The Gentlemen : le ransomware qui a bouleversé le cybercrime en 2026
The Gentlemen est un groupe de rançongiciel apparu mi-2025, devenu en quelques mois le deuxième groupe le plus actif au monde avec plus de 330 victimes revendiquées, grâce à un modèle de franchise criminelle inédit qui reverse 90 % des rançons à ses affiliés. Sa porte d’entrée favorite n’a rien de sophistiqué : des VPN et pare-feux exposés sur internet et mal mis à jour, ou des identifiants volés. Voici ce qu’il faut comprendre de cette menace, et les cinq mesures concrètes qui protègent réellement votre organisation.
Qu'est-ce que The Gentlemen ?
The gentlemen ransomware : Un ransomware en libre accès
Commençons par poser les faits. The Gentlemen est un groupe cybercriminel spécialisé dans le rançongiciel, apparu au milieu de l’année 2025 et devenu en quelques mois l’un des plus actifs de la planète.
Le nom, une référence assumée au film de Guy Ritchie, s’accompagne d’une identité visuelle soignée : logo professionnel, devise, site de publication des victimes tenu comme une vitrine. Cette attention portée à l’image n’a rien d’anecdotique. Elle traduit une organisation disciplinée, qui se pense et se gère comme une entreprise.
| Critère | Ce que l’on sait |
|---|---|
| Apparition | Mi-2025, première victime connue fin juin 2025 |
| Origine présumée | Opérateurs russophones (le groupe s’interdit de frapper la Russie et les pays de la CEI) |
| Nombre de victimes | Plus de 330 victimes revendiquées depuis sa création, dont plus de 240 sur la seule année 2026 |
| Portée géographique | Plus de 50 pays, avec une concentration en Europe de l’Ouest, Asie du Sud-Est, Amérique du Sud et Australie |
| Secteurs visés | Industrie, santé, énergie, agroalimentaire, pharmacie, éducation, transport, administration |
| Modèle | Ransomware-as-a-Service (franchise criminelle) avec 90 % des gains reversés aux affiliés |
| Méthode | Double extorsion : chiffrement des données et menace de publication |
Le chiffre qui résume tout : deuxième groupe mondial
The Gentlemen est devenu le deuxième groupe de rançongiciel le plus actif au monde en nombre de victimes. Pour une organisation criminelle qui n’existait pas il y a dix-huit mois, c’est une ascension fulgurante.
Cette rapidité intrigue les chercheurs. Un tel niveau de maturité opérationnelle en si peu de temps suggère que le groupe n’est pas né de rien : il s’agirait plutôt d’opérateurs chevronnés issus d’autres organisations criminelles, notamment de l’écosystème Qilin, qui se seraient regroupés sous une nouvelle bannière.
Ce qui les distingue des autres groupes
Les analystes de sécurité s’accordent sur un point : The Gentlemen ne se démarque pas par une innovation technique révolutionnaire. Leur force vient de l’assemblage. Ils combinent un recrutement agressif, une organisation restreinte et efficace, des procédures répétables et une logique commerciale claire. En un mot, ils sont professionnels là où d’autres sont opportunistes.
Et c’est précisément cela qui les rend dangereux, y compris pour des organisations de taille moyenne. Nous allons voir pourquoi.
Le Ransomware-as-a-Service, ou le crime en libre-service
Pour comprendre, il faut abandonner l’image du hacker solitaire encapuchonné devant son écran. La réalité du cybercrime moderne ressemble beaucoup plus à celle d’une franchise commerciale basé sur un modèle économique le RASS (Ransomware-as-a-service)
Le fonctionnement est le suivant. D’un côté, des développeurs experts créent le logiciel malveillant et toute l’infrastructure qui va avec : le site de paiement, le panneau d’administration, le système de stockage des données volées, le site de publication des victimes. De l’autre, ils louent cet arsenal clé en main à d’autres criminels, appelés les affiliés, qui se chargent d’attaquer concrètement les entreprises.
Le créateur touche une commission sur chaque rançon payée. L’affilié garde le reste. C’est exactement le modèle d’une franchise de restauration rapide, transposé à la criminalité.
La conséquence de ce modèle est majeure et explique l’explosion du phénomène : il n’est plus nécessaire d’être un expert technique pour lancer une cyberattaque dévastatrice. Il suffit de louer les outils. Cette industrialisation a mécaniquement multiplié le nombre d’attaques, en particulier contre les cibles les moins bien protégées.
