Je consulte les canaux de publication de victimes tous les matins. C'est une routine ingrate : la plupart des journées apportent deux ou trois noms, souvent des organisations dont on n'a jamais entendu parler, et la tentation est grande de survoler.
Le 5 août 2026 a été différent. Un seul acteur, suivi sous le nom d'OROVA, a publié une dizaine de victimes dans la même journée. Ce n'est pas un record absolu. Mais la composition de la liste mérite qu'on s'y arrête, parce qu'elle dit quelque chose de précis sur qui est visé en 2026 — et la réponse n'est pas celle que la plupart des dirigeants de PME imaginent.
Ce qui a été publié, précisément
Parmi les organisations apparues le 5 août 2026 et attribuées à OROVA figurent notamment ADG Healthcare, Port Huron Heart Center, BJS Insurance, AG Chemical Solutions, Apollo Net LLC, Conceptual Designs Inc., Empyrean Industrial, eSysTech et dbmreflex.com.tw.
La même journée, d'autres acteurs publient en parallèle : INC_RANSOM (Geleximco Group, Clinton Health Access), Play (First Tek), KRYBIT (Galvin Brothers), Aur0ra (GILDE Handwerk). Le lendemain, 6 août, s'ajoutent Lantis Enterprises (INC_RANSOM), Laurel Institutes (DarkProject) et All Cosmos Industries (Gunra).
Regardez la liste sans chercher les noms connus, et regardez plutôt les secteurs : santé de proximité, courtage en assurance, chimie de spécialité, artisanat, ingénierie, enseignement supérieur privé, industrie agricole. Aucun grand compte. Aucune infrastructure nationale. Aucun nom qui fera la une.
Notre avis d'expert n° 1
« Le réflexe des dirigeants de PME que nous rencontrons est de se penser hors cible : "nous sommes trop petits, nous n'avons rien qui intéresse quelqu'un". Cette liste est la réfutation la plus directe qu'on puisse produire. Un cabinet de cardiologie et un courtier en assurance ne sont pas des cibles de valeur stratégique — ce sont des cibles d'opportunité, sélectionnées parce qu'un service exposé n'était pas à jour. La question pertinente n'est pas "sommes-nous intéressants ?" mais "sommes-nous accessibles ?". »
Le calcul économique qui explique cette liste
Attaquer une grande entreprise rapporte davantage par incident. C'est un fait, et c'est ce qui a construit la réputation du big game hunting entre 2019 et 2023. Mais ce modèle s'est heurté à deux obstacles : les grandes organisations se sont dotées de centres de supervision, et les autorités ont concentré leurs moyens sur les groupes qui les visaient.
Le modèle qui se généralise en 2026 raisonne différemment. Si compromettre une organisation de trente personnes demande dix fois moins d'effort qu'une entreprise de trois mille, alors dix petites structures produisent un meilleur rendement qu'une grande — même si chaque rançon est dix fois plus faible. Le calcul est simplement arithmétique.
Deux conséquences en découlent, et elles sont contre-intuitives.
Première conséquence : les demandes sont calibrées pour être payables. Un montant qui dépasse manifestement les capacités de la victime ne sert à rien. Les acteurs qui opèrent en volume ajustent leur demande à ce qu'une structure de cette taille peut réunir. C'est ce qui rend le paiement tentant — et c'est précisément le mécanisme qui alimente le modèle.
Deuxième conséquence : la sélection est technique, pas commerciale. Personne n'a étudié le chiffre d'affaires d'un cabinet médical du Michigan avant de le viser. Un service exposé a été trouvé par balayage automatisé, une vulnérabilité connue a été exploitée, et le reste a suivi. Cela signifie que votre exposition compte infiniment plus que votre attractivité.
