Une attaque ransomware peut bloquer les logiciels, rendre les fichiers inaccessibles et interrompre l'activité d'une PME en quelques heures. La priorité consiste à limiter la propagation, préserver les preuves et faire intervenir les bonnes personnes, sans payer ni tenter une restauration improvisée.
La capacité à reprendre l'activité dépend surtout de ce qui a été préparé avant l'incident : mises à jour, protection des accès, sauvegardes isolées, responsabilités clairement attribuées et procédure de crise. Une entreprise bien préparée ne supprime pas le risque, mais elle évite qu'un poste compromis entraîne la perte de l'ensemble de son système d'information.
Qu'est-ce qu'une attaque ransomware ?
Une attaque ransomware, ou attaque par rançongiciel, utilise un logiciel malveillant pour chiffrer des fichiers, bloquer des équipements ou empêcher l'accès à des applications. Les attaquants réclament ensuite une rançon en échange d'une clé de déchiffrement ou de la promesse de ne pas publier les données dérobées.
Le chiffrement n'est donc plus le seul danger. Lors d'une double extorsion, les pirates copient les données avant de les rendre inaccessibles. Même si l'entreprise restaure ses serveurs, elle reste exposée à la divulgation de fichiers commerciaux, de documents internes ou de données personnelles.
Une attaque ne signifie pas nécessairement que toute la sécurité informatique a été contournée par une technique particulièrement sophistiquée. L'intrusion commence souvent par une faille de sécurité non corrigée, un compte compromis, un accès distant insuffisamment protégé ou un message frauduleux ouvert par un collaborateur.
Comment un ransomware entre-t-il dans un système ?
Un ransomware peut entrer par une pièce jointe malveillante, un faux lien de connexion, un mot de passe volé, une faille logicielle ou un service accessible depuis Internet. Les accès VPN, les outils de prise en main à distance, les messageries et les comptes d'administration doivent être particulièrement surveillés.
L'attaquant ne déclenche pas toujours le chiffrement immédiatement. Il peut rester plusieurs jours dans le réseau afin de repérer les serveurs, obtenir des droits supplémentaires, copier les données et chercher les sauvegardes. Cette phase explique pourquoi la détection rapide d'une activité inhabituelle est aussi importante que l'antivirus installé sur les postes.
Pourquoi les attaques se déclenchent-elles souvent la nuit ou le week-end ?
Les pirates choisissent fréquemment une période durant laquelle les équipes sont moins nombreuses et les alertes risquent d'être traitées tardivement. Quelques heures sans réaction peuvent leur permettre de toucher davantage de postes, de serveurs et de sauvegardes accessibles depuis le réseau.
Une supervision qui produit des alertes sans personne chargée de les examiner en dehors des horaires de bureau offre une protection limitée. Le contrat du prestataire doit préciser les événements surveillés, les horaires de prise en charge et la personne autorisée à isoler un équipement sans attendre la reprise du travail.
Quels sont les différents types de ransomware ?
Les attaques ne produisent pas toutes les mêmes effets. Il faut distinguer le blocage d'un appareil, le chiffrement des fichiers et le vol de données accompagné d'une menace de publication.
| Type | Mécanisme | Conséquence pour l'entreprise |
|---|---|---|
| Ransomware locker | Bloque l'utilisation d'un appareil ou l'accès à certaines fonctions. | Le poste devient inutilisable, mais l'étendue réelle de l'intrusion doit être vérifiée avant sa remise en service. |
| Ransomware crypto | Chiffre les fichiers locaux, les répertoires partagés ou les données des serveurs. | La reprise dépend de l'existence de sauvegardes saines, isolées et réellement restaurables. |
| Double extorsion | Associe le chiffrement à la copie de données et à une menace de divulgation. | La restauration ne règle pas le risque de fuite, les obligations RGPD ni les conséquences commerciales. |
Ce classement ne permet pas de déterminer la gravité d'un incident à lui seul. Un appareil simplement bloqué peut révéler une compromission plus large. À l'inverse, un chiffrement détecté rapidement peut parfois rester limité à un seul poste. L'analyse technique doit établir le point d'entrée, la période de présence de l'attaquant, les comptes utilisés et les données auxquelles il a pu accéder.
Le développement du ransomware-as-a-service facilite également le passage à l'acte. Des groupes criminels fournissent des outils et une infrastructure à des affiliés qui réalisent les intrusions, puis partagent les rançons obtenues. Une petite entreprise peut ainsi être visée de manière opportuniste, sans avoir été sélectionnée longtemps à l'avance.
Pourquoi les PME sont-elles devenues des cibles à part entière ?
