Dans les PME que nous auditons après un incident, le scénario est presque toujours le même : l'attaquant était présent depuis plusieurs jours, personne ne l'a vu, et la sauvegarde était accessible depuis le réseau.
Le rançongiciel est devenu le risque informatique le plus concret pour une entreprise de dix à cent personnes. Pas parce qu'elle intéresse quelqu'un en particulier, mais parce qu'elle est facile à atteindre : des balayages automatiques cherchent en permanence un service exposé ou un mot de passe faible, sans savoir ni ni se soucier de qui se trouve derrière.
La bonne nouvelle, c'est que la chaîne d'attaque est bien connue et qu'elle comporte plusieurs points de rupture. Aucun ne demande un investissement disproportionné.
Ce qui se passe réellement, étape par étape
L'image du pirate qui chiffre instantanément tout un réseau est fausse. Entre l'intrusion et le message de rançon, il s'écoule généralement plusieurs jours pendant lesquels rien n'est visible pour les utilisateurs.
- L'entréeUn identifiant récupéré par hameçonnage, ou un service accessible depuis Internet — bureau à distance ouvert « en attendant », interface d'administration publiée, VPN sans second facteur.
- La reconnaissanceL'attaquant regarde ce qui existe : les partages, les serveurs, les applications, et surtout où sont les sauvegardes. Aucun signe visible à ce stade.
- L'élévation de privilègesIl cherche un compte d'administration. Un mot de passe réutilisé, un compte de service avec des droits trop larges, une session administrateur ouverte sur un poste suffisent souvent.
- La neutralisation des sauvegardesC'est l'étape décisive. Les copies accessibles depuis le réseau sont supprimées ou chiffrées. C'est elle qui transforme un incident gênant en crise d'entreprise.
- Le chiffrementDéclenché la nuit ou un week-end, pour laisser le moins de réaction possible. Le message de rançon n'arrive qu'à ce moment-là.
Une variante s'est généralisée : avant de chiffrer, les données sont copiées vers l'extérieur. La menace devient double — la paralysie d'un côté, la publication des données de l'autre. C'est ce qui rend l'argument « nous avons des sauvegardes, donc nous sommes tranquilles » incomplet.
Les six mesures qui cassent la chaîne
Chacune bloque une étape précise. Prises ensemble, elles rendent l'attaque coûteuse au point que les balayages automatiques passent au suivant.
| Mesure | Étape bloquée |
|---|---|
| Authentification multifacteur | L'entrée par identifiant volé, même si le mot de passe est connu. |
| Fermeture des services exposés | L'entrée directe depuis Internet, sans hameçonnage. |
| Sauvegarde hors ligne ou immuable | La neutralisation des sauvegardes — le point de bascule. |
| Comptes d'administration séparés | L'élévation de privilèges depuis un poste utilisateur. |
| Segmentation du réseau | La propagation d'une machine à l'ensemble du parc. |
| Mises à jour suivies | L'exploitation de failles publiques déjà corrigées par l'éditeur. |
Sur la sauvegarde, précisément
C'est le point sur lequel nous voyons le plus d'illusions. Un disque externe branché en permanence sur le serveur est chiffré en même temps que lui. Un NAS accessible avec les mêmes identifiants que le réseau l'est aussi. Une sauvegarde utile est hors d'atteinte du réseau : support déconnecté, dépôt immuable, ou copie externalisée avec des identifiants distincts.
Et elle doit être restaurable. Un travail de sauvegarde peut se terminer en succès pendant des mois alors que la restauration échoue — support saturé, données incomplètes, machine qui ne redémarre pas. Seul un test de restauration réel transforme la supposition en certitude.
La question à poser en interne. Si tous les serveurs étaient chiffrés cette nuit, quelle copie survivrait, qui sait la restaurer, et en combien de temps ? Si la réponse n'est pas immédiate, c'est le premier chantier — avant tout achat de logiciel de sécurité.
