Un client m'appelle un mardi matin, la voix blanche. Sur son écran, un simple fichier texte : « Vos documents sont chiffrés. 48 heures pour payer, sinon tout disparaît. » Il dirige une PME de dix-huit personnes. Il n'a jamais eu d'attaque informatique en quinze ans d'activité. Et là, en quelques minutes, la moitié de son chiffre d'affaires annuel repose sur une décision qu'il ne sait pas prendre.
C'est le propre du rançongiciel : il ne s'annonce pas. Il travaille pendant des semaines, en silence, avant de se manifester par une demande de rançon. Et quand la demande tombe, il est déjà trop tard pour la prévention. Il ne reste que la réaction. Voilà pourquoi j'ai fini par traiter ces deux volets comme un seul sujet : ce que vous préparez avant conditionne tout ce que vous pourrez faire après.
Points clés à retenir
- Un rançongiciel chiffre vos données puis réclame une rançon ; la menace initiale n'est jamais l'objectif, c'est le levier.
- La prévention ne se joue pas sur un seul outil, mais sur une hygiène : sauvegardes déconnectées, mises à jour, cloisonnement des accès.
- En cas d'attaque : on débranche, on ne paie pas dans l'urgence, on préserve les preuves, on prévient la CNIL et on porte plainte.
- Le paiement ne garantit rien. Il finance surtout l'attaquant suivant.
- Un plan de reprise non testé n'est pas un plan. C'est une intention.
- Les TPE et PME sont des cibles de choix parce qu'elles récupèrent plus lentement et cèdent plus vite.
Un rançongiciel, c'est quoi exactement ?
Qu'est-ce qu'un rançongiciel ? C'est un logiciel malveillant qui chiffre vos fichiers, parfois des pans entiers de votre système, puis exige une rançon pour vous rendre l'accès. Le mot vient de l'anglais ransomware : ransom pour rançon, ware pour logiciel. En français, on croise aussi « logiciel rançonneur » ou le calque direct « ransomware ». Les trois désignent la même chose.
Quel est le principal objectif d'un rançongiciel ?
Le but affiché est de vous faire payer. Le but réel, lui, a changé. Pendant longtemps, l'attaquant chiffrait et attendait.
Aujourd'hui, la plupart des groupes sérieux exfiltrent d'abord vos données, puis chiffrent, puis menacent de publier ce qu'ils ont volé. C'est ce qu'on appelle la double extorsion. Résultat : même si vous restaurez une sauvegarde propre, la pression ne disparaît pas. On vous menace de diffuser vos contrats, vos fichiers clients, vos échanges internes.
J'ai vu une petite structure industrielle refuser de payer après avoir récupéré ses données depuis une sauvegarde. Trois semaines plus tard, une partie de ses devis confidentiels circulait sur un forum. Le préjudice n'était plus technique. Il était commercial.
Retenez ceci : l'objectif n'est pas votre système, c'est votre décision sous pression. Tout le reste n'est qu'un moyen d'y arriver.
Quelles sont les grandes étapes d'une attaque par rançongiciel ?
Une attaque réussie ressemble rarement à une intrusion brutale. Elle ressemble à une visite polie, étalée sur des jours ou des semaines, que personne ne remarque.
L'accès initial
Le point d'entrée le plus courant reste l'humain. Une pièce jointe ouverte, un lien cliqué, un identifiant volé lors d'un phishing. Parfois, plus banal : un service exposé sur Internet dont personne ne se souvient. Un portail de test oublié, un accès distant mal protégé.
Dans un cas que je connais bien, l'attaquant est entré par le compte d'un ancien prestataire. Ce compte existait toujours. Personne ne l'avait désactivé.
Reconnaissance et propagation
Une fois dedans, l'attaquant ne se presse pas. Il observe. Il cherche où sont les données utiles, quels comptes ont les privilèges élevés, si les sauvegardes sont accessibles depuis le réseau. Cette phase est souvent la plus longue, et c'est celle où la détection aurait le plus de valeur.
Chiffrement et extorsion
Le déclenchement est rapide, souvent nocturne ou un week-end. Les fichiers sont chiffrés, une note de rançon s'affiche. Et là, deuxième étage de la fusée : la menace de diffusion. La demande type ressemble à ceci.
- Un délai court, souvent 48 à 72 heures, avec un compte à rebours pour créer l'urgence.
- Un montant en cryptomonnaie, calculé selon ce que l'attaquant estime que vous pouvez payer.
- Un canal de contact, parfois une adresse sur un service de messagerie chiffrée.
- Et, de plus en plus, une « preuve » : quelques fichiers volés envoyés en démonstration.
Ce dernier point est le plus vicieux. Il transforme une panne technique en risque juridique et réputationnel.
Comment se protéger d'un ransomware ?
La vraie question n'est pas « quel antivirus acheter ». C'est : combien de temps pourriez-vous tenir si tout était chiffré ce soir ? Si la réponse est « quelques jours », la priorité est déjà écrite.