Une PME peut intéresser les attaquants parce qu'elle possède des données exploitables, effectue des paiements, travaille avec d'autres entreprises et dépend fortement de quelques outils informatiques. Elle dispose souvent de moins de personnel spécialisé qu'une grande organisation et peut difficilement supporter plusieurs jours d'arrêt.
Le rapport d'activité 2025 de Cybermalveillance.gouv.fr confirme que les rançongiciels restent une menace suivie pour les organisations françaises. Pour un dirigeant, la bonne question n'est donc pas de savoir si son entreprise paraît assez importante pour être attaquée, mais si elle pourrait continuer à fonctionner après la perte de ses outils principaux.
La responsabilité liée aux données personnelles
Lorsqu'une attaque entraîne la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles, elle peut constituer une violation de données au sens du RGPD. Toutes les attaques ne doivent pas être notifiées automatiquement, mais elles doivent être analysées et documentées.
Si la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes, le responsable du traitement doit la notifier à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Lorsque le risque est élevé, les personnes concernées doivent également être informées, sauf exception prévue par le règlement. La CNIL précise les obligations applicables aux attaques par rançongiciel.
L'entreprise ne doit pas attendre la fin de l'enquête technique pour commencer cette analyse. Une première notification peut être complétée lorsque de nouvelles informations deviennent disponibles. Le délégué à la protection des données, lorsqu'il existe, ainsi qu'un conseil juridique peuvent aider à qualifier le risque et à préparer les communications.
La continuité de l'activité
Le coût le plus immédiat provient souvent de l'indisponibilité des outils. Les collaborateurs ne peuvent plus consulter les dossiers, établir des devis, préparer les commandes ou accéder aux logiciels métier. Même lorsque les fichiers sont sauvegardés, la reconstruction des serveurs, la vérification des postes et la réinitialisation des comptes prennent du temps.
Une solution de sécurité cloud peut contribuer à la continuité de l'activité, mais l'hébergement à distance ne constitue pas automatiquement une sauvegarde. Une synchronisation peut reproduire la suppression ou le chiffrement des fichiers. Il faut vérifier la conservation de versions antérieures, l'isolation des copies, les délais de restauration et les responsabilités du prestataire.
L'impact financier et commercial
La rançon ne représente qu'une partie du coût. Il faut ajouter l'intervention d'urgence, l'analyse de l'incident, la reconstruction des systèmes, l'arrêt de production, les heures non travaillées, les conseils juridiques, la communication et parfois le remplacement de matériels.
La réputation peut également être affectée lorsque des données de clients, de salariés ou de partenaires ont été copiées. Une réponse transparente et factuelle limite généralement davantage les dommages qu'une communication tardive ou contradictoire.
Comment protéger son entreprise d'une attaque ransomware ?
Aucun logiciel ne peut éliminer à lui seul le risque. Une protection cohérente associe la mise à jour des équipements, la sécurisation des comptes, le filtrage des accès, la surveillance, la formation des utilisateurs et des sauvegardes conçues pour résister à la compromission du réseau principal.
Les mises à jour et la protection des accès
Les correctifs doivent être appliqués en priorité aux équipements exposés à Internet : passerelles VPN, pare-feu, serveurs de messagerie, outils de télémaintenance et applications accessibles à distance. Il faut également supprimer les comptes inutilisés, limiter les droits d'administration et activer l'authentification multifacteur sur les accès sensibles.
Un pare feu ordinateur filtre les communications selon des règles définies, mais il ne corrige pas une faille et n'empêche pas un utilisateur de communiquer son mot de passe sur un faux site. L'antivirus, l'antispam et la surveillance des journaux complètent le dispositif sans remplacer les mises à jour ni la gestion rigoureuse des comptes.
Des sauvegardes isolées et testées
Une sauvegarde utile doit couvrir les données nécessaires à l'activité, être réalisée à une fréquence compatible avec la perte maximale acceptable et comporter au moins une copie hors de portée du système courant. L'ANSSI recommande de formaliser une politique de sauvegarde précisant les données vitales, les supports, la fréquence, les restrictions d'accès et les procédures de restauration.
La copie peut être conservée hors ligne ou rendue non modifiable pendant une durée définie. Le point essentiel est qu'un compte administrateur compromis sur le réseau principal ne puisse pas supprimer toutes les versions disponibles.
Un voyant vert dans une console de sauvegarde ne suffit pas. Il faut restaurer périodiquement un fichier, puis tester la reconstruction d'une application ou d'un serveur représentatif. Ces essais permettent de mesurer le délai réel de reprise et de découvrir les dépendances oubliées, comme une base de données, une clé de chiffrement ou un compte technique.