Pourquoi le 90/10 a tout changé
Dans cet écosystème criminel, le partage habituel des gains tourne autour de 80/20 : l’affilié garde 80 % de la rançon, le créateur du logiciel touche 20 %.
The Gentlemen a fait sauter cette règle en proposant un partage de 90/10, parfois même jusqu’à 93 % pour ses meilleurs partenaires. L’administrateur ne conserve que 10 % des rançons.
Cette décision, en apparence contre-intuitive, s’est révélée d’une efficacité redoutable. Comme le résument les chercheurs de Check Point, cette rémunération très supérieure au standard du marché a accéléré la croissance du groupe en attirant des opérateurs expérimentés venus des programmes concurrents.
Autrement dit, The Gentlemen a fait ce que fait n’importe quelle entreprise en croissance agressive : il a débauché les meilleurs talents de la concurrence en payant mieux. Des affiliés chevronnés, déjà rodés à d’autres programmes criminels, ont migré vers cette offre plus généreuse, apportant avec eux leur expérience et leurs méthodes.
Le groupe est allé plus loin en nouant un partenariat officiel avec une place de marché criminelle pour recruter des testeurs d’intrusion et des courtiers en accès, ces intermédiaires qui revendent des portes d’entrée vers des réseaux d’entreprise déjà compromis.
Ce qu’il faut en retenir
Le cybercrime s’est structuré comme une industrie, avec ses fournisseurs, ses sous-traitants, ses grilles de rémunération et sa guerre des talents. Face à cette professionnalisation, l’improvisation défensive ne tient plus. C’est ce qui doit changer la façon dont les dirigeants perçoivent le risque : vous ne faites pas face à un adolescent malveillant, mais à une organisation qui optimise ses processus comme le ferait un concurrent.
Les 5 mesures qui protègent réellement votre organisation
Face à un groupe qui entre par des portes banales et frappe en quelques heures, cinq mesures couvrent l’essentiel du risque. Elles sont classées par ordre de priorité.
| # | La mesure | Pourquoi elle est décisive | Priorité |
|---|---|---|---|
| 1 | Mettre à jour tous les équipements exposés (VPN, pare-feux, serveurs) | C’est leur porte d’entrée numéro un. Les failles exploitées sont publiques et corrigées par les éditeurs | Immédiate |
| 2 | Activer la double authentification sur tous les accès distants et comptes administrateurs | Neutralise les identifiants volés, leur second vecteur d’entrée | Immédiate |
| 3 | Sauvegarder selon la règle 3-2-1, avec une copie hors ligne | Seule protection réelle contre la paralysie de l’activité | Immédiate |
| 4 | Déployer une détection comportementale (EDR) sur les postes et serveurs | Permet de détecter l’intrusion avant le chiffrement, quand il est encore temps | Importante |
| 5 | Sensibiliser les équipes au phishing et aux mots de passe | Ferme la voie des identifiants compromis à la source | Continue |
Quelques précisions sur les points les moins évidents
Sur les mises à jour : c’est la mesure la plus rentable de toutes, et pourtant la plus négligée. Les failles exploitées par ce groupe sur les VPN et pare-feux sont documentées publiquement et corrigées par leurs éditeurs. Une entreprise qui applique ses correctifs dans un délai raisonnable ferme cette porte. Cela suppose de savoir précisément quels équipements sont exposés sur internet : commencez par en établir la liste, beaucoup d’organisations découvrent à cette occasion des accès oubliés.
Sur la double authentification : elle rend inutilisables des identifiants volés. Même si un mot de passe circule sur un marché criminel, l’attaquant reste bloqué. Priorité absolue sur les comptes administrateurs et les accès VPN.
Sur les sauvegardes : une sauvegarde connectée en permanence au réseau sera chiffrée en même temps que le reste. Seule une copie déconnectée ou immuable vous sauvera. Et surtout : testez vos restaurations. Une sauvegarde qu’on n’a jamais restaurée est une sauvegarde dont on ignore si elle fonctionne.
Sur la détection : face à une attaque qui se déroule en quelques heures, la question n’est plus seulement de bloquer, mais de détecter tôt. Une modification inhabituelle des politiques de groupe, l’apparition d’outils d’administration sur des postes qui n’en ont pas l’usage, une désactivation soudaine d’un antivirus : ce sont les signaux faibles qui précèdent le chiffrement.
Pour aller plus loin sur le choix des solutions concrètes à déployer, consultez notre guide des outils de cybersécurité incontournables pour les entreprises, qui détaille les briques adaptées à chaque usage et à chaque budget.
