Rançongiciels : prévention et réaction en cas d'attaque, le guide

Un client m'appelle un mardi matin, la voix blanche. Sur son écran, un fichier texte. Dedans, trois lignes et un compte à rebours. Tous ses dossiers — huit ans de devis, de plans, de factures — étaient devenus des fichiers avec une nouvelle extension que personne dans la boîte ne reconnaissait. Il n'avait pas encore appelé son assureur. Il n'avait pas encore éteint la machine. Il attendait, simplement, en regardant le compteur descendre.

Voilà le vrai visage d'une attaque par rançongiciel : rarement le chaos hollywoodien, souvent un silence de plomb et une équipe qui ne sait pas par quel bout prendre le problème. La bonne nouvelle, c'est que la prévention des rançongiciels et la réaction en cas d'attaque obéissent toutes les deux à des règles assez simples, à condition de les avoir écrites avant que ça arrive. Le reste de cet article, c'est cette mécanique mise à plat.

Un rançongiciel, c'est quoi exactement (et ce n'est pas un virus comme les autres)

La confusion la plus répandue, celle que je vois dans presque toutes les réunions de crise, consiste à traiter un rançongiciel comme un virus classique : on lance un antivirus, on attend, on redémarre. Ça ne marche pas. Un rançongiciel n'a pas besoin de rester discret longtemps. Il fait son travail, chiffre tout ce qu'il peut atteindre, puis affiche sa demande.

Chiffrement, puis double extorsion

Le schéma de base n'a pas beaucoup bougé. Le programme malveillant parcourt vos disques — locaux, partages réseau, parfois vos sauvegardes connectées — et transforme chaque document en un bloc illisible. Il dépose ensuite une note de rançon, souvent un fichier texte, avec un compte à rebours et un portail de paiement en cryptomonnaie.

Ce qui a changé, en revanche, c'est la double extorsion. Avant de chiffrer, le groupe exfiltre vos données. Résultat : même si vous restaurez une sauvegarde propre et refusez de payer, on vous menace de publier vos fichiers — contrats, données clients, documents internes. C'est le levier qui pousse beaucoup d'organisations à céder. Et franchement, c'est le plus vicieux.

La « demande de rançon », d'ailleurs, ne ressemble pas à ce qu'on imagine. Pas de message théâtral. Vous trouvez un fichier sobre, avec un identifiant de victime, un lien vers un site en .onion, et une phrase du type : « Vos fichiers sont chiffrés. Payez sous 96 heures. » Certains laissent même un contact pour négocier le montant. Oui, négocier.

Comment éviter une attaque : les leviers qui comptent vraiment

J'ai vu des entreprises dépenser des fortunes en outils de sécurité et se faire plier en une matinée parce que le compte de la comptabilité n'avait pas de second facteur. Inversement, j'ai vu une TPE de dix personnes tenir tête à une tentative parce qu'elle avait une sauvegarde déconnectée et une politique d'accès stricte. Le budget n'est pas le facteur décisif.

Protection contre les rançongiciels sous Windows 11

La question revient souvent : que faire concrètement sur un parc Windows 11 ? Plusieurs réglages natifs rendent la vie bien plus difficile à un attaquant, à condition de les activer — ils ne le sont pas toujours par défaut.

• Contrôle des dossiers (protection contre les rançongiciels dans Sécurité Windows) : il empêche les applications non autorisées de modifier vos dossiers personnels. Simple, gratuit, et efficace contre les variantes qui s'attaquent aux documents.
• BitLocker activé sur tous les postes : si un portable est volé, le disque reste illisible. Ça ne bloque pas le chiffrement malveillant, mais ça ferme une autre porte.
• Mises à jour automatiques réellement appliquées. Un poste qui traîne six mois de retards est une invitation.
• Comptes utilisateurs en droits limités, pas en administrateur local par défaut. C'est inconfortable. C'est aussi ce qui empêche l'élévation de privilèges qui fait tout basculer.

