ECRAN · Notre méthode

D’où viennent nos explications ?
Comment lire les chiffres ?

ECRAN, l’Encyclopédie des Cybermenaces, des Risques et des Attaques Numériques de RsynC, explique les menaces à partir de situations fictives et de techniques documentées. Vous y trouverez des repères pour comprendre ce qui se passe et choisir comment réagir. ECRAN ne recense pas tous les incidents et ne permet pas de diagnostiquer votre appareil.

Ce que mesure le classement

Les classements français proviennent des rapports annuels de Cybermalveillance.gouv.fr. Ils comptent les recherches d’assistance des particuliers d’une part, des entreprises et associations d’autre part. Pour chaque année, les pourcentages donnent la part des demandes du public choisi. Ils ne permettent pas de calculer votre risque personnel de subir une attaque.

Une menace souvent signalée n’est pas forcément celle qui cause les dégâts les plus graves. À l’inverse, une attaque rare peut être destructrice. Les incidents non signalés ou traités par d’autres services ne sont pas représentés de la même manière.

Pourquoi les années restent séparées

Avec le lancement de 17Cyber, la façon de compter a changé, comme l’explique le rapport 2025. Additionner les pourcentages ou comparer directement les volumes ferait oublier ce changement. Vous pouvez donc consulter chaque année avec sa source ; aucun total cumulé de 2023 à 2025 n’est calculé.

Catégories mesurées et variantes techniques

Un rapport peut compter l’hameçonnage sans donner de chiffre propre aux SMS, aux QR codes ou aux relais d’authentification. Ces variantes ont chacune leur fiche, mais nous ne leur attribuons pas le chiffre de l’ensemble de leur famille. Si une technique n’est pas classée, cela signifie que la source retenue ne la mesure pas séparément. Elle peut tout de même exister.

Certaines catégories des rapports couvrent plusieurs situations. Le mot « virus » regroupe des programmes malveillants ; une « violation de données » peut être accidentelle ; un pourriel peut être une simple publicité indésirable. Le classement garde les mots du rapport et les fiches expliquent ces nuances.

Traitement des chiffres

  • Chaque chiffre garde sa source, son public, son année, son unité et le libellé du rapport.
  • Un pourcentage publié reste un pourcentage : nous ne le transformons pas en nombre de cas à partir d’un total arrondi.
  • Une famille n’est pas additionnée à ses sous-catégories.
  • Une valeur manquante reste absente, sans zéro ni estimation pour la remplacer.
  • Si les chiffres se contredisent, nous gardons seulement les éléments confirmés et expliquons ce qui manque.

Pour les violations de données chez les particuliers en 2025, le graphique et son commentaire donnent des pourcentages différents. Tous deux placent cette catégorie au troisième rang : nous affichons donc ce rang seul. D’autres catégories de 2025 gardent également leur rang sans pourcentage lorsque leur valeur n’a pas pu être confirmée.

Publics concernés

Une attaque peut toucher plusieurs personnes de façons différentes. Si la page de paiement d’un commerce est piratée, le commerçant doit traiter l’incident et son client peut perdre ses données bancaires. Les fiches précisent ces rôles. Selon le cas, « entreprises et organisations » inclut aussi les associations et les structures publiques. Le classement statistique garde, lui, le périmètre « entreprises et associations » du rapport.

Le filtre par public indique le contexte habituel de l’attaque. Par exemple, les techniques visant les annuaires professionnels sont regroupées avec les organisations. Un particulier qui administre le même type de système peut aussi lire ces fiches.

Niveaux de lecture

Le niveau « Normal » regroupe les sujets que l’on peut comprendre avec les usages numériques courants. Le niveau « Avancé », signalé par une couronne dorée, concerne les mécanismes demandant des bases en programmation, en protocoles, en cryptographie ou dans un domaine spécialisé comme les systèmes industriels.

Ce classement éditorial tient compte du mécanisme expliqué et des connaissances utiles pour le suivre. Il ne mesure ni la gravité de l’attaque, ni sa fréquence, ni la difficulté à la réaliser. Un dossier technique peut compléter une fiche de niveau normal. Toutes les fiches commencent par une explication accessible.

Construction des explications

Chaque fiche commence par une situation fictive, explique le piège et sépare les gestes à votre portée des tâches de l’organisation. Une question propose ensuite une autre situation, avec une réponse qui explique le raisonnement.

