Ransomware : comprendre les rançongiciels et s’en protéger

Le ransomware — ou rançongiciel en français — est aujourd’hui l’une des cybermenaces les plus dévastatrices pour les entreprises, et les TPE/PME sont loin d’être épargnées : elles représentent 48 % des victimes identifiées de rançongiciels selon l’ANSSI, et 54 % des cyberattaques ciblent désormais les PME et collectivités locales. En quelques heures, un seul email frauduleux peut paralyser l’ensemble de votre système informatique, bloquer vos données, stopper votre activité et vous contraindre à affronter une demande de rançon. Comprendre comment fonctionne cette menace, comment elle pénètre dans votre organisation et, surtout, comment vous en protéger efficacement, est devenu indispensable pour tout dirigeant responsable. Ce guide pilier vous donne les clés pour agir — que vous cherchiez à vous préparer ou que vous soyez en train de subir une attaque en ce moment même.

Ce qu’il faut savoir tout de suite

Un ransomware est un logiciel malveillant (malware) conçu pour bloquer l’accès à un système informatique ou à des données, généralement en les chiffrant, jusqu’au paiement d’une rançon (ransom en anglais). Pour une définition complète d’un ransomware, il s’agit en réalité d’un outil d’extorsion numérique qui combine des techniques d’intrusion, de propagation latérale dans le réseau et de chiffrement massif. Si vous découvrez tout juste le sujet, notre article qu’est-ce qu’un ransomware ? pose les bases en langage simple.

Le principe est simple mais redoutablement efficace : une fois installé sur votre réseau, le ransomware chiffre vos fichiers — documents, bases de données, photos, emails — avec une clé cryptographique que seul l’attaquant détient. Une note de rançon apparaît alors sur les écrans, exigeant un paiement (souvent en cryptomonnaie) pour obtenir la clé de déchiffrement.

On distingue deux grandes catégories de ransomware : les crypto-ransomwares, qui chiffrent les fichiers et restent la forme la plus répandue, et les lockers, qui bloquent l’accès à l’interface du système sans nécessairement chiffrer les données. Les crypto-ransomwares sont de loin les plus dommageables pour les entreprises, notamment parce qu’ils s’accompagnent aujourd’hui presque systématiquement d’une exfiltration préalable des données (voir la section double extorsion plus bas).

Vous êtes attaqué maintenant ? Le plan d’urgence

Si des fichiers se mettent à porter une extension inconnue, qu’une note de rançon s’affiche à l’écran ou que des applications deviennent inaccessibles en masse, chaque minute compte. Voici les six réflexes recommandés par cybermalveillance.gouv.fr et l’ANSSI, dans l’ordre. Cochez-les au fur et à mesure pour ne rien oublier — ce plan existe aussi en version statique juste après si vous préférez le lire d’un bloc.

Version statique du plan d’urgence, sans interaction nécessaire :

1. Isoler immédiatement Débranchez le câble réseau ou désactivez le Wi-Fi des machines touchées, voire coupez le routeur/la box internet si la propagation semble large. L’objectif : empêcher le ransomware de continuer à se propager sur le reste du réseau.
2. Ne pas payer la rançon Même sous pression, la recommandation officielle de l’ANSSI est de ne jamais payer : aucune garantie de récupération, financement direct de la cybercriminalité, risque d’être reciblé.
3. Préserver les preuves Photographiez les notes de rançon affichées à l’écran, ne réinitialisez rien, conservez les journaux systèmes et documentez heure par heure ce qui s’est passé et les actions déjà entreprises.
4. Alerter et signaler Contactez votre prestataire informatique, puis cybermalveillance.gouv.fr ou composez le 17cyber pour être mis en relation avec un prestataire de réponse à incident agréé.
5. Porter plainte Déposez plainte auprès de la police ou de la gendarmerie avant toute négociation. C’est une condition quasi systématique pour activer une assurance cyber et cela alimente les enquêtes des cellules spécialisées.
6. Vérifier votre assurance et organiser la cellule de crise Contactez votre assureur cyber sans tarder, et constituez une cellule de gestion de crise (direction, technique, RH, financier, communication, juridique, métier) pour piloter la suite et prévoir des solutions de repli pour les services essentiels.

