Ransomware : qu’est-ce que c’est et comment éviter une attaque ?

Les rançongiciels ont changé d’échelle. En quelques heures, un ransomware peut paralyser vos serveurs, chiffrer vos bases clients et menacer de publier vos données sensibles. Face à des groupes structurés, opérant souvent en RaaS (Ransomware-as-a-Service), les PME et startups ne sont plus des cibles d’opportunité mais des maillons critiques de la chaîne d’approvisionnement. Bonne nouvelle : avec des gestes techniques éprouvés, une hygiène cyber rigoureuse et un plan de réponse clair, vous pouvez réduire drastiquement le risque et l’impact.

Prenons “NovaSaaS”, une jeune société qui vend une plateforme B2B. Un sous-traitant IT néglige un correctif, des identifiants sont réutilisés, l’accès est pivoté via VPN, puis chiffrement partiel des fichiers et exfiltration. Vous reconnaissez le scénario ? Décryptons ce qui se joue, comment s’en prémunir et quoi faire dans les 72 premières heures.

En bref : comprendre le ransomware et agir vite

Voici l’essentiel à retenir avant d’entrer dans le détail.

• Définition : un rançongiciel chiffre ou bloque vos données et exige une rançon, parfois après vol des informations pour pression supplémentaire.
• Fonctionnement : accès initial (phishing, RDP, vulnérabilités, fournisseurs), chiffrement/exfiltration, puis demande de rançon en cryptomonnaie.
• Évolution : double puis triple extorsion (chiffrement + fuite de données + DDoS/pression sur partenaires).
• Impacts : pertes financières, arrêt d’activité, litiges réglementaires, réputation entachée.
• Prévention : sauvegardes 3-2-1-1-0, MFA, patchs, EDR/antiransomware, segmentation, sensibilisation continue.
• Réponse : isoler sans éteindre, préserver les preuves, alerter IT/assureur, ne pas payer, déclarer à l’autorité compétente.

Ce guide vous donne un plan d’action concret pour renforcer vos défenses et accélérer la remédiation.

Ransomware : définition claire et comment une attaque se déroule

Un rançongiciel est un logiciel malveillant qui prend en otage vos données en les chiffrant ou en bloquant l’accès au système. L’infection survient souvent après un clic sur un lien/pièce jointe malveillant, via un accès RDP exposé, un fournisseur compromis ou une faille non corrigée.

• Objectif des attaquants : monétiser l’accès et maximiser la pression afin d’obtenir un paiement rapide.
• Monnaie de paiement : cryptomonnaies pour complexifier la traçabilité.
• Durée de cycle : de quelques heures à plusieurs jours selon la furtivité (mouvement latéral et exfiltration).

Les 3 étapes d’une attaque par rançongiciel

La plupart des variantes suivent un schéma stable, avec des nuances selon les familles.

1. Accès initial : phishing, RDP/SSH avec identifiants volés, exploitation de vulnérabilités (ex. EternalBlue), chaîne d’approvisionnement.
2. Chiffrement/exfiltration : sélection de fichiers, suppression d’ombres, exfiltration préalable pour double extorsion.
3. Rançon : notes laissées sur le système, menace de fuite publique et négociation via chat/Tor.

• Bon réflexe : surveiller les “pré-chiffrement” (dump d’identifiants, désactivation EDR, compresseurs d’archives, trafic sortant anormal).

Vecteurs d’infection à haut risque en 2025

Les opérateurs ciblent les failles les plus rentables et sous-estimées.

• Phishing vers pages SSO/MFA-bypass, pièces jointes avec macros ou téléchargeurs.
• RDP/VPN mal configurés, mots de passe faibles, MFA absent.
• Fournisseurs tiers : logiciels ou MSP avec correctifs en retard, confiance exploitée pour entrer chez le client.
• Zero-days ou n-days très médiatisés (ex. Exchange), scans massifs et exploitation automatisée.

Comprendre ce cycle vous aide à détecter les signaux faibles avant le point de non-retour.

Si votre SI est distribué entre cloud et on-premise, anticipez les traversées de périmètre et les privilèges hérités.

Types de ransomwares en 2025 : du double à la triple extorsion

Les familles modernes combinent chiffrement sélectif, vol de données et pression publique. Certaines abandonnent même le chiffrement pour l’extorsion pure.

• Crypto/Locker : chiffrement des fichiers ou blocage du poste.
• Double extorsion : chiffrement + exfiltration (Maze a popularisé la méthode).
• Triple extorsion : ajout d’un DDoS ou pression sur clients/partenaires.
• RaaS : location du malware à des affiliés pour industrialiser les attaques.
• Data-stealing (sans chiffrement) : menace de fuite uniquement.
• Wiper : destruction/déni permanent d’accès, sans logique de rançon fiable.