Répartition sectorielle des victimes publiées les 5 et 6 août 2026
Pourquoi le tissu français correspond exactement à ce profil
La France compte une majorité écrasante de structures de moins de cinquante salariés. Beaucoup exercent dans des secteurs représentés dans cette liste : santé libérale, courtage, sous-traitance industrielle, ingénierie. Beaucoup ont numérisé leurs opérations sans jamais recruter de compétence sécurité — non par négligence, mais parce que le poste ne se justifie pas à cette échelle.
Ces organisations partagent quatre caractéristiques qui les rendent accessibles : un accès distant ouvert depuis la période de télétravail et jamais refermé, des sauvegardes présentes mais jamais testées en restauration, des correctifs appliqués quand un prestataire passe, et des comptes techniques créés au fil des projets sans registre.
Aucune de ces quatre caractéristiques ne relève de l'incompétence. Toutes relèvent de l'absence de temps dédié. C'est ce qui rend le problème traitable : il ne demande pas d'expertise rare, il demande une routine.
Votre exposition compte plus que votre taille.
Nous cartographions les services de votre organisation exposés sur Internet et identifions ceux qui correspondent au profil ciblé par ces campagnes. Le rapport tient en une page.
Discutons-enNotre avis d'expert n° 2
« Le nombre d'acteurs distincts publiant le même jour — OROVA, INC_RANSOM, Play, KRYBIT, Aur0ra, puis Gunra et DarkProject — est aussi significatif que le nombre de victimes. Il indique un écosystème fragmenté, où de nouveaux noms apparaissent en permanence. Pour une PME, la conséquence pratique est qu'il est parfaitement inutile de suivre l'actualité des groupes. Les noms changent tous les trimestres ; les vecteurs d'entrée, eux, sont remarquablement stables depuis cinq ans. Investissez dans la fermeture des vecteurs, pas dans la veille sur les acteurs. »
Ce qu'il faut faire si votre nom apparaît
L'ordre compte, et les premières heures déterminent largement la suite.
Ne réinstallez pas dans l'urgence. C'est le réflexe le plus naturel et le plus coûteux. Remettre un serveur à neuf efface les traces qui permettraient de déterminer le vecteur d'entrée, l'étendue de l'accès et le moment de la compromission. Sans ces informations, vous ne saurez pas si l'accès a été coupé, et une seconde intrusion suivra souvent dans les semaines qui suivent.
Isolez plutôt que d'éteindre. Déconnecter du réseau préserve la mémoire vive et les journaux. Éteindre brutalement détruit une partie des éléments utiles.
Notifiez dans les délais. Si des données personnelles sont concernées, la notification à la CNIL intervient dans les 72 heures suivant la prise de connaissance. Ce délai est court et il court pendant que vous gérez la crise — d'où l'intérêt d'avoir identifié à l'avance qui s'en charge.
Déposez plainte. Indépendamment des chances de retrouver les auteurs, le dépôt de plainte conditionne certaines démarches assurantielles et constitue une pièce du dossier de conformité.
Sur la question du paiement, notre position n'a pas changé : elle relève d'une décision de direction éclairée par un conseil juridique, jamais d'une décision technique prise dans l'urgence. Nous documentons ce sujet en détail dans nos ressources sur la négociation en situation de ransomware.
Les 4 mesures qui ferment la majorité des portes
- Authentification multifacteur sur tous les accès distants, sans exception. L'exception que l'on s'accorde « juste pour ce compte de service » est statistiquement le point d'entrée. Notre guide de déploiement du MFA en entreprise détaille la méthode.
- Sauvegardes hors ligne, testées par une restauration réelle. Une sauvegarde jamais restaurée est une hypothèse, pas une garantie. Les sauvegardes accessibles depuis le réseau sont chiffrées en même temps que le reste. Voir notre plan de sauvegarde informatique.
- Correctifs sur les équipements exposés à Internet, dans un délai court. Pare-feu, VPN, serveurs de messagerie, outils d'administration à distance. Ce sont ces équipements qui sont balayés en permanence, pas vos postes de travail.