Comment se déroule une attaque ransomware

Comprendre la chronologie d’une attaque ransomware est essentiel pour identifier où et comment la stopper. Contrairement à une idée répandue, le chiffrement n’est presque jamais la première étape — l’attaquant est souvent présent dans votre réseau depuis plusieurs jours, voire plusieurs semaines, avant de déclencher l’action visible. Voici le déroulé complet en six étapes.

1. 1. Intrusion initiale L’attaquant pénètre le système via un email de phishing, un accès RDP exposé avec un mot de passe faible, ou une faille logicielle non corrigée dans un VPN ou un pare-feu. Cette phase est souvent invisible.
2. 2. Latéralisation et propagation Une fois à l’intérieur, l’attaquant cartographie le réseau, identifie les serveurs critiques et les sauvegardes, compromet les comptes à privilèges élevés et se déplace de machine en machine. Cette phase de « dwell time » peut durer plusieurs jours.
3. 3. Exfiltration de données Avant même de chiffrer quoi que ce soit, les cybercriminels copient vos données sensibles vers leurs propres serveurs : contrats, données clients, RH, informations financières.
4. 4. Chiffrement Au moment choisi par l’attaquant (souvent un vendredi soir ou un jour férié pour maximiser l’impact), le chiffrement massif se déclenche simultanément sur l’ensemble des machines compromises. Les fichiers deviennent illisibles en quelques minutes.
5. 5. Demande de rançon Une note apparaît sur tous les écrans, avec un montant, un délai et des instructions de paiement en cryptomonnaie, souvent accompagnée de menaces explicites en cas de non-paiement.
6. 6. Double extorsion Si la victime refuse de payer ou restaure ses données depuis des sauvegardes, les attaquants menacent de publier les données exfiltrées sur des sites de fuite dédiés (les « leak sites »), voire de les revendre à d’autres groupes criminels.

Les vecteurs d’infection : comment les ransomwares entrent dans une PME

Identifier les portes d’entrée privilégiées des rançongiciels est la première étape d’une défense efficace. Trois vecteurs dominent largement le paysage des menaces.

• Le phishing, vecteur numéro 1 : un email en apparence légitime incite à ouvrir une pièce jointe piégée ou à cliquer sur un lien malveillant. Consultez notre guide sur les attaques de phishing pour apprendre à les reconnaître.
• Les connexions RDP exposées : le Bureau à distance Windows, mal protégé, est attaqué par force brute ou via des identifiants volés revendus sur le dark web.
• Les failles logicielles non corrigées dans les VPN, pare-feux ou serveurs de messagerie exposés sur Internet — la fenêtre d’exploitation peut se compter en heures après la publication d’une faille critique.

Les familles de ransomware actives

Le paysage des rançongiciels évolue vite. Des groupes criminels organisés opèrent selon un modèle de Ransomware-as-a-Service (RaaS), où les développeurs louent leur outil à des « affiliés » qui mènent les attaques et reversent une commission. Ce modèle a considérablement démocratisé la cybercriminalité. Au premier trimestre 2026, 71 groupes actifs ont été recensés (contre 85 précédemment), mais les 10 principaux concentrent 71,1 % des victimes revendiquées — la plus forte concentration depuis début 2024, signe d’une consolidation autour de quelques acteurs dominants.

Ces classements évoluent trimestre après trimestre : un groupe démantelé par les autorités peut réapparaître sous un autre nom en quelques semaines, comme l’illustre le retour de LockBit sous une nouvelle version. C’est pourquoi la défense doit reposer sur des principes durables (sauvegardes, MFA, correctifs) plutôt que sur la seule connaissance d’un groupe précis.

Ransomware en chiffres

Sources : Cybermalveillance.gouv.fr (baromètre national de maturité cyber des TPE/PME, 2ᵉ édition), ANSSI/CERT-FR (Panorama de la cybermenace 2025, publié 2026). Ces chiffres confirment une tendance de fond : la menace ransomware ne recule pas, elle se professionnalise et touche de plus en plus directement les structures de petite et moyenne taille, souvent moins bien défendues que les grands comptes.

Faut-il payer la rançon ?