Et là, je vais être direct : ces réglages ne servent à rien si les sauvegardes restent connectées en permanence au réseau. C'est le point numéro un.

La sauvegarde : la règle des 3-2-1, et sa version moderne

La règle classique : trois copies des données, sur deux supports différents, dont une hors site. Aujourd'hui, j'ajouterais volontiers un quatrième critère, plus important encore : une copie déconnectée ou immuable. Une sauvegarde accessible en écriture depuis le réseau est une sauvegarde qui sera chiffrée en même temps que le reste. Je l'ai vécu sur un projet il y a quelques années — le serveur de sauvegarde, sur le même domaine, a été nettoyé en même temps que les fichiers de travail. On a perdu une semaine de données. Une semaine, ça peut sembler court. En pleine période de clôture, c'était une catastrophe.

Testez vos restaurations. Pas une fois par an, une fois par trimestre. Une sauvegarde jamais restaurée est une croyance, pas une protection.

Que faire en cas d'hameçonnage

Le rançongiciel arrive rarement par une attaque sophistiquée. Il arrive par un clic. Alors, que faire en cas d'hameçonnage ? La réponse tient en trois réflexes, dans cet ordre.

1. Ne cliquez sur rien — ni le lien, ni la pièce jointe, ni le bouton « se désabonner ».
2. Signalez le message en interne, même si vous avez un doute, même si vous avez honte. Un signalement tardif vaut toujours mieux qu'un signalement jamais fait.
3. Si vous avez déjà saisi vos identifiants, changez le mot de passe immédiatement et partout où il était réutilisé, puis activez (ou refaites) le second facteur.

Le détail qui change tout : la rapidité. Sur une compromission de mot de passe, les attaquants se connectent souvent dans les minutes qui suivent. Une heure de retard peut transformer une alerte en incident majeur.

Vous êtes attaqué : la séquence de réponse, heure par heure

C'est la partie que la plupart des articles survolent. On vous dit « isolez, prévenez, restaurez » sans jamais détailler l'ordre. Or l'ordre compte énormément.

Première heure : isoler, geler, ne pas éteindre au hasard

Débranchez le câble réseau de la machine touchée. Coupez le Wi-Fi. Mais ne l'éteignez pas brutalement : éteindre une machine peut effacer des éléments en mémoire utiles à l'analyse, et parfois laisser un chiffrement inachevé encore récupérable. On isole, on ne nettoie pas.

En parallèle, deux gestes décisifs :

• Déconnectez du réseau les supports de sauvegarde pour éviter qu'ils soient atteints à leur tour.
• Prévenez immédiatement la direction et votre prestataire informatique ou votre expert. Pas dans deux heures. Tout de suite.

Un point que beaucoup ignorent : si vous avez une cyber-assurance, appelez-la dès les premières minutes. Certaines polices exigent une notification rapide, et surtout, elles peuvent mobiliser une équipe de réponse à incident que vous n'avez pas en interne. J'ai vu une PME perdre sa couverture pour avoir attendu quarante-huit heures avant de déclarer. Douloureux.

Diagnostiquer la fuite, puis notifier

Une fois la situation stabilisée, il faut répondre à une question précise : des données personnelles ont-elles été exfiltrées ? C'est ce qui déclenche vos obligations. En Europe, une violation de données personnelles doit être notifiée à la CNIL dans un délai de 72 heures après en avoir pris connaissance. Le dépôt de plainte, lui, se fait auprès des autorités compétentes, et vous pouvez solliciter l'appui de l'ANSSI ou de la plateforme Cybermalveillance.gouv.fr pour vous orienter.

Ne cherchez pas à comprendre toute l'ampleur avant de prévenir. La notification est un processus, pas un rapport final. Vous documentez, vous déclarez, vous complétez ensuite.

Faut-il payer la rançon ?

Non. Et je pèse mes mots. Trois raisons, dans l'ordre d'importance.