- Suppression des comptes techniques inutilisés. Chaque projet terminé laisse des accès derrière lui. Une revue trimestrielle suffit à les éliminer. C'est la mesure la moins coûteuse de la liste et la plus souvent négligée.
Notre avis d'expert n° 3
« Ces quatre mesures ne sont pas nouvelles et ne le seront jamais. C'est précisément ce qui devrait convaincre : elles figurent dans les recommandations depuis dix ans parce qu'elles fonctionnent toujours. La difficulté n'est pas de les connaître, c'est de les tenir dans la durée sans personne dédiée. Notre conseil aux structures de moins de cinquante personnes : ne cherchez pas à tout couvrir, désignez une demi-journée par trimestre, et traitez ces quatre points dans l'ordre. Une routine médiocre appliquée régulièrement protège mieux qu'un plan excellent jamais exécuté. »
Ce que cela annonce pour la rentrée
Deux tendances nous paraissent probables sur les prochains mois.
D'abord, la fragmentation continue. Le nombre d'acteurs distincts publiant simultanément suggère un écosystème où l'outillage est accessible et où de nouveaux entrants apparaissent constamment. Cela rend la veille par acteur de moins en moins utile et la réduction de surface d'attaque de plus en plus déterminante.
Ensuite, la pression réglementaire croissante sur les organisations de taille moyenne. Les obligations européennes descendent progressivement vers des structures qui n'en avaient jamais eu, et la démonstration de conformité passera de plus en plus par des éléments documentés. Nos ressources sur le périmètre d'application de NIS2 précisent quelles organisations sont concernées et à quel titre.
Pour les équipes techniques qui construisent des systèmes exposés, nos confrères de D-Open publient sur l'audit des dépendances logicielles, et Plug-Tech documente la gouvernance des identités techniques dans les architectures automatisées — un sujet qui recoupe directement la question des comptes de service oubliés.
Questions fréquentes
Qui est le groupe OROVA ?
OROVA est un nom d'acteur apparu dans les suivis de fuites publiques au cours de l'été 2026. Le 5 août 2026, une dizaine de victimes lui sont attribuées en une seule journée. Son profil de ciblage est remarquable par son absence de spécialisation sectorielle et par la petite taille des organisations visées, ce qui suggère une sélection opportuniste fondée sur l'exposition technique plutôt que sur la valeur de la rançon.
Pourquoi une PME serait-elle ciblée alors qu'elle ne peut pas payer une grosse rançon ?
Parce que le calcul n'est pas celui du montant unitaire mais celui du rendement global. Compromettre dix petites structures faiblement protégées demande souvent moins d'effort qu'une seule grande entreprise disposant d'un centre de supervision. Les demandes sont calibrées pour rester payables. Le volume compense le montant.
Que faire si notre nom apparaît sur un site de fuite ?
Ne pas contacter l'attaquant seul, préserver les traces plutôt que réinstaller dans l'urgence, notifier la CNIL dans les 72 heures si des données personnelles sont concernées, déposer plainte, et faire intervenir un prestataire de réponse à incident. L'erreur la plus coûteuse est la réinstallation immédiate des serveurs, qui détruit les preuves nécessaires pour comprendre le vecteur d'entrée et vérifier que l'accès a bien été coupé.
Quelles mesures réduisent réellement le risque pour une PME ?
Quatre mesures couvrent la majorité des scénarios observés : authentification multifacteur sur tous les accès distants sans exception, sauvegardes hors ligne testées par une restauration réelle, application des correctifs sur les équipements exposés à Internet dans un délai court, et suppression des comptes techniques inutilisés. Aucune ne demande un budget significatif ; toutes demandent de la discipline.
Sources : suivis publics de divulgations de victimes pour les journées des 5 et 6 août 2026 (acteurs OROVA, INC_RANSOM, Play, KRYBIT, Aur0ra, Gunra, DarkProject). Les organisations citées le sont d'après ces publications ; leur mention n'emporte aucune confirmation par les entités concernées.