Un client m'appelle un mardi matin, la voix blanche. Sur l'écran d'accueil de ses 40 postes, un fond d'écran rouge et un compte à rebours. Trois jours pour payer, sinon les fichiers de son cabinet comptable partent en fumée. Il me demande, naïf : « On peut récupérer sans payer, hein ? » J'ai dû lui répondre la vérité la plus dure de mon métier : non, pas toujours.
Le ransomware — ou rançongiciel — n'est plus le virus de 2017 qu'on attrapait en ouvrant une pièce jointe louche. C'est devenu une industrie. Des équipes qui louent leurs outils à d'autres, qui négocient, qui font du service client. Et la cible préférée de ces groupes, ce n'est pas la grande banque : c'est la PME de 30 salariés, celle qui a un serveur, un NAS et personne pour le surveiller la nuit.
Points clés à retenir
- Le ransomware ne chiffre plus seulement vos fichiers : il les copie d'abord. Payer ne vous protège donc plus des fuites.
- La règle de sauvegarde qui sauve des vies, c'est 3-2-1 — dont une copie hors ligne, sinon elle est chiffrée elle aussi.
- Le vecteur n°1 reste l'authentification : un compte sans double authentification, c'est une porte ouverte.
- En cas d'attaque, vous avez des obligations légales (notification à la CNIL) et un devoir de preuve (plainte).
- Payer la rançon ne garantit jamais la récupération, et vous marque comme une cible rentable.
Comment fonctionne réellement une attaque par ransomware
Le scénario classique que je vois passer chez mes clients tient en cinq étapes. D'abord, une porte d'entrée : un logiciel de télémaintenance exposé sur Internet avec un mot de passe faible, une session VPN dont les identifiants ont fuité ailleurs, une pièce jointe. Ensuite, l'attaquant s'installe et attend. Des jours, parfois trois semaines. C'est l'étape qu'on oublie : il ne se précipite pas.
Puis il élargit son territoire. Il cherche le serveur de sauvegarde, le contrôleur de domaine, les comptes administrateurs.
Et là, le basculement.
Le piège : chiffrement et exfiltration
Avant de chiffrer quoi que ce soit, la plupart des groupes font le ménage : ils copient des gigaoctets de données chez eux. Résultat, le rançongiciel n'est plus une simple prise d'otage technique — c'est une double extorsion. Vous refusez de payer le déchiffrement ? On menace de publier vos dossiers clients, vos contrats, vos données RH. Je l'ai constaté sur un dossier l'an dernier : l'entreprise avait une sauvegarde impeccable et aurait pu tout restaurer en quatre heures. Elle a payé quand même. Pour éviter que la fuite ne sorte.
Ça, c'est le point que personne ne met dans les « 5 astuces anti-virus ». La protection de vos fichiers ne protège pas votre réputation.
Comment protéger son entreprise : la hiérarchie des priorités
Si vous ne devez retenir qu'une chose, c'est celle-là : il n'existe pas de solution unique. Mais il existe un ordre. Trop de PME achètent un antivirus « nouvelle génération » à 12 € par poste et négligent la sauvegarde. C'est mettre une serrure blindée sur une porte sans mur autour.
La sauvegarde 3-2-1, non négociable
Trois copies de vos données, sur deux supports différents, dont une hors site. Et surtout — une copie hors ligne ou immuable. Parce qu'un attaquant qui atteint votre serveur de sauvegarde connecté chiffrera vos sauvegardes avec le reste. J'ai vu des entreprises avec « une super politique de backup » tout perdre, pour cette raison exacte.
- Hors ligne : un disque débranché, rangé dans un tiroir.
- Immuable : un stockage qui interdit toute modification pendant X jours, même avec les droits admin.
- Un test de restauration réelle, une fois par trimestre — pas un « statut vert » dans une console.
L'authentification à double facteur, partout
La majorité des intrusions que je vois débutent par une simple connexion volée. Activez le MFA sur la messagerie, le VPN, l'accès distant, l'administration. Pas par SMS si vous pouvez l'éviter — un code qui s'affiche dans une appli ou une clé physique est nettement plus solide. Franchement, c'est le rapport protection/effort le plus favorable de toute cette liste.
Segmentation et moindre privilège
Un poste de comptabilité n'a aucune raison de pouvoir écrire sur le serveur de production. Un salarié n'a pas besoin d'être administrateur de son PC pour lire ses mails. Cloisonnez le réseau, retirez les droits inutiles, séparez les sauvegardes du reste.