Trois arguments majeurs justifient cette position :

• Aucune garantie de récupération : environ 70 % des entreprises qui paient ne récupèrent pas l’intégralité de leurs données, même après paiement. Les clés fournies sont parfois défectueuses ou partielles.
• Le paiement finance la criminalité organisée : chaque rançon versée alimente directement les groupes qui développent de nouveaux outils d’attaque et recrutent de nouveaux affiliés dans l’écosystème RaaS.
• Payer expose à être reciblé : une entreprise identifiée comme « payeuse » devient une cible de choix pour de futures attaques, parfois par le même groupe sous une autre bannière.

La priorité doit toujours être d’isoler les systèmes touchés, de solliciter un prestataire de réponse à incident et de s’appuyer sur des sauvegardes saines. Le site No More Ransom (nomoreransom.org) met par ailleurs à disposition gratuitement des outils de déchiffrement pour certaines familles de ransomware plus anciennes.

Si l’attaque entraîne une violation de données personnelles, le RGPD impose de notifier la CNIL dans les 72 heures suivant la prise de connaissance de l’incident. Le non-respect de cette obligation peut donner lieu à des sanctions administratives, en plus du préjudice déjà subi.

Comment se protéger contre les ransomwares

La bonne nouvelle : la grande majorité des attaques ransomware peut être prévenue ou fortement limitée grâce à des mesures de cybersécurité accessibles aux PME. Notre guide dédié anti-ransomware détaille chaque brique technique ; voici les piliers essentiels.

La règle de sauvegarde 3-2-1 : votre filet de sécurité ultime

La sauvegarde régulière et correctement configurée reste votre meilleure assurance contre le ransomware. La règle internationale 3-2-1 fait consensus : 3 copies de vos données, sur 2 supports différents, dont 1 copie hors-ligne (déconnectée du réseau ou immuable). Cette copie hors-ligne est la clé anti-ransomware : un rançongiciel ne peut pas chiffrer ce qu’il ne peut pas atteindre. Notre guide sur la sauvegarde informatique en entreprise détaille comment la mettre en œuvre concrètement, y compris les fréquences et outils adaptés aux PME.

Il ne suffit pas de faire des sauvegardes : il faut les tester régulièrement. Une sauvegarde dont la restauration n’a jamais été vérifiée est une fausse sécurité. Planifiez des tests de restauration trimestriels, documentez les résultats et corrigez les anomalies détectées.

L’authentification multi-facteurs (MFA)

L’authentification multi-facteurs est l’une des mesures les plus efficaces pour contrer les attaques par compromission de comptes. En exigeant un second facteur (code OTP, application d’authentification, clé physique FIDO2) en plus du mot de passe, vous rendez inutilisables les identifiants volés par phishing ou achetés sur le dark web. Le MFA doit être déployé en priorité sur les accès distants (VPN, RDP, webmail), les comptes administrateurs et les outils cloud.

La gestion des correctifs

Maintenir vos systèmes à jour est non négociable. Définissez une politique de gestion des correctifs qui impose l’application des mises à jour de sécurité critiques dans un délai maximal — idéalement 48 à 72 heures pour les failles activement exploitées. Incluez les systèmes d’exploitation, les applications tierces, les équipements réseau et les outils bureautiques.

L’EDR et la segmentation réseau

L’antivirus traditionnel n’est plus suffisant face aux ransomwares modernes. Les solutions EDR (Endpoint Detection and Response) analysent les comportements suspects en temps réel — tentatives de chiffrement massif, déplacement latéral — et permettent une réponse automatisée. Elles sont désormais accessibles aux PME à des tarifs raisonnables. En complément, la segmentation réseau divise votre réseau en zones isolées de sorte qu’une infection dans un segment ne puisse pas atteindre automatiquement les serveurs critiques ou les sauvegardes.

La sensibilisation des collaborateurs

La technologie seule ne suffit pas : le facteur humain reste au cœur de la grande majorité des incidents. La sensibilisation des collaborateurs doit couvrir la reconnaissance des emails de phishing, la gestion des mots de passe, et les réflexes à adopter en cas de doute. Des exercices de phishing simulé permettent de mesurer objectivement le niveau de vigilance des équipes.

FAQ

Aller plus loin

Rédigé par l’équipe cyber-diagnostic.fr — mis à jour le 2 juillet 2026.