cybercriminels alignent leurs publications sur la semaine de travail
Sur les 24 mois observés, l’étude recense près de 17 000 annonces de victimes diffusées par 200 groupes distincts. Les données montrent une activité intense en début de semaine : le lundi et le mardi enregistrent en moyenne près de 3’100 publications d’attaques, tandis que le dimanche représente la journée la plus calme avec environ 1’200 revendications, soit un volume inférieur à 40% de celui du lundi. La journée la plus chargée de l’étude est survenue un lundi de février 2025, atteignant 263 victimes signalées en 24 heures.
Répartition des revendications de ransomware selon le jour de la semaine sur 24 mois. Les lundis et mardis concentrent le volume le plus important d'annonces, tandis que le week-end enregistre une baisse marquée. **Source : Ransomnews Research**L’activité horaire confirme ce fonctionnement de bureau, car la moitié des publications se concentre sur une fenêtre de huit heures UTC, de 15:00 à 22:59. Cette plage correspond à l’après-midi en Europe centrale et au matin sur la côte est américaine. À l’inverse, l’heure la plus silencieuse est 04:00 UTC, qui ne totalise que 215 publications en deux ans, soit moins d’une publication tous les quatre jours à l’échelle mondiale.
Répartition horaire des annonces d'extorsion sur 24 mois. Exactement 50% de l'activité se concentre sur une fenêtre de 8 heures UTC (15:00 à 22:59 UTC), correspondant à l'après-midi en Europe centrale (16:00 - 23:00 CET) et au matin aux États-Unis (11:00 - 18:00 ET). **Source : Ransomnews Research**Analyse
Les cybercriminels seraient-ils des employés de bureau comme les autres ? Les données de l’étude relayée par la presse spécialisée sur SecurityAffairs montrent que près de 85% des attaques surviennent du lundi au vendredi, principalement entre 11h00 et 22h00. Les lundis et mardis s’avèrent les plus chargés, suggérant que les attaquants évitent le travail du week-end et ne sont pas particulièrement lève-tôt.
Le marché des rançongiciels se multiplie et renouvelle ses acteurs
Contrairement à l’idée d’une consolidation du milieu sous la coupe de quelques entités majeures, l’écosystème montre une prolifération continue. Le nombre de marques de rançongiciels actives au cours d’un même mois est passé de 38 en mai 2024 à 67 en avril 2026, traduisant une augmentation de près de 80%.
Cette croissance s’accompagne d’une forte volatilité, puisque sur 178 groupes ayant publié au moins cinq fois, 87 sont désormais inactifs. Les opérations d’interdiction démantèlent des marques mais pas les équipes sous-jacentes, qui se réorganisent rapidement sous de nouvelles bannières comme SafePay ou The Gentlemen. Des structures pérennes comme Qilin, forte de près de 1’700victimes sur deux ans avec plus de deux publications quotidiennes, ou Akira avec un peu plus de 1 100 victimes, continuent d’assurer une grande partie des volumes.
Ces constatations démontrent que le suivi individuel des groupes principaux reste insuffisant face à un marché fragmenté. Pour les équipes de défense, la défence n’a pas d’heures de bureau, la sécurité doit être permanente pour réduire les risques et les impacts en cas d’intrusion.
Questions fréquentes sur les horaires des ransomwares
Quand les attaques de ransomware sont-elles le plus souvent publiées ?
Les publications de victimes sur les sites d’extorsion surviennent majoritairement pendant les jours ouvrés, du lundi au vendredi. Les journées du lundi et du mardi enregistrent les volumes les plus importants, tandis que les fins de semaine connaissent une baisse d’activité marquée.
Quelles sont les heures les plus actives pour les pirates informatiques ?
La moitié des revendications sont concentrées dans une plage de huit heures UTC, s’étendant de 15:00 à 22:59 UTC. Cela correspond aux heures de bureau en Europe centrale et en matinée sur le continent américain. La période autour de 04:00 UTC est historiquement la plus calme.
Comment évolue le nombre de groupes de ransomware sur le marché ?
La population d’opérateurs actifs continue de croître malgré la disparition rapide de nombreuses bannières. Même si près de la moitié des groupes deviennent inactifs après quelques mois, de nouvelles marques apparaissent régulièrement pour remplacer les entités dissoutes.
Zéro paywall. Zéro pub.
DCOD reste en accès libre grâce à vos contributions. Chaque café compte.
