Dans la nuit du 20 au 21 août 2022, vers une heure du matin, le rançongiciel LockBit 3.0 se déclenche au Centre hospitalier sud-francilien de Corbeil-Essonnes. Logiciels métiers inaccessibles, imagerie paralysée, admissions au ralenti : l'établissement passe de 230 à 90 patients accueillis par jour. Les pirates réclament 10 millions de dollars, montant ensuite négocié à la baisse. L'hôpital refuse de payer. Fin septembre, environ 11 Go de données sont publiés en ligne, dont des données de santé. L'enquête révélera un détail qui devrait faire réfléchir tout dirigeant : les attaquants étaient présents dans le système une dizaine de jours avant de déclencher quoi que ce soit.
Les hôpitaux font les gros titres. Les PME, elles, encaissent le même scénario en silence, avec des rançons plus modestes et des défenses souvent inexistantes. Voici comment fonctionne une attaque ransomware, ce qu'elle coûte réellement, et ce qui permet d'y survivre sans payer.
Qu'est-ce qu'une attaque ransomware ?
Une attaque ransomware, ou rançongiciel, consiste à s'introduire dans le système informatique d'une organisation pour en chiffrer les données ou en bloquer l'accès, puis à exiger une rançon en échange du déblocage. Les pirates copient souvent les données au passage et menacent de les publier pour augmenter la pression sur la victime.
Le logiciel malveillant contourne la sécurité informatique en place, se propage de poste en poste, cherche les serveurs et les données critiques, puis verrouille l'ensemble. Un poste isolé, un serveur ou des données hébergées chez un prestataire peuvent servir de point de départ. Le pari des attaquants tient en une phrase : vos données valent plus cher pour vous que le montant de la rançon.
Comment un ransomware entre-t-il dans un système ?
Le rapport State of Ransomware 2025 de Sophos, mené auprès de 3 400 organisations touchées dans 17 pays, donne des chiffres nets. Les failles logicielles non corrigées arrivent en tête des causes d'intrusion (32 % des attaques), devant les identifiants compromis (23 %), les e-mails malveillants (19 %) et le phishing (18 %). Autrement dit, plus de la moitié des attaques passent par une porte que l'entreprise aurait pu fermer : un correctif de sécurité jamais appliqué, un mot de passe volé, un accès distant mal protégé. La prouesse technique est rare. La négligence exploitée est la norme.
Pourquoi l'attaque se déclenche-t-elle la nuit ou le week-end ?
Parce que personne ne surveille à ce moment-là. À Corbeil-Essonnes, le chiffrement a démarré un samedi soir vers une heure du matin, alors que l'intrusion initiale remontait à une dizaine de jours. Cette phase silencieuse sert aux pirates à cartographier le réseau, repérer les données sensibles et, point capital, localiser vos sauvegardes pour les détruire avant de lancer le chiffrement. Une sauvegarde connectée en permanence au réseau sera effacée avec le reste. Voilà pourquoi la copie déconnectée, hors de portée des attaquants, compte autant.
Quels sont les différents types de ransomware ?
Trois familles dominent : le ransomware locker, qui bloque l'appareil sans forcément chiffrer les fichiers, le ransomware crypto, qui rend les données illisibles sans clé de déchiffrement, et la double extorsion, qui combine chiffrement et vol de données avec menace de publication. Chaque type appelle une réponse différente de la part de l'entreprise.