La vigilance des collaborateurs
Les collaborateurs doivent savoir reconnaître un message inattendu, un faux écran de connexion, une demande urgente inhabituelle et une pièce jointe suspecte. Ils doivent surtout connaître le moyen de signaler immédiatement un doute, sans craindre d'être sanctionnés pour une erreur.
La sensibilisation reste toutefois insuffisante si l'infrastructure informatique autorise un compte utilisateur ordinaire à accéder à toutes les données. La segmentation du réseau, la limitation des droits et la séparation des comptes d'administration réduisent les conséquences d'un clic malheureux.
Que faire dans les premières heures d'une attaque ransomware ?
L'objectif immédiat n'est pas de remettre les fichiers en service le plus vite possible. Il faut d'abord empêcher la propagation, préserver les éléments nécessaires à l'enquête et vérifier que l'attaquant n'a plus accès au système. Une restauration trop rapide sur un environnement encore compromis peut provoquer un nouveau chiffrement.
- Isolez les équipements touchés du réseau en débranchant leur câble ou en désactivant leur connexion Wi-Fi. Ne les éteignez pas sans l'avis de la personne chargée de l'analyse, car certaines traces pourraient être perdues.
- Alertez immédiatement le responsable informatique, le prestataire, la direction et la personne chargée de la protection des données.
- Conservez les messages, les demandes de rançon, les journaux, les heures des premiers événements et les coordonnées des personnes intervenues.
- Ne payez pas et ne négociez pas seul avec les attaquants.
- Contactez votre assureur cyber si votre contrat impose une déclaration immédiate ou le recours à des intervenants agréés.
- Utilisez le dispositif d'assistance de Cybermalveillance.gouv.fr et déposez plainte auprès de la police ou de la gendarmerie.
- Faites analyser le périmètre compromis, corrigez le point d'entrée et ne restaurez les données qu'après validation d'un environnement sain.
- Évaluez la présence de données personnelles afin de déterminer les obligations de documentation, de notification et d'information.
La fiche de Cybermalveillance.gouv.fr consacrée aux rançongiciels détaille les premiers réflexes et les démarches de signalement. Les numéros utiles et les responsabilités internes doivent idéalement être consignés dans une procédure disponible en dehors du système informatique potentiellement bloqué.
Faut-il payer la rançon lors d'une attaque ransomware ?
Non, les autorités françaises déconseillent de payer. Le versement ne garantit ni la récupération complète des fichiers, ni l'absence de nouvelle demande, ni la suppression des données volées. Il finance également l'activité criminelle.
La décision peut néanmoins engager des enjeux opérationnels, juridiques, financiers et assurantiels importants. Elle ne doit jamais être prise par une personne isolée. La direction doit se faire accompagner par les services compétents, son conseil juridique, son assureur et des spécialistes de la réponse à incident.
Combien coûte une attaque ransomware à une entreprise ?
Le coût dépend du nombre d'équipements touchés, de la durée d'arrêt, du volume de données à restaurer, de l'existence d'une fuite et de la qualité des sauvegardes. Pour une PME, quelques jours sans facturation, sans production ou sans accès au logiciel métier peuvent déjà dépasser le budget annuel consacré à la protection informatique.
Pour évaluer votre exposition, partez du coût d'une journée d'arrêt : marge perdue, salaires maintenus, commandes retardées, pénalités éventuelles et intervention technique. Multipliez ce montant par le délai nécessaire pour reconstruire vos outils à partir des sauvegardes réellement disponibles. Ce calcul donne un ordre de grandeur plus utile qu'une moyenne internationale portant sur des entreprises beaucoup plus grandes.
Trois vérifications à faire dès cette semaine
Demandez d'abord la restauration d'un fichier choisi au hasard, puis vérifiez combien de temps l'opération demande. Demandez ensuite la liste des accès distants, des comptes d'administration et des équipements exposés à Internet, avec leur date de dernière mise à jour.
Enfin, cherchez la procédure décrivant les premières actions en cas de ransomware. Elle doit indiquer qui peut isoler le réseau, qui contacte le prestataire, où se trouvent les sauvegardes, comment joindre l'assureur et qui évalue les obligations liées aux données personnelles. Si ce document n'existe pas, une page claire conservée sur papier constitue déjà un meilleur point de départ qu'une procédure complète inaccessible sur un serveur chiffré.
> Quelles sont les mesures de sécurité à prendre pour votre site internet ? > Quel est le but de la sécurité informatique ? > Qu'est-ce qu'une attaque ransomware ?
