Le paysage du ransomware ne fait pas qu’évoluer : il se fragmente, se décentralise et devient plus dangereux. Dans cet environnement volatil, DragonForce s’impose comme l’un des acteurs les plus intrigants et menaçants de 2025. Issu, semble-t-il, de racines hacktivistes, aujourd’hui pleinement immergé dans l’économie du cybercrime, DragonForce incarne une nouvelle génération de menaces hybrides : idéologiquement ambivalentes, technologiquement agiles, et farouchement opportunistes. Tribune CheckPoint.
Un cartel taillé pour l’économie des plateformes
DragonForce est apparu pour la première fois en décembre 2023 avec le lancement de son portail clandestin “DragonLeaks”. Certains chercheurs y voient un prolongement de DragonForce Malaysia, collectif hacktiviste de longue date. Mais la trajectoire actuelle du groupe est désormais résolument tournée vers le crime organisé.
En 2025, DragonForce est devenu un cartel de ransomware à part entière, avec un modèle économique conçu pour séduire des affiliés indépendants ou en rupture avec d’autres groupes. Ses caractéristiques clés :
- Part de revenus à 20 %, inférieure à la moyenne des offres Ransomware-as-a-Service (RaaS)
- Kits de ransomware en marque blanche : chaque affilié peut créer sa propre marque, compiler ses binaires, personnaliser les messages de rançon et extensions de fichiers
- Infrastructure prête à l’emploi : outils de négociation, stockage chiffré, sites de fuite standardisés (“RansomBay”)
Après la disparition de RansomHub en avril 2025, DragonForce a rapidement absorbé ses affiliés, se présentant comme une alternative agile aux opérateurs historiques. À une époque où la confiance dans les grandes marques RaaS s’effondre, DragonForce mise sur l’anonymat, la flexibilité et la rentabilité.
Ransomware en 2025 : une explosion historique
La montée en puissance de DragonForce coïncide avec une hausse record des attaques par ransomware.
Selon le rapport State of Ransomware Q1 2025 de Check Point :
- 2 289 victimes publiques recensées rien qu’au premier trimestre, soit une augmentation de 126 % sur un an — un record absolu
- 74 groupes actifs en parallèle, signe d’un écosystème en pleine prolifération
- Malgré les exagérations et doublons, la moyenne mensuelle ajustée dépasse désormais 650 victimes confirmées, contre 450 en 2024
Le ransomware ne croît pas seulement en volume. Il évolue dans ses méthodes : de plus en plus de groupes pratiquent l’extorsion sans chiffrement, simplifiant leurs opérations et accélérant les gains.
Le secteur du commerce de détail britannique en ligne de mire
En avril-mai 2025, DragonForce a mené une campagne ciblant de grands distributeurs au Royaume-Uni.
Résultat : interruptions prolongées des sites e-commerce, programmes de fidélité et systèmes internes. Cette campagne reflète une évolution stratégique : au-delà de la rançon, exploiter les données personnelles à grande échelle pour des revenus secondaires.
Les données Check Point le confirment :
Le secteur “Biens et services de consommation” est devenu le 5e plus visé au Royaume-Uni (et le 2ème en France en 2024), avec :
- 1 337 attaques hebdomadaires par organisation*
- Taux d’attaque supérieur de 8 % à la moyenne nationale
- Croissance de 22 % sur un an
Cette tendance recoupe les cibles privilégiées d’autres groupes, tels que Cl0p.
* Selon le dernier Threat Intelligence Report de Check Point (avril 2025), sur les six derniers mois, le secteur du retail a subi 903 cyberattaques par semaine en France (1500 en Europe).
Un écosystème fragmenté et concurrentiel
La disparition de LockBit et ALPHV (démantelés par les autorités en 2024) a laissé un vide :
- RansomHub l’a brièvement comblé avant de disparaître à son tour en avril 2025
- Une multitude d’acteurs intermédiaires rivalisent désormais : Akira, Medusa, Play…
- Faible fidélité des affiliés, modèles agressifs : partage 80/20, zéro coût d’entrée
DragonForce tire son épingle du jeu en combinant la simplicité d’une plateforme et l’aura d’un mouvement. Il offre des outils, mais aussi une identité — certes vague — et un alignement.
IA, automatisation et future mutation du ransomware
Les rapports 2025 de Check Point soulignent une tendance inquiétante : l’usage croissant de l’intelligence artificielle dans la production de malware et la montée en charge des campagnes :
- Des groupes comme FunkSec utilisent des générateurs assistés par LLM pour créer du code malveillant
- Les outils d’usurpation vocale et visuelle par deepfake renforcent les attaques d’ingénierie sociale
- L’IA générative permet de piloter des campagnes multilingues de phishing, BEC et vol de codes OTP via bots vocaux automatisés
Cette évolution professionnalise encore davantage les opérations criminelles — et complique considérablement la tâche des défenseurs.
DragonForce n’est pas simplement un groupe de ransomware. C’est un modèle économique, une stratégie de marketing et un écosystème.
Sa force ne réside pas dans la sophistication technique, mais dans sa capacité à abaisser la barrière d’entrée au cybercrime : en accueillant les anciens affiliés, en permettant aux nouveaux acteurs de créer leur propre marque, en capitalisant sur un monde encore peu préparé au modèle RaaS.
L’avenir du ransomware sera décentralisé, automatisé et redoutablement accessible. DragonForce l’a simplement compris avant les autres.