Type	Ce qui se passe	Exemple	Parade-clé
Crypto	Chiffre des données critiques	Cryptolocker, LockBit	Sauvegardes 3-2-1-1-0, EDR/antiransomware
Locker	Bloque l’accès au poste	Variantes “screen-locker”	Contrôle applicatif, durcissement OS
Double extorsion	Vol + chiffrement + fuite	Maze, Cl0p	DLP, surveillance exfiltration, segmentation
Triple extorsion	Pression additionnelle (DDoS ou tiers)	Ryuk/affiliés, campagnes ciblées	Protection DDoS, gestion de crise partenaires
RaaS	Outils loués à des affiliés	REvil, LockBit, Qilin	Veille TTP, durcissement accès, MFA
Data-stealing	Extorsion sans chiffrement	Akira (modes “exfil only”)	Contrôle data egress, chiffrement au repos
Wiper	Destruction permanente	WannaCry-like wiperized variantes	Plans PRA orientés restauration rapide

Variantes et groupes marquants

Quelques acteurs ont marqué les derniers mois par leurs techniques et leur cadence.

• RansomHub : essor en 2024 via modèle RaaS généreux, puis arrêt annoncé le 1er avril 2025, des affiliés migrent vers Qilin et DragonForce.
• Qilin : Rust, double extorsion, forte personnalisation et pic d’activité au printemps 2025.
• Akira : Windows/Linux, intermittent encryption, campagnes via VPN vulnérables.
• Play : plus de 300 victimes, GPO pour déploiement, double extorsion.
• Cl0p : exploitation de zero-days et fuites massives.
• Ryuk, REvil, LockBit, DearCry, Lapsus$ : familles historiques et/ou associées à des attaques emblématiques.

Cartographier ces familles aide à adapter vos contrôles aux TTP réellement utilisés.

Surveillez particulièrement les blogs de fuite sur Tor qui publient des preuves pour forcer les paiements.

Qui les cybercriminels ciblent et pourquoi votre PME est exposée

Les attaquants visent les organisations riches en données sensibles ou interconnectées à d’autres. Les petites structures sont attractives car elles disposent de moyens limités et d’accès à des comptes clés.

• Secteurs ciblés : industrie manufacturière, IT/services et finance (Flare), santé sous pression continue.
• Chaîne d’approvisionnement : fournisseurs, MSP/ISP et éditeurs en tête pour pivot vers leurs clients.
• Enseignement/recherche : parc hétérogène, nombreux comptes, pression de continuité.

Chiffres utiles pour cadrer le risque

Les tendances restent élevées : IBM (2023) estime le coût moyen d’un incident ransomware à 5,13 M$ hors rançon. En 2023, près de 10% des organisations ont été ciblées par des tentatives, contre 7% l’année précédente.

• Lecture business : plus la dépendance aux systèmes est forte, plus la négociation est asymétrique.
• Indicateur : explosion des fuites de données parallèles au chiffrement.

Le maillon le plus faible n’est pas toujours chez vous : évaluez vos tiers de confiance.

Étude de cas et impacts business d’un rançongiciel

En septembre 2023, Johnson Controls International a subi une attaque avec 27 To de données volées. Rançon demandée : 51 M$. Le coût déclaré a dépassé 27 M$ en pertes et remédiation, avec des effets persistants sur le chiffre d’affaires.

• Leçon 1 : même les groupes matures subissent un effet domino sur plusieurs trimestres.
• Leçon 2 : la fuite de données maintient la pression, même si la restauration technique est réussie.
• Leçon 3 : l’assurance cyber amortit, sans remplacer la prévention.

Conséquences typiques pour une PME/Startup

Au-delà de la rançon, les coûts cachés déstabilisent durablement.

• Financiers : remédiation, interruption d’activité, assistance juridique, notifications, pénalités.
• Opérationnels : arrêt de production, perte de données, non-respect SLA clients.
• Réputation : confiance des clients/partenaires, attrition, négociation commerciale fragilisée.

Traduction pour NovaSaaS : vos contrats, vos logs de support et vos dépôts code sont aussi des actifs à protéger.

Prévenir une attaque ransomware : 12 mesures efficaces et actionnables

La prévention est votre meilleur ROI. Priorisez des basiques solides et des contrôles proactifs.

• Sauvegardes 3-2-1-1-0 : 3 copies, 2 supports, 1 hors site, 1 immuable/air-gapped, 0 erreur de restauration (tests).
• MFA partout : VPN, RDP, SaaS critiques, consoles cloud, Git.
• Patching rapide
• EDR/antiransomware avec détection comportementale et rollback.
• Segmentation réseau et moindre privilège (IAM propre, rotation secrets).
• Filtrage email avancé, isolation navigateur, blocage macros.
• Surveillance exfiltration (DLP, egress filtering, proxy, CASB).
• Durcissement RDP/VPN, bastions, accès Just-in-Time.
• Journalisation centralisée et détection TTP (SIEM/XDR).
• Tests de restauration mensuels et exercices de crise.
• Formation continue anti-phishing et jeux de rôle.
• Gestion des tiers : due diligence sécurité, clauses contractuelles, revues régulières.

