Un vendredi soir, 19 h 40. Le directeur d'une PME de mécanique m'appelle : tous ses postes affichent un fond d'écran rouge avec un compte à rebours. Sur le serveur de fichiers, chaque dossier porte une extension bizarre, et un fichier texte promet la clé de déchiffrement contre 40 000 euros en bitcoin. Sa sauvegarde ? Un disque externe branché en permanence sur le serveur. Chiffré lui aussi. J'ai raccroché en sachant que les trois jours qui venaient allaient coûter plus cher que la rançon demandée.
Ce soir-là m'a appris une chose que je répète à chaque dirigeant : un rançongiciel n'est pas un problème informatique, c'est un problème d'organisation qui se révèle en informatique. Et la prévention commence bien avant le premier mail piégé.
Points clés à retenir
- Un rançongiciel chiffre vos données et exige une rançon ; il ne se contente plus toujours de les chiffrer, il les vole d'abord pour faire chantage.
- La sauvegarde hors ligne et testée reste la seule parade réellement fiable. Une sauvegarde branchée en permanence n'existe pas.
- En cas d'attaque : isoler la machine, ne pas payer, notifier la CNIL sous 72 h si des données personnelles fuient, déposer plainte.
- La position officielle française : ne pas payer. Payer ne garantit rien et vous financez l'écosystème suivant.
- La plupart des intrusions passent par un identifiant volé ou un mail piégé, pas par une faille exotique.
- La restauration se prépare avant l'incident. Je l'ai appris à mes dépens.
Rançongiciel : la définition qui évite les malentendus
Un rançongiciel, ou ransomware en anglais, est un logiciel malveillant qui prend vos fichiers en otage. Concrètement : il les chiffre avec une clé que vous ne possédez pas, puis affiche une demande de rançon. Tant que vous ne payez pas, vous n'avez pas la clé.
Spoiler : la définition s'arrête souvent là, et c'est une erreur. Parce que depuis quelques années, la mécanique a changé.
Le chiffrement n'est plus le cœur du problème
Ce que j'ai observé sur les dossiers que j'ai accompagnés : la copie des données précède presque toujours le chiffrement. L'attaquant exfiltre vos fichiers, puis les verrouille. Résultat, même si vous restaurez une sauvegarde impeccable, la menace continue : « payez ou nous publions vos contrats, vos fiches clients, vos données RH ».
Cette double extorsion explique pourquoi « j'ai une bonne sauvegarde » ne suffit plus comme réponse. La sauvegarde vous rend opérationnel. Elle ne fait pas disparaître la fuite.
Le vrai synonyme, c'est « extorsion par logiciel »
On parle aussi de logiciel de rançon, de chiffreur, ou de cryptolocker dans le vocabulaire courant. Le terme exact varie, mais la logique reste identique : quelqu'un a décidé que la façon la plus rentable d'exploiter votre système, c'est de vous facturer l'accès à vos propres données.
Comment se déroule une attaque par rançongiciel, du premier mail à la rançon
Dans presque tous les cas que j'ai vus, personne n'a été « piraté » par un génie. L'entrée est banale.
Les portes d'entrée ne sont pas si secrètes
- Une pièce jointe qui demande d'activer les macros pour « afficher le document ».
- Un identifiant d'administrateur qui traîne, sans double authentification, revendu sur un forum.
- Une clé USB ramassée sur le parking.
- Un serveur d'accès distant laissé ouvert, avec un mot de passe par défaut jamais changé.
- Un prestataire externe compromis, dont le compte sert de tremplin chez vous.
Aucun de ces scénarios ne demande de compétence rare. Le mail piégé et l'identifiant volé couvrent la majorité des cas que j'ai traités.
À quoi ressemble une demande de rançon ?
Sur le dernier incident que j'ai suivi, le message tenait en quatre lignes : un compte à rebours de 72 heures, un montant en bitcoin qui quadruplait après le délai, une adresse de contact sur le dark web, et une « preuve » — trois fichiers de la comptabilité, publiés pour montrer qu'ils détenaient bien tout. Pas de menace explicite, juste la démonstration que ce n'était pas un bluff.
La charge émotionnelle fait partie du produit. Un caissier qui voit l'écran rouge à 8 h 15 ne se demande pas si c'est un hoax. Il panique, et c'est exactement le but.
Le vrai moteur : un modèle presque industriel
Ce qui m'a le plus frappé, c'est le degré de spécialisation. Certains groupes ne font que l'intrusion. D'autres, uniquement le chiffrement. D'autres récupèrent les négociations et prennent une commission. C'est une chaîne avec des rôles, des outils loués, un service après-vente — celui qui vous « aide » à acheter la clé. Cette professionnalisation, plus que la technique, est ce qui rend la menace durable.
