Un lundi matin, plus aucun fichier ne s’ouvre. Les extensions ont changé, une note de rançon s’affiche sur chaque poste, le logiciel de gestion ne démarre plus. Pour une PME, une attaque par rançongiciel (ransomware) est l’incident le plus brutal qui soit : arrêt total de l’activité, données potentiellement volées et menacées de publication, semaines de reconstruction.
Dans son Panorama de la cybermenace 2025, l’ANSSI indique que le nombre d’attaques par rançongiciel qui lui sont signalées est en légère baisse, mais que les PME, TPE et ETI restent la catégorie de victimes la plus touchée. Comprendre comment se déroule une attaque, c’est savoir où la casser.
L’essentiel en 30 secondes
- Une attaque se déroule en plusieurs étapes, souvent sur plusieurs jours ou semaines : chacune est une occasion de la détecter.
- Les portes d’entrée classiques : phishing, accès distants exposés (RDP, VPN non à jour), failles non corrigées d’équipements en bordure.
- Les attaquants visent en priorité les sauvegardes : une copie immuable ou hors ligne est la meilleure assurance.
- Le jour J : isoler sans éteindre, préserver les traces, activer le plan de crise, prévenir les bons interlocuteurs.
Anatomie d’une attaque
1. L’accès initial
- Phishing avec pièce jointe ou lien piégé, ou vol d’identifiants ;
- services d’accès à distance exposés sur Internet avec des mots de passe faibles ou sans MFA ;
- exploitation de vulnérabilités sur des équipements en bordure (VPN, pare-feu, serveurs de messagerie) : l’ANSSI note que les équipements de sécurité exposés et peu supervisés sont particulièrement ciblés ;
- compromission d’un prestataire ayant un accès à votre système.
2. L’installation et la reconnaissance
L’attaquant installe des outils pour garder l’accès, cartographie le réseau, identifie les serveurs, les sauvegardes, les comptes à privilèges. Il utilise souvent des outils d’administration légitimes, plus difficiles à détecter.
3. L’élévation de privilèges et les déplacements latéraux
Il récupère des identifiants d’administrateur (mots de passe en mémoire, comptes de service réutilisés) et se déplace de machine en machine. Un réseau plat, sans segmentation, lui facilite la tâche.
4. La neutralisation des défenses et des sauvegardes
Désactivation de l’antivirus, suppression des instantanés, effacement ou chiffrement des sauvegardes accessibles. C’est l’étape décisive : si les sauvegardes survivent, l’entreprise peut se relever.
5. L’exfiltration
Les données sont copiées vers l’extérieur pour une « double extorsion » : payer pour récupérer les données, et payer pour qu’elles ne soient pas publiées. L’ANSSI observe d’ailleurs une multiplication des exfiltrations, tout en relevant qu’une partie des revendications publiques relèvent du bluff ou du recyclage de données déjà disponibles.
6. Le chiffrement
Déclenché souvent la nuit ou le week-end, pour maximiser le temps avant la réaction. Tous les fichiers accessibles sont chiffrés en quelques heures.
Les mesures qui cassent la chaîne
| Étape | Mesures efficaces |
|---|---|
| Accès initial | MFA partout, pas de RDP exposé, correctifs rapides des équipements en bordure, sensibilisation au phishing |
| Installation | Protection des postes avec détection comportementale, contrôle des applications |
| Élévation de privilèges | Comptes admin séparés, moindre privilège, mots de passe uniques des comptes locaux |
| Déplacements latéraux | Segmentation réseau, pare-feu des postes, restriction des protocoles d’administration |
| Neutralisation des sauvegardes | Sauvegarde immuable ou hors ligne, identifiants isolés |
| Exfiltration | Surveillance des flux sortants, chiffrement des données sensibles |
| Chiffrement | Détection et alertes, plan de reprise testé |
Le plan de réponse en 10 étapes
- Isoler : débranchez les machines touchées du réseau (câble, Wi-Fi). Ne les éteignez pas : la mémoire contient des traces utiles à l’investigation.
- Couper les accès externes : VPN, accès distants, liaisons vers les autres sites.
- Activer la cellule de crise : dirigeant, référent informatique, prestataire, communication.
- Prévenir : votre prestataire, votre assureur (souvent dans un délai court), le 17Cyber et Cybermalveillance.gouv.fr pour être orienté vers des prestataires spécialisés.
- Préserver les preuves : journaux, note de rançon, captures, chronologie des faits.
- Déposer plainte.
- Notifier la CNIL sous 72 heures si des données personnelles sont concernées, et informer les personnes si le risque est élevé.
- Évaluer les sauvegardes disponibles et saines.
- Reconstruire sur des bases propres, après avoir identifié et corrigé le point d’entrée, et changé tous les mots de passe.
- Tirer les leçons : retour d’expérience, plan d’amélioration, test du plan de reprise.
Faut-il payer ?
Les autorités le déconseillent fortement. Rien ne garantit la remise d’un outil de déchiffrement fonctionnel, ni la suppression des données volées ; le paiement finance de nouvelles attaques et peut faire de vous une cible récurrente. La vraie réponse se prépare avant : sauvegardes immuables et plan de reprise testé.
Se préparer dès maintenant
- une fiche réflexe d’une page, imprimée, avec les contacts d’urgence ;
- la liste des systèmes critiques et leur ordre de redémarrage ;
- des sauvegardes immuables testées ;
- un exercice de crise annuel, même simple (« le serveur est chiffré, que fait-on ? ») ;
- un moyen de communication de secours (messagerie hors du système de l’entreprise, numéros de téléphone sur papier).
Questions fréquentes
Combien de temps dure le retour à la normale ?
Selon la préparation, de quelques jours (sauvegardes saines, plan testé) à plusieurs semaines ou mois (reconstruction complète, sauvegardes détruites).
L’antivirus ne suffit-il pas ?
Non. Les attaquants désactivent ou contournent souvent la protection des postes. C’est l’empilement des mesures qui protège.
Une cyber-assurance couvre-t-elle tout ?
Elle couvre une partie des frais (investigation, reconstruction, pertes d’exploitation selon contrat), mais exige généralement des mesures préalables et une déclaration rapide. Lisez votre contrat avant l’incident.
Comment savoir si un attaquant est déjà dans mon réseau ?
Signes possibles : comptes inconnus, connexions à des heures inhabituelles, outils d’administration inconnus, antivirus désactivé. Un audit avec revue des journaux permet de lever le doute.
Pouvez-vous nous aider à nous préparer ?
Oui : audit de cybersécurité, mise en place de sauvegardes immuables, plan de reprise et exercice de crise.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
