20,9 milliards de dollars :
le FBI mesure un nouveau record.
Le chiffre est officiel, mais il doit être lu correctement. Les 20,877 milliards de dollars correspondent aux pertes déclarées à l’Internet Crime Complaint Center en 2025 : ce n’est ni une estimation de toute la cybercriminalité mondiale, ni la mesure exhaustive de toutes les pertes subies aux États-Unis.
Les chiffres confirmés du rapport IC3 2025
Le FBI a publié en avril 2026 son rapport annuel consacré aux plaintes reçues par l’Internet Crime Complaint Center, ou IC3. Pour l’année 2025, le centre a enregistré 1 008 597 plaintes et 20,877 milliards de dollars de pertes déclarées. Le montant progresse de 26 % par rapport à 2024.
Le passage au-dessus du million de plaintes est lui aussi significatif : l’IC3 en avait enregistré 859 532 en 2024. Cela représente environ 149 000 signalements supplémentaires en un an. Le FBI indique par ailleurs une perte moyenne déclarée de 20 699 dollars par plainte, même si cette moyenne masque des situations extrêmement différentes.
Le rapport distingue les plaintes selon les types de crimes, les mécanismes utilisés et l’âge des victimes. Phishing et spoofing, extorsion et fraude à l’investissement figurent parmi les catégories les plus fréquemment signalées. Mais le nombre de plaintes ne suffit pas à mesurer la gravité financière : certaines fraudes moins nombreuses provoquent des pertes individuelles beaucoup plus élevées.
L’article initial parlait de « 21 milliards ». Cette formulation reste acceptable comme arrondi journalistique, mais le montant officiel précis est 20,877 milliards de dollars.
Ce que mesure réellement l’IC3 — et la limite à ne pas oublier
L’IC3 est la plateforme du FBI dédiée au signalement des crimes et fraudes facilités par Internet. Particuliers et organisations peuvent y transmettre les informations relatives à une escroquerie, une compromission de compte, une fraude financière ou un autre incident entrant dans son périmètre.
Les statistiques annuelles reposent donc sur les plaintes reçues et les pertes déclarées par les plaignants. Le FBI précise que la qualité de ses données dépend des informations communiquées. Il serait incorrect de transformer les 20,877 milliards en estimation exhaustive du « coût réel » de toute la cybercriminalité américaine.
Il est raisonnable de considérer que tous les incidents ne sont pas signalés. En revanche, l’article source allait trop loin en affirmant que « les experts estiment généralement que les pertes réelles sont plusieurs fois supérieures ». Aucune estimation officielle du FBI dans le rapport 2025 ne permet de fixer ce multiplicateur. Cette affirmation est donc retirée.
La bonne lecture est plus rigoureuse : 20,877 milliards constituent le total des pertes rapportées à l’IC3 pour 2025. Le montant économique réel des crimes non signalés n’est pas quantifié par ce chiffre.
Une statistique de plaintes n’est pas un recensement exhaustif de la criminalité. Elle mesure ce qui a été déclaré au dispositif, avec la méthodologie et les catégories du FBI.
Fraudes en ligne : 17,7 milliards de dollars sur environ 453 000 plaintes
Le FBI isole environ 453 000 plaintes de fraude facilitée par le numérique, pour plus de 17,7 milliards de dollars de pertes. Autrement dit, l’essentiel du préjudice financier recensé ne vient pas nécessairement d’une intrusion technique spectaculaire : il provient très souvent de mécanismes visant à convaincre une personne d’envoyer de l’argent, de transmettre un accès ou de croire à une identité fabriquée.
La fraude à l’investissement est le principal moteur financier : le FBI indique qu’elle représente près de 49 % des pertes liées aux escroqueries. Les criminels utilisent de faux placements, de fausses plateformes, des contacts prolongés et des techniques d’ingénierie sociale destinées à installer progressivement la confiance.