Que faire en cas de ransomware : la procédure, dans l'ordre
C'est la partie qui manque partout, et c'est celle qui compte quand votre écran est rouge.
- Isoler la machine ou le serveur du réseau. Débrancher le câble, couper le Wi-Fi. Ne l'éteignez pas forcément : la mémoire peut contenir des indices utiles.
- Ne pas payer dans la précipitation. Le paiement ne garantit aucune clé et vous fait entrer dans la catégorie des cibles solvables.
- Prévenir immédiatement la direction, l'informatique ou le prestataire, et votre assureur cyber si vous en avez un.
- Identifier ce qui a été touché et ce qui a fuité. C'est cette seconde question qui déclenche les obligations légales.
- Si des données personnelles sont concernées, notifier la CNIL sous 72 heures. C'est une obligation du RGPD, pas une option.
- Déposer plainte auprès des autorités. Une plainte ouvre des droits et alimente les enquêtes.
- Restaurer depuis une sauvegarde saine, sur un réseau assaini, et changer tous les mots de passe compromis.
Faites ces étapes dans cet ordre. J'ai vu une entreprise restaurer avant d'avoir isolé la machine d'origine : deux jours plus tard, tout était rechiffré.
Ransomware : comment se protéger sans y passer des mois
La bonne nouvelle, c'est que les mesures qui font vraiment baisser le risque ne sont pas nombreuses. Elles sont juste exigeantes et régulières.
La règle 3-2-1, et surtout le mot « hors ligne »
Gardez trois copies de vos données, sur deux supports différents, dont une hors site. Mais chez moi, c'est le mot hors ligne qui a tout changé. Une sauvegarde branchée en permanence est une cible comme les autres. Elle doit être déconnectée, ou immuable — non modifiable pendant un certain laps de temps. Et testée. J'insiste : une sauvegarde jamais restaurée n'est pas une sauvegarde, c'est une croyance.
La double authentification, le meilleur rapport effort-protection
Un identifiant volé sans second facteur, c'est une porte ouverte. Activez la double authentification partout où c'est possible, en priorité sur les accès distants, la messagerie et les comptes d'administration. C'est fastidieux. C'est aussi la mesure qui a bloqué le plus de tentatives sur les réseaux que j'ai configurés.
Ce qui reste : hygiène, mises à jour, sensibilisation
- Corriger les logiciels rapidement, sans repousser au mois suivant.
- Limiter les droits : tout le monde n'a pas besoin d'être administrateur.
- Segmenter le réseau pour qu'une machine compromise n'atteigne pas le serveur de fichiers.
- Répéter à vos équipes : jamais activer une macro sur un document inattendu, jamais ouvrir une pièce jointe dont on n'attendait pas l'envoi.
Prévention : ce qui protège vraiment, et ce qui rassure seulement
| Mesure | Protège contre quoi | Effort réel |
|---|---|---|
| Sauvegarde hors ligne testée | Perte de données, rechiffrement | Élevé mais vital |
| Double authentification | Vol d'identifiants, accès distant | Modéré |
| Segmenter le réseau | Propagation latérale | Technique |
| Antivirus seul | Menaces connues uniquement | Faible… et insuffisant |
| Payer la rançon | Rien de garanti | Cher et risqué |
Franchement, l'antivirus seul m'a toujours semblé être la fausse bonne conscience. Il attrape ce qu'il connaît. Un rançongiciel neuf, non. Ce n'est pas une raison pour le désinstaller — juste pour arrêter de croire qu'il suffit.
Faut-il payer la rançon ? La réponse officielle et la mienne
La position française est claire : ne pas payer. Le paiement ne garantit ni la clé, ni la suppression des données volées, ni l'absence de nouvelle attaque. Et il finance directement l'écosystème qui frappera la prochaine victime — peut-être vous, dans six mois.
Je ne vais pas prétendre que c'est un choix facile quand l'entreprise est à l'arrêt. J'ai vu des dirigeants payer par désespoir, et j'ai vu le résultat : dans deux cas sur trois de mon expérience, la clé n'est jamais arrivée, ou les données ont été publiées quand même. Le paiement achète une illusion de contrôle. Il ne rend pas service à la victime suivante.
Ce qui reste après l'incident
Le plus dur n'est pas technique. C'est de reconstruire la confiance, de rassurer les clients, de réexpliquer à une équipe pourquoi on ne clique pas sur un lien. Le rançongiciel ne vous prend pas seulement des fichiers : il prend du temps, de la réputation et des nuits blanches.
Alors voici la seule question qui mérite votre dimanche soir : si le fond d'écran rouge apparaissait demain à 8 h 15, sauriez-vous, vraiment, où se trouve votre sauvegarde hors ligne — et si elle fonctionne encore ?