Des sauvegardes déconnectées, testées, immuables
Une sauvegarde accessible depuis le réseau est une sauvegarde que l'attaquant chiffrera avec le reste. La seule qui compte vraiment est celle qui est hors ligne ou en écriture unique, et dont vous avez testé la restauration.
Testé, vraiment. Pas « on a un logiciel de sauvegarde donc ça devrait aller ». Je l'ai vérifié sur un projet : la restauration complète prenait quatre jours, alors que tout le monde pensait qu'elle était quasi instantanée. Quatre jours d'arrêt, ça ne se rattrape pas sur un trimestre.
L'hygiène technique de base
Rien de spectaculaire. Et c'est justement pour ça que c'est souvent négligé.
- Authentification multifacteur sur tous les accès distants, sans exception pour les comptes techniques.
- Mises à jour appliquées réellement, pas seulement téléchargées.
- Comptes à privilèges limités au strict nécessaire. Le compte administrateur ne sert pas à lire ses mails.
- Réduction de la surface exposée : fermer tout service qui n'a pas besoin d'être visible depuis Internet.
- Sauvegardes isolées du reste du système d'information.
Et l'humain, franchement ?
La sensibilisation marche, mais pas comme on la vend souvent. Une session annuelle de rappels ne change rien. Ce qui change les comportements, c'est l'exercice : envoyer de faux messages de hameçonnage à ses équipes, et regarder qui clique. Pas pour sanctionner. Pour comprendre où sont les zones grises.
Une chose m'a surpris en le faisant : le service le plus prudent n'était jamais celui qu'on imaginait.
Ce qui protège vraiment, ce qui rassure seulement
| Mesure | Impact réel | Fréquence de test |
|---|---|---|
| Sauvegarde hors ligne testée | Élevé — conditionne toute reprise | Trimestrielle minimum |
| Authentification multifacteur | Élevé — bloque une grande part des accès | Mise en place puis audit annuel |
| Antivirus seul | Faible contre un rançongiciel moderne | Continue, mais ne suffit pas |
| Cloisonnement des accès | Moyen à élevé — ralentit la propagation | Revue semestrielle |
| Sensibilisation par exercices | Moyen — dépend du rythme | Plusieurs fois par an |
Comment réagir face à un ransomware ?
Le pire réflexe, dans les premières minutes, c'est l'action. Redémarrer la machine « pour voir ». Éteindre le serveur de sauvegarde. Appeler tout le monde en panique. Ces gestes-là détruisent des traces et accélèrent parfois le chiffrement.
La première heure compte, mais elle se joue à froid. Voici l'ordre qui tient.
- Isoler les machines touchées du réseau. Câble réseau débranché, Wi-Fi coupé. Pas d'extinction brutale si vous voulez conserver les preuves en mémoire.
- Ne rien payer dans l'urgence. Le paiement ne garantit ni la clé, ni la restitution, ni l'arrêt des menaces.
- Préserver les preuves : notes de rançon, horodatages, journaux. Elles serviront pour la plainte et l'analyse.
- Identifier le périmètre : quelles machines, quelles données, quels comptes. Sans toucher à ce qui fonctionne encore.
- Prévenir : votre prestataire, votre assureur si vous en avez un, et votre direction. Pas de gestion solo.
- Signaler : la CNIL dans les 72 heures si des données personnelles sont concernées, et un dépôt de plainte.
- Restaurer depuis une sauvegarde saine, après vérification qu'elle n'est pas elle-même compromise.
Un détail que l'on oublie souvent : ne rebranchez pas une machine restaurée sur le réseau avant d'avoir compris comment l'attaquant est entré. Sinon, vous restaurez pour rien, et la deuxième attaque arrive encore plus vite que la première.
Faut-il payer la rançon ?
Non, pas comme stratégie. Une part non négligeable des victimes qui paient ne récupèrent pas tout ce qu'elles ont perdu. Et payer signale votre nom à d'autres groupes. Le paiement n'achète pas le silence, il achète un délai — parfois très court.
Il existe des cas où la question se pose réellement : données vitales, absence totale de sauvegarde, vie en jeu. Mais ces situations sont précisément celles qu'une préparation en amont aurait évitées.
Ce que je fais différemment aujourd'hui
J'ai longtemps classé la prévention et la réaction dans deux dossiers séparés. C'était une erreur. Sur chaque projet que j'accompagne maintenant, je commence par la fin : combien de temps pour restaurer, qui décide, qui prévient qui. Une fois ces réponses écrites, la liste des protections devient évidente et courte.
Le reste, c'est du bruit.
Il y a une chose que je n'arrive pas encore à trancher correctement : le moment où l'on décide de communiquer publiquement sur une attaque. Trop tôt, on donne de la visibilité à l'attaquant. Trop tard, on perd la confiance de ses clients. Si vous avez une règle claire là-dessus, elle m'intéresse.