D'abord, légalement, payer une rançon peut tomber sous le coup des règles de financement du terrorisme, selon qui se trouve derrière. Ce n'est pas un détail théorique : des organisations ont vu leurs opérations de paiement bloquées ou requalifiées.

Ensuite, statistiquement, payer ne garantit rien. Une partie des victimes qui paient ne récupèrent jamais une clé fonctionnelle, ou récupèrent des fichiers partiellement corrompus. Les groupes disparaissent, changent de nom, ou reviennent exiger une seconde rançon.

Enfin, payer finance l'écosystème qui vous a attaqué. C'est la raison qui me fait tenir cette position sans nuance : chaque paiement rend l'attaque suivante un peu plus probable, pour quelqu'un d'autre.

Situation	Ce qu'il faut faire	Ce qu'il ne faut surtout pas faire
Fichiers chiffrés, sauvegarde saine disponible	Restaurer, analyser l'origine de l'intrusion, corriger	Reconnecter la sauvegarde au réseau avant d'avoir compris la faille
Fichiers chiffrés, pas de sauvegarde exploitable	Signaler, consulter un spécialiste, déposer plainte	Payer en urgence sans avis juridique
Données exfiltrées + chiffrées	Notifier la CNIL, informer les personnes concernées, préparer une communication	Nier publiquement ou minimiser la fuite
Doute sur l'ampleur	Isoler largement, documenter, garder les preuves	Réinstaller les postes à la précipitation

Comment se débarrasser d'un rançongiciel : remise en état sans se faire avoir deux fois

Supprimer le fichier malveillant ne suffit jamais. Si vous nettoyez la machine sans comprendre comment l'attaquant est entré, il reviendra par la même porte dans les semaines qui suivent. J'ai vu ce scénario deux fois : une restauration, un soulagement, puis une seconde attaque identique deux mois plus tard. La cause n'avait jamais été traitée.

La démarche propre ressemble à ceci :

• Identifier le vecteur d'entrée : un accès distant exposé ? Un identifiant volé ? Une pièce jointe ? Un logiciel non à jour ?
• Réinitialiser les identifiants sensibles, en particulier les comptes à privilèges, et refaire confiance à rien par défaut.
• Réinstaller les systèmes compromis à partir d'une image saine, pas les nettoyer à la main.
• Restaurer depuis une sauvegarde vérifiée, puis surveiller les jours suivants pour détecter un retour.

Le point qu'on oublie le plus souvent : la désinfection partielle. Un poste « nettoyé » à l'antivirus peut garder une porte dérobée discrète, un compte fantôme, une tâche planifiée qui réveille tout à une heure précise. La remise en état complète est plus longue. Elle est aussi la seule fiable.

Les attaques récentes confirment-elles ces principes ?

Je ne vais pas vous citer de chiffre exotique ou de rapport que je ne peux pas vérifier. Mais une tendance est difficile à ignorer : les groupes de rançongiciels se sont professionnalisés. Ils fonctionnent parfois comme des prestataires, avec des services d'accès initial, de négociation, de blanchiment. Ce qui veut dire que la question n'est plus « suis-je une cible intéressante ? » mais « suis-je une cible assez facile ? ».

Collectivités, hôpitaux, PME, cabinets d'avocats : les cibles ne sont plus choisies pour leur fortune, mais pour leur vulnérabilité — et leur capacité à payer vite, sous pression, sans procédure claire. Le plus inquiétant, honnêtement, c'est que beaucoup de petites structures restent persuadées que ça n'arrive qu'aux autres. Jusqu'au mardi matin où un client vous appelle, la voix blanche.

La vraie question n'est pas de savoir si vous serez visé. C'est de savoir si vous avez, sur une feuille, la liste des numéros à appeler et des gestes à faire dans les premières heures. Si vous hésitez, écrivez cette feuille cette semaine. Le jour où vous en aurez besoin, il sera trop tard pour improviser.