| Type | Mécanisme | Verdict pour votre entreprise |
|---|---|---|
| Ransomware locker | Bloque l'accès aux fonctions de base de l'appareil, sans toujours chiffrer les données | Le moins grave des trois : parfois contournable techniquement, et une sauvegarde saine règle le problème |
| Ransomware crypto | Chiffre les fichiers et documents, qui restent en place mais deviennent illisibles | Le plus classique : sans sauvegarde isolée et testée, les données sont le plus souvent perdues |
| Double extorsion | Vole les données avant de les chiffrer, puis menace de les publier | Le plus dangereux : même avec de bonnes sauvegardes, la menace de fuite reste entière et engage votre responsabilité RGPD |
L'affaire de Corbeil-Essonnes relève de la troisième catégorie : l'hôpital a pu fonctionner en mode dégradé et restaurer ses systèmes, mais la publication des données volées a eu lieu quand même. Un autre phénomène alimente la menace, le ransomware-as-a-service. Des groupes criminels louent des kits d'attaque clés en main à des pirates sans compétence particulière, contre un pourcentage de la rançon. Le nombre d'attaquants a explosé en conséquence, et avec lui le nombre de petites structures visées.
Pourquoi les PME sont devenues des cibles à part entière ?
Le calcul des attaquants a changé. Viser une multinationale bien défendue demande des mois de préparation pour un résultat incertain. Viser cent PME peu protégées avec un kit loué rapporte des rançons plus petites, mais multipliées. Se croire trop petit pour intéresser un pirate revient à ignorer ce modèle économique. Trois conséquences concrètes doivent peser dans votre arbitrage.
La responsabilité légale envers les clients
La loi vous impose de protéger la confidentialité des données de vos clients. En cas de fuite, le RGPD (Règlement général sur la protection des données, le cadre européen en la matière) prévoit une obligation de notification et des sanctions potentiellement lourdes. Avec la généralisation de la double extorsion, ce risque a cessé d'être théorique : publier les données volées fait partie du mode opératoire standard. Un problème technique se transforme alors en dossier juridique.
La continuité de l'activité
Selon l'étude Sophos 2025, un peu plus de la moitié des organisations touchées (53 %) se remettent complètement en une semaine. Lisez ce chiffre dans l'autre sens : près d'une sur deux met davantage de temps, parfois plus d'un mois. Pendant ce délai, les commandes ne partent plus, les clients attendent, les équipes tournent à vide. Certaines entreprises confient le stockage et la sauvegarde de leurs données à un prestataire via une sécurité cloud, ce qui accélère nettement la reprise après un incident.
L'impact économique et de réputation
Un client dont les données personnelles circulent sur un forum criminel ne revient pas facilement. La perte de confiance se chiffre mal, mais elle dure bien plus longtemps que la panne. S'y ajoutent l'intervention d'urgence non budgétée et les heures passées à gérer la crise plutôt que le métier.
Comment protéger son entreprise d'une attaque ransomware ?
Aucun outil ne suffit seul. La protection tient dans une combinaison de mesures techniques et humaines, dont chacune couvre les angles morts des autres.
Les mises à jour d'abord, les outils ensuite
Puisque les failles non corrigées causent un tiers des attaques, la discipline la plus rentable consiste à appliquer les correctifs de sécurité, en priorité sur tout ce qui est exposé à Internet : VPN, accès distants, et les équipements de protection eux-mêmes. Trois outils complètent ce socle. Un pare-feu d'ordinateur filtre les connexions non autorisées, un antivirus détecte les programmes malveillants, un antispam bloque les e-mails piégés avant qu'ils n'atteignent les boîtes.
La sauvegarde, à trois conditions
Des sauvegardes régulières, dont au moins une copie déconnectée du réseau, et testées en restauration complète. Ces trois conditions se justifient chacune par le comportement observé des attaquants : ils chiffrent tout ce qui est accessible, sauvegardes comprises, et une copie jamais testée révèle ses défauts le jour où l'on en a besoin. Face à un ransomware crypto, une sauvegarde saine constitue souvent la seule issue qui ne passe pas par les pirates. Restons honnête sur ses limites : contre la double extorsion, elle vous rend vos données sans effacer la menace de divulgation. Indispensable, donc, mais plus suffisante à elle seule.