Éditeur	Points forts antiransomware	Cas d’usage PME/Startup
Kaspersky	Détection comportementale, durcissement endpoints	Postes Windows/Linux, TPE/PME multi-sites
Bitdefender	Machine learning, sandboxing, rollback	Protection EDR légère pour équipes réduites
Avast	Protection email/web, boucliers fichiers	Premiers niveaux de défense à budget maîtrisé
Sophos	Intercept X, détection exploit, MDR	Défense gérée 24/7 pour petites équipes IT
ESET	Faible empreinte, contrôle périphériques	Parcs hétérogènes, contraintes performance
Trend Micro	XDR, protection email cloud, DLP	Environnements O365/Google Workspace
Norton	Protection endpoints grand public/SMB	Très petites structures et travailleurs hybrides
McAfee	Suite EPP/EDR, prévention menaces	Parcs Windows à sécuriser rapidement
F-Secure	Léger, focus endpoint et services gérés	Externalisation partielle de la détection
Panda Security	Adaptive Defense, contrôle comportemental	Visibilité fine sur processus et scripts
Check Point	Anti-ransomware dédié, Harmony Endpoint, ASM/ERM	Protection unifiée endpoint/réseau, gestion surface d’attaque

Choisissez selon votre environnement et vos ressources internes, puis testez la détection sur des scénarios réalistes.

Que faire en cas d’attaque : le plan d’action des 72 premières heures

Le timing est déterminant. Un plan clair réduit les dégâts et accélère la reprise.

• Isoler sans éteindre : débranchez du réseau, gardez la machine allumée pour préserver la mémoire.
• Alerter : équipe IT/prestataire, assurance cyber pour mobiliser des experts 24/7.
• Geler les mouvements : comptes à privilèges, partages, tokens CI/CD, clés API.
• Conserver les preuves : journaux, artefacts, copies des notes de rançon.
• Vérifier des décrypteurs : projet No More Ransom sur des copies.
• Ne pas payer : paiement non garanti, alimente l’économie criminelle, risque juridique.
• Déclarations : plainte sous 72h, signalement à la CNIL en cas de données personnelles.
• Reconstruction : réinstallation propre, restauration depuis sauvegarde testée, rotation secrets.

Coordination communication et juridique

Préparez des éléments de langage pour clients et partenaires. Anticipez les demandes réglementaires et contractuelles (SLA, clauses sécurité fournisseurs).

• Canaux : communiquer vite, sans surpromettre, et avec transparence mesurée.
• Traçabilité : documenter chaque action de réponse pour l’assurance et l’audit.

Un exercice pilote trimestriel améliore nettement la coordination et réduit le temps d’arrêt.

Outils et ressources utiles pour entrepreneurs et équipes IT

Allez à l’essentiel avec des ressources éprouvées et actionnables.

• No More Ransom : décrypteurs gratuits et guides pratiques.
• ANSSI/CERT-FR : alertes vulnérabilités et guides PRA/PCA.
• ENISA / CISA : bonnes pratiques, bulletins sectoriels.
• Check Point Harmony Endpoint : antiransomware avec moteur dédié et External Risk Management pour ASM/veille dark web.
• Outils EDR/EPP : Kaspersky, Bitdefender, Avast, Sophos, ESET, Trend Micro, Norton, McAfee, F-Secure, Panda Security.
• Assurance cyber : couverture frais forensic, perte d’exploitation, assistance de crise via courtier spécialisé.

Centralisez la veille et supervisez vos assets exposés : ce que vous ignorez est souvent ce qui vous met en risque.

Mot de la fin

Le rançongiciel prospère sur l’impréparation. En consolidant vos basiques, en outillant votre détection et en répétant votre réponse de crise, vous transformez une menace systémique en risque maîtrisé.

• Agissez maintenant : sauvegardes immuables, MFA, patchs, EDR/antiransomware.
• Formez vos équipes : simulations phishing et exercices de crise trimestriels.
• Sécurisez vos tiers : exigences contractuelles, scans réguliers, revue des accès.

Quelles différences entre double et triple extorsion ?

Double : chiffrement + vol et menace de fuite. Triple : ajoute un DDoS ou une pression directe sur vos clients/partenaires pour accélérer le paiement.

• Implication : la communication de crise doit inclure vos parties prenantes externes.

Doit-on payer la rançon pour aller plus vite ?

Non. Le paiement ne garantit ni la restauration complète ni la suppression des données volées. Il peut créer un signal d’appétence et exposer à des risques juridiques. Privilégiez la restauration, l’enquête forensic et les déclarations réglementaires.

• Astuce : vérifiez d’abord l’existence d’un décrypteur sur No More Ransom.

Quelles sauvegardes mettre en place concrètement ?

Appliquez 3-2-1-1-0 : 3 copies, 2 supports différents, 1 hors site, 1 immuable/air-gapped, 0 erreurs (tests réguliers). Testez la restauration au moins mensuellement.

• KPI : temps de restauration et point de reprise (RTO/RPO) connus et atteignables.

Quoi exiger de mes fournisseurs critiques ?

MFA, patching en délais contractuels, journalisation partagée, scans d’exposition réguliers, plans de réponse, notification d’incident en moins de 24h, preuves de tests.

• Contrat : clauses sécurité, audits, pénalités, réversibilité et gestion des accès.