Un dossier technique complète la fiche lorsqu’il aide à comprendre le mécanisme, les traces ou les protections. Il présente les notions utiles, l’objectif de lecture, un cas, son schéma, les indices à comparer et la réponse à apporter. Un exercice vous invite à justifier une décision avant d’ouvrir la correction. Les arnaques qui reposent surtout sur la manipulation gardent un seul parcours de lecture.

Les extraits de journaux et les indications de collecte sont facultatifs. Vous pouvez les lire ensuite, ou les utiliser si vous disposez des outils concernés. Les exemples techniques sont fictifs. Les incidents historiques, eux, sont présentés à part.

Commencez par « Comprendre et agir », puis essayez de répondre à la question sans relire. Comparez votre raisonnement avec la correction. Si vous travaillez sur les systèmes concernés, poursuivez avec « Analyser un cas technique ». Quelques jours plus tard, revenez à la question et vérifiez si vous pouvez encore expliquer votre choix. Vous n’avez besoin ni de mémoriser les sigles et numéros d’événements, ni d’effectuer une manipulation technique pour suivre la lecture.

L’association d’exemples concrets, de représentations visuelles et de questions de compréhension s’appuie sur les recommandations de l’Institute of Education Sciences sur l’apprentissage. Nous avons choisi de les appliquer à ECRAN. Il reste à évaluer ce qu’elles apportent à nos lecteurs.

MITRE ATT&CK décrit les comportements des attaquants. OWASP documente les risques des applications et leurs protections. Nous utilisons ces références pour expliquer les mécanismes ; elles ne remplacent pas les chiffres français des demandes d’assistance. Une fiche peut couvrir plusieurs de leurs techniques, et une technique apparaître dans plusieurs fiches.

Groupes et campagnes historiques

Les notices historiques décrivent des événements réels. Elles sont séparées des exemples fictifs qui servent à expliquer le mécanisme. Leurs sources sont des analyses de chercheurs, des avis d’agences de sécurité ou des documents judiciaires. Chaque notice donne la période des faits, la date du rapport et un lien pour consulter la source.

Les éditeurs ne suivent pas toujours les groupes de la même façon. Deux noms peuvent donc se recouper sans désigner exactement les mêmes personnes. Un kit, un logiciel ou une campagne ne correspond pas forcément à une seule organisation. Nous précisons qui attribue les faits au groupe et ce que la source permet d’affirmer. Une accusation judiciaire reste une accusation, sans être présentée comme une condamnation. Les liens avec les techniques reprennent ce que le rapport documente. Lorsqu’il n’y a pas de notice, aucun exemple n’a été retenu pour cette sélection ; cela ne signifie pas qu’aucun incident n’a eu lieu.

Illustrations et accessibilité

Les illustrations ont été créées avec une aide à la génération d’images. Elles ne montrent pas de victimes réelles. Les dessins vectoriels expliquent les idées ; ils ne sont ni des captures d’incidents ni des logos de groupes.

Dans les schémas, vous pouvez agrandir le texte et suivre les étapes numérotées avec les flèches. Sur petit écran, les échanges se parcourent horizontalement au toucher ou au clavier. Une transcription complète est disponible pour les lecteurs d’écran. Les blocages portent un nom en plus d’une couleur. Les étapes et tableaux de décision restent lisibles sans JavaScript.

Des documents consultables sur ECRAN

Certains sites bloquent leurs pages selon le navigateur ou le réseau utilisé. Pour faciliter la lecture, nous conservons aussi les documents ci-dessous sur ECRAN, en PDF, dans leur version d’origine non modifiée. Les liens des fiches ouvrent directement ces copies.

Chaque copie correspond à une édition précise et ne se met pas à jour automatiquement. Sa langue, son édition et sa provenance sont indiquées pour vous aider à l’identifier.

Sources du classement

Référentiels complémentaires

Révision et corrections

La date de révision d’une fiche correspond à une modification de son contenu. Elle ne change pas à chaque reconstruction du site. Nous prévoyons de revoir les statistiques chaque année et les sujets qui évoluent chaque trimestre. Les sources et l’historique des versions permettent de retrouver les corrections.

Un chiffre ou une explication vous paraît incorrect ? Contactez RsynC en indiquant la fiche, le passage et, si possible, une source primaire. Évitez de transmettre des identifiants, des preuves intimes ou des données confidentielles par ce formulaire.