Correctifs et détection
Les correctifs restent un vecteur majeur, y compris sur les équipements réseau et les logiciels métier oubliés. Et au-delà de l'antivirus, un outil de détection et réponse sur les postes (EDR) permet de repérer les comportements anormaux — un processus qui chiffre massivement, une connexion vers une adresse inconnue — avant la catastrophe. C'est plus cher. C'est aussi ce qui m'a fait gagner la course au temps sur deux incidents.
| Mesure | Effort | Impact réel | Pour qui |
|---|---|---|---|
| MFA sur les accès distants | Faible | Très élevé | Tout le monde |
| Sauvegarde hors ligne/immuable | Moyen | Décisif | Tout le monde |
| Segmentation réseau | Élevé | Élevé | Au-delà de 20 postes |
| EDR | Moyen | Élevé | PME avec données sensibles |
| Sensibilisation | Continu | Variable | Tout le monde |
Que faire si vous êtes victime
Premier réflexe, celui que tout le monde rate : débranchez le réseau. Coupez le Wi-Fi, retirez le câble. Chaque minute connectée, c'est un serveur de plus qui part. Ensuite, n'éteignez pas brutalement les machines : vous détruiriez des traces utiles à l'investigation. Isolez, photographiez les écrans de rançon, notez l'heure.
Ne payez pas dans la précipitation.
Puis lancez vos obligations : dans le cadre du RGPD, une violation de données personnelles doit être notifiée à la CNIL dans les 72 heures si elle présente un risque pour les personnes. Déposez plainte. Faites appel à un prestataire spécialisé en réponse à incident — certains sont référencés par l'ANSSI. C'est un moment où l'on perd du temps à improviser, alors que tout doit être écrit d'avance.
Ce qu'il faut préparer avant l'attaque
Un plan de reprise, c'est-à-dire : qui décide quoi, qui appelle qui, quel prestataire, quelle assurance cyber, comment on communique en interne et vers les clients. J'ai vu une entreprise perdre deux jours entiers juste à chercher qui avait les clés du coffre des sauvegardes. Deux jours.
Rançongiciel ou ransomware : quelle différence ?
Aucune. Ce sont deux mots pour la même chose. « Ransomware » est l'anglicisme que tout le monde utilise, « rançongiciel » la traduction officielle recommandée en France. Vous verrez aussi « logiciel de rançon ». Peu importe le terme que vous employez : le mécanisme est identique, seul le vocabulaire change.
Ransomware, c'est quoi exactement ?
Un logiciel malveillant qui prend vos données en otage. Il les chiffre — les rend illisibles sans une clé que seul l'attaquant détient — et exige un paiement, très souvent en cryptomonnaie, pour vous la rendre. Le mot vient de l'anglais ransom, la rançon. Certaines variantes se contentent de bloquer l'écran, d'autres vont jusqu'à paralyser toute l'infrastructure.
Ransomware : comment s'en débarrasser ?
C'est la question qui fait mal. Une fois les fichiers chiffrés, il n'existe pas de remède magique. Vous ne « nettoyez » pas un rançongiciel comme un virus d'antivirus : vous reconstruisez. Deux voies seulement : restaurer depuis une sauvegarde saine, ou — dans de rares cas — utiliser un outil de déchiffrement publié quand les autorités ont mis la main sur les clés. Ces outils existent, mais ils ne couvrent qu'une poignée de variantes anciennes.
Le nettoyage, lui, commence par une remise à zéro : réinstaller les systèmes compromis, changer tous les mots de passe, fermer la porte d'entrée. Sinon, l'attaquant revient. Et il revient souvent.
Voilà pourquoi je répète à mes clients une phrase qui les agace : la meilleure façon de se débarrasser d'un ransomware, c'est de ne jamais avoir à le faire. Tout le travail se joue avant. La sauvegarde qu'on a testée un dimanche tranquille, le MFA qu'on a activé sans y croire, le droit administrateur qu'on a retiré à un salarié qui râlait. Ce sont des gestes invisibles un jour normal. Le jour où l'écran devient rouge, ils deviennent la seule chose qui compte.
Et si vous ne savez pas par où commencer, posez-vous une seule question ce soir : si tout était chiffré demain matin, à quand remonte ma dernière sauvegarde vraiment restaurable ? Si vous hésitez, vous avez votre réponse.