Le phishing reste parallèlement un problème massif en volume. Les messages sont plus crédibles, mieux personnalisés et peuvent être combinés à des pages de connexion copiées, à l’usurpation téléphonique ou à de faux interlocuteurs. Cette évolution complète les constats présentés dans notre analyse sur la proportion d’e-mails malveillants observée par Barracuda Networks.
Le point essentiel pour les entreprises est que « cybercriminalité » ne signifie plus uniquement malware ou piratage de serveur. La manipulation d’un salarié, d’un dirigeant, d’un client ou d’un fournisseur peut être le point d’entrée d’une perte financière majeure.
Cryptomonnaies : plus de 11 milliards de dollars de pertes déclarées
Les plaintes impliquant des cryptomonnaies constituent l’un des chiffres les plus frappants du rapport : 181 565 plaintes pour plus de 11 milliards de dollars de pertes. La cryptomonnaie n’est pas nécessairement la fraude elle-même ; elle peut être le moyen de paiement, le support d’un faux investissement ou l’infrastructure utilisée pour déplacer les fonds.
Cette distinction est importante. Un escroc peut nouer une relation sur un réseau social, se présenter comme conseiller financier, afficher de faux gains sur une plateforme puis demander à la victime d’envoyer des actifs numériques. L’investissement fictif et l’ingénierie sociale constituent alors le cœur de l’arnaque ; la cryptomonnaie facilite le transfert.
Le FBI poursuit depuis 2024 l’opération Level Up, qui vise à identifier des victimes engagées dans une fraude à l’investissement en cryptomonnaies et à les avertir avant que les pertes ne s’aggravent. En avril 2026, le Bureau indiquait avoir dépassé 8 000 victimes averties et évité plus de 500 millions de dollars de pertes supplémentaires.
Ce dispositif illustre un changement de logique : intervenir pendant la fraude, et non uniquement après le dépôt de plainte. Les escroqueries d’investissement peuvent durer des semaines ou des mois et pousser la victime à augmenter progressivement les montants transférés.
« Crypto » ne doit pas devenir une catégorie fourre-tout. Le rapport comptabilise des plaintes dans lesquelles les cryptomonnaies sont impliquées ; il ne dit pas que 11 milliards proviennent d’un seul type d’attaque.
Pour la première fois, le FBI chiffre les plaintes liées à l’intelligence artificielle
Le rapport 2025 introduit pour la première fois une section consacrée à l’intelligence artificielle. Le FBI comptabilise 22 364 plaintes comportant un élément lié à l’IA, pour près de 893 millions de dollars de pertes.
Ce chiffre doit lui aussi être interprété avec prudence. Il ne signifie pas que l’IA a « causé » à elle seule 893 millions de dollars de pertes. Elle intervient comme outil ou composante de certaines escroqueries : faux profils, documents d’identité falsifiés, clonage vocal, vidéos crédibles de personnalités ou de proches, contenus destinés à rendre une usurpation plus convaincante.
La nouveauté est moins l’existence de la fraude que la baisse du coût de fabrication de contenus crédibles. Une voix peut être imitée, un visage animé, un texte personnalisé et une identité fictive alimentée à grande échelle. Le FBI insiste donc sur les techniques de pression : urgence, secret, demande inhabituelle de paiement et impossibilité de vérifier indépendamment l’interlocuteur.
Il faut en revanche retirer deux affirmations trop générales de la version initiale : le rapport ne démontre pas que les attaquants « adoptent l’IA plus vite » que les défenseurs et ne permet pas d’affirmer que les malwares se réécrivant grâce à l’IA constituent l’un des principaux moteurs des 20,9 milliards. Ces hypothèses existent dans le débat cybersécurité, mais elles ne sont pas établies par ces statistiques IC3.
Plus de 60 ans : 201 266 plaintes et 7,7 milliards de dollars perdus
Les personnes de plus de 60 ans forment le groupe d’âge ayant déclaré les pertes les plus élevées : 201 266 plaintes et environ 7,7 milliards de dollars. Le FBI a précisé en 2026 que les pertes de ce groupe avaient progressé d’environ 59 % par rapport à 2024.