L'antivirus ne suffit plus, et voici pourquoi
Il reste nécessaire, mais son modèle atteint ses limites. Quand un attaquant entre avec des identifiants valides, il n'exécute rien de suspect : il utilise les outils d'administration légitimes déjà présents. Pour l'antivirus, cela ressemble à un administrateur qui travaille.
C'est la raison pour laquelle les protections modernes s'intéressent au comportement — un compte qui parcourt soudainement tous les partages, une suppression massive de sauvegardes, une connexion depuis un pays inhabituel — plutôt qu'à la seule signature des fichiers.
Le facteur humain, sans culpabiliser personne
La plupart des intrusions commencent par un clic. Cela ne veut pas dire que le collaborateur est en faute : les messages d'hameçonnage actuels sont crédibles, contextualisés, parfois envoyés depuis la boîte réellement compromise d'un fournisseur.
Ce qui fonctionne, ce n'est pas la sensibilisation annuelle qui fait peur, c'est de rendre l'erreur sans conséquence grave : authentification renforcée pour qu'un mot de passe volé ne suffise pas, droits limités pour qu'un compte compromis n'ouvre pas tout, et surtout un climat où signaler un doute est encouragé. Une alerte donnée dix minutes après un clic change complètement l'issue.
Que faire si l'attaque a déjà eu lieu
Les premières heures comptent, et certains réflexes aggravent la situation.
- Isoler les machines touchées du réseau, sans les éteindre : la mémoire vive contient des éléments utiles à l'analyse.
- Ne pas se connecter aux machines concernées avec un compte administrateur : cela expose de nouveaux identifiants.
- Ne pas payer. Le paiement ne garantit ni la restitution complète, ni l'absence de seconde demande, ni la suppression des données déjà exfiltrées.
- Conserver les traces — journaux, messages, horodatages — avant toute réinstallation.
- Déposer plainte, et informer la CNIL si des données personnelles sont concernées.
- Identifier le point d'entrée avant de restaurer. Restaurer sans avoir fermé la porte conduit à un rechiffrement quelques jours plus tard.
Par où commencer si rien n'a été fait
Trois actions couvrent déjà une large part du risque, et aucune ne nécessite un projet de plusieurs mois :
- Activer l'authentification multifacteur sur la messagerie, en commençant par les comptes d'administration et de direction.
- Vérifier qu'une copie de sauvegarde est réellement hors d'atteinte du réseau — et la restaurer une fois pour en avoir le cœur net.
- Fermer les services publiés sur Internet qui n'ont pas de raison de l'être.
Le reste — segmentation, protection comportementale, gestion des mises à jour, plan de reprise — se planifie ensuite, dans l'ordre des risques constatés chez vous.
Sources & pour aller plus loin
Les références officielles sur lesquelles s'appuyer pour approfondir. Les liens ouvrent des sites tiers, dont le contenu peut évoluer.
- Cybermalveillance.gouv.fr — fiche réflexe rançongiciel
- ANSSI — guides d'hygiène informatique et publications sur les rançongiciels
Questions fréquentes
Faut-il payer la rançon ?
Non. Le paiement ne garantit ni la restitution complète des données, ni l'absence de seconde demande, ni la suppression des données déjà exfiltrées.
Il finance par ailleurs directement l'activité criminelle. Les autorités françaises déconseillent systématiquement le paiement.
Une petite entreprise est-elle vraiment concernée ?
La majorité des attaques ne visent personne en particulier : des balayages automatiques cherchent en permanence un accès ouvert ou un mot de passe faible.
Une PME n'est pas choisie, elle est trouvée — et elle est souvent moins protégée qu'un grand compte.
Combien de temps dure la remise en service ?
Cela dépend entièrement de l'état des sauvegardes et de l'existence d'un plan de reprise.
Avec des sauvegardes hors ligne testées et une procédure écrite, on parle de jours. Sans copie hors d'atteinte, la question devient celle de la reconstruction complète.