La vigilance des collaborateurs
Un e-mail piégé bien imité reste l'un des premiers vecteurs d'attaque. Apprendre aux équipes à se méfier des pièces jointes inattendues, des liens douteux et des messages pressants imitant un fournisseur ou une banque coûte peu et évite une part considérable des incidents. Pour maintenir une infrastructure informatique protégée dans la durée, beaucoup de PME s'appuient sur un prestataire capable d'entretenir ces outils et de surveiller le système en continu.
Que faire dans les premières heures d'une attaque ransomware ?
L'ordre des gestes compte, et sans plan écrit à l'avance, ces décisions se prennent dans la panique.
- Isolez les machines touchées : débranchez leur câble réseau ou coupez le Wi-Fi pour stopper la propagation, sans éteindre les postes, car des traces utiles à l'analyse seraient perdues.
- Coupez si nécessaire la connexion Internet du réseau attaqué pour bloquer les communications de l'attaquant.
- Prévenez votre prestataire ou votre responsable informatique, et alertez vos équipes pour éviter de nouveaux clics.
- Ne payez rien dans la précipitation et ne négociez pas seul.
- Signalez l'incident (la plateforme publique cybermalveillance.gouv.fr guide les démarches) et déposez plainte.
- Évaluez l'étendue des dégâts, assainissez le système, puis restaurez à partir d'une sauvegarde saine.
- Documentez tout, pour comprendre l'origine de l'attaque et remplir vos éventuelles obligations de notification.
Faut-il payer la rançon lors d'une attaque ransomware ?
Les autorités françaises le déconseillent fortement, et les entreprises suivent de plus en plus ce conseil : selon Sophos, 33 % des organisations françaises touchées ont payé en 2024, contre 60 % un an plus tôt. Rien ne garantit la restitution des données ni la destruction de ce qui a été volé. Le cas Colonial Pipeline, l'opérateur d'oléoduc américain attaqué en mai 2021, l'illustre bien : l'entreprise a versé 4,4 millions de dollars et reçu un outil de déchiffrement si lent qu'elle a dû restaurer une grande partie de ses systèmes par ses propres sauvegardes. Payer désigne aussi l'entreprise comme une cible disposée à céder et finance directement l'activité criminelle. À Corbeil-Essonnes, la négociation menée avec l'appui des services de l'État a surtout servi à gagner du temps pour les équipes de réponse, pas à acheter une issue. Pouvoir refuser de payer se prépare en amont, avec des sauvegardes testées.
Combien coûte une attaque ransomware à une entreprise ?
La rançon ne représente qu'une fraction de la facture. D'après l'étude Sophos 2025, le coût moyen de récupération, hors rançon, atteint 1,53 million de dollars au niveau mondial, et environ 1,2 million pour les organisations françaises interrogées. La rançon médiane versée en France s'établit à 232 000 dollars. Ces chiffres concernent des structures de 100 à 5 000 salariés : une petite PME paiera moins en valeur absolue, mais rapporté à sa trésorerie, un incident sérieux qui coûte quelques dizaines de milliers d'euros peut la mettre en danger. En face, un socle de protection et des sauvegardes correctes se financent pour une fraction de ces montants.
Trois vérifications à faire dès cette semaine
Première vérification : demandez à votre responsable ou prestataire informatique de restaurer un fichier précis depuis la dernière sauvegarde, devant vous. Le temps que prend l'opération, et le fait qu'elle aboutisse ou non, vous en dira plus que n'importe quel rapport. Deuxième vérification : faites l'inventaire de vos accès distants (VPN, bureau à distance, comptes de prestataires) et de la date des dernières mises à jour de sécurité sur ces équipements. Troisième vérification : cherchez le document qui décrit quoi faire en cas d'attaque. S'il n'existe pas, rédigez au moins une page avec les numéros à appeler et l'ordre des premiers gestes. L'hôpital de Corbeil-Essonnes a tenu grâce à des procédures de crise préparées avant l'attaque. Votre entreprise mérite au minimum une page.
> Quelles sont les mesures de sécurité à prendre pour votre site internet ? > Quel est le but de la sécurité informatique ? > Qu'est-ce qu'une attaque ransomware ?