La perte moyenne déclarée dépasse 38 000 dollars et au moins 12 400 victimes de plus de 60 ans ont signalé une perte de 100 000 dollars ou davantage. Les fraudes à l’investissement constituent le poste le plus lourd, avec plus de 3,5 milliards de dollars déclarés pour cette population.
Les mécanismes ne reposent pas tous sur une compétence informatique particulière. Faux support technique, usurpation d’une administration, romance scam, investissement frauduleux ou contact téléphonique persistant exploitent surtout la confiance, l’isolement, la peur de perdre de l’argent ou la pression à agir immédiatement.
Le FBI recommande de résister aux demandes urgentes, de ne pas communiquer d’informations bancaires à un interlocuteur non vérifié et de se méfier particulièrement des demandes de paiement par cryptomonnaie, carte cadeau ou virement vers un destinataire inhabituel.
Le montant de 7,7 milliards n’est pas une projection : il correspond aux pertes déclarées par les plaignants de plus de 60 ans dans les données IC3 2025.
Pour les entreprises : compromission d’e-mails, ransomwares et dépendances techniques
Les organisations restent confrontées à plusieurs familles de risques qui ne doivent pas être confondues. La compromission d’e-mails professionnels, ou BEC, cherche à détourner des paiements en usurpant un dirigeant, un fournisseur ou un partenaire. Les ransomwares visent la disponibilité des systèmes et des données. Les attaques de chaîne d’approvisionnement exploitent, elles, un prestataire ou un composant partagé.
Ces risques peuvent se combiner. Une boîte mail compromise permet d’observer une relation commerciale avant de modifier un RIB au moment opportun. Une dépendance logicielle vulnérable peut ouvrir un accès à plusieurs organisations. Un ransomware peut enfin interrompre l’activité et être associé à une exfiltration de données.
Les incidents européens récents montrent que le sujet ne s’arrête évidemment pas aux États-Unis. WY-Créations a documenté l’attaque Qilin contre les lycées des Hauts-de-France ainsi que les risques de chaîne d’approvisionnement autour de LiteLLM.
Les volumes de données exposées constituent un autre risque, comme l’illustre notre dossier sur les fuites massives de données et les centaines de millions de comptes concernés. Une donnée volée peut ensuite alimenter phishing, usurpation et prise de contrôle de comptes.
Ce que le rapport américain révèle pour la France — et ce qu’il ne permet pas d’affirmer
Les 20,877 milliards de dollars concernent les plaintes reçues par le FBI et ne doivent pas être transposés mécaniquement à la France. Les systèmes de signalement, les populations, les marchés financiers et les méthodologies diffèrent. Il serait donc faux d’en déduire un coût français par simple règle de trois.
En revanche, les techniques décrites circulent à l’échelle internationale : phishing, usurpation, ransomware, fraude à l’investissement, compromission de messagerie, vol d’identifiants et deepfakes ne connaissent pas de frontière nationale. Les organisations françaises doivent donc observer les tendances américaines comme des indicateurs de méthodes et non comme leurs propres statistiques nationales.
En Europe, l’exposition du secteur public fait l’objet d’une attention particulière, sujet développé dans notre analyse sur les cyberattaques visant les administrations publiques. La CNIL suit également l’évolution des violations de données et des obligations de sécurité.
Les attaques peuvent être très sophistiquées ou reposer sur des scénarios beaucoup plus simples. Les campagnes utilisant un faux écran bleu pour tromper les utilisateurs rappellent qu’un incident peut commencer par une mise en scène crédible plutôt que par une faille spectaculaire.
Même les détails apparemment anodins peuvent devenir des informations exploitables, ce que nous avions illustré dans notre analyse consacrée aux informations visibles dans l’environnement d’une personnalité.
Le rapport IC3 est une source américaine. Il permet d’identifier des tendances fortes, mais pas de mesurer directement le coût de la cybercriminalité en France.
Les priorités de protection en 2026 : réduire les scénarios les plus rentables
La première priorité est de protéger les comptes. L’authentification multifacteur réduit fortement le risque qu’un simple mot de passe volé suffise à ouvrir une messagerie, un espace d’administration ou un compte financier. Pour les accès sensibles, les méthodes résistantes au phishing sont préférables aux codes facilement interceptables ou communiqués par erreur.
La deuxième est de sécuriser les paiements. Toute modification de coordonnées bancaires, demande urgente ou virement inhabituel devrait faire l’objet d’une vérification par un canal indépendant. Un appel vers un numéro déjà connu vaut mieux qu’une réponse au message qui demande précisément le paiement.
Les sauvegardes doivent être isolées, surveillées et surtout testées. Une copie inaccessible au système compromis limite l’impact d’un ransomware, mais uniquement si l’entreprise sait réellement la restaurer. Les correctifs de sécurité et la maîtrise des comptes administrateurs restent parallèlement indispensables.
La formation doit enfin porter sur les scénarios concrets : faux dirigeant, faux fournisseur, support technique, QR code, message vocal cloné, demande de secret ou pression temporelle. L’objectif n’est pas de transformer chaque salarié en analyste cyber, mais de créer un réflexe de vérification avant l’action irréversible.
En cas d’incident financier, la vitesse compte. Le FBI recommande de contacter rapidement l’établissement financier et de déposer un signalement IC3 aux États-Unis. En France, les victimes doivent utiliser les dispositifs nationaux compétents et déposer plainte lorsque la situation le justifie.
Ce qu’on nous demande le plus souvent.
Combien la cybercriminalité a-t-elle coûté aux États-Unis en 2025 ?
Le FBI a enregistré 20,877 milliards de dollars de pertes déclarées à l’IC3 en 2025, soit une hausse de 26 % sur un an. Il s’agit des pertes rapportées dans les plaintes, pas d’une estimation exhaustive de toute la cybercriminalité américaine.
Combien de plaintes le FBI a-t-il reçues ?
L’IC3 a reçu 1 008 597 plaintes en 2025, contre 859 532 en 2024. Le rapport affiche une perte moyenne déclarée de 20 699 dollars.
Quelle fraude provoque les pertes les plus importantes ?
La fraude à l’investissement est le principal moteur des pertes liées aux escroqueries et représente près de 49 % de celles-ci selon le FBI. Les plaintes impliquant les cryptomonnaies dépassent, toutes catégories confondues, 11 milliards de dollars.
Quel est le rôle de l’intelligence artificielle ?
Pour la première fois, le rapport 2025 isole 22 364 plaintes liées à l’IA, représentant près de 893 millions de dollars. Le FBI cite notamment les faux profils, clones vocaux, faux documents et vidéos crédibles utilisés dans les escroqueries.
Les personnes âgées sont-elles davantage touchées ?
Les plus de 60 ans ont déclaré environ 7,7 milliards de dollars de pertes sur 201 266 plaintes. Il s’agit du groupe d’âge enregistrant le montant de pertes le plus élevé dans le rapport.
Ces chiffres s’appliquent-ils à la France ?
Non. Ils proviennent du système de signalement américain IC3. Ils sont utiles pour comprendre les méthodes et tendances criminelles, mais ils ne permettent pas de calculer directement le coût de la cybercriminalité en France.
WY-Créations suit les évolutions de la cybersécurité, de l’intelligence artificielle et des risques numériques en distinguant les statistiques officielles, les constats documentés et les projections. Retrouvez toutes les actualités web et la présentation de WY-Créations.
La confiance numérique fait désormais partie de la visibilité d’une entreprise.
Site internet, données, comptes professionnels et réputation sont liés. Une stratégie numérique sérieuse doit intégrer la sécurité des accès et la maîtrise des risques qui peuvent fragiliser l’activité.