Comprendre les ransomwares et s'en protéger : le guide essentiel

Comprendre les ransomwares : ce qui se passe vraiment quand votre écran se verrouille

Un client m'appelle un mardi matin, la voix blanche. Sur les écrans de sa PME, un message unique : vos fichiers sont chiffrés, envoyez 40 000 euros en bitcoin sous 72 heures. Il me demande ce qu'il doit faire. Je lui réponds la seule chose honnête qu'on puisse répondre dans ce moment précis : surtout pas payer tout de suite, et coupez tout. Dans les heures qui ont suivi, on a découvert que le rançongiciel était entré par un simple identifiant VPN dont le mot de passe datait de 2019 et n'avait jamais été changé.

Cette histoire n'a rien d'exceptionnel. Elle ressemble à des dizaines d'autres. Et c'est justement le problème : la plupart des attaques ne sont pas des coups de génie informatique, ce sont des portes laissées ouvertes pendant des années. On va parler de ce que font réellement les ransomwares, de ce qui marche pour s'en protéger, et de la question que personne n'aime aborder : faut-il payer ?

Définition : le rançongiciel, ou pourquoi on dit ransomware

Rançongiciel, c'est la traduction officielle recommandée en français. Ransomware, c'est le terme que tout le monde utilise dans la vraie vie, y compris les éditeurs de sécurité et les assureurs. Les deux désignent exactement la même chose : un logiciel malveillant qui prend vos données en otage.

Le mécanisme est presque toujours le même. Une fois installé sur une machine, le programme parcourt les disques accessibles et chiffre les fichiers un par un. Chiffrer, cela veut dire transformer le contenu en bouillie illisible à l'aide d'une clé que seul l'attaquant possède. Puis il dépose un message, souvent dans un fichier texte sur le bureau et sur chaque dossier touché, avec les instructions de paiement. Le délai est court, souvent 48 à 96 heures, avec un compte à rebours qui fait monter la pression.

Comment identifier un ransomware en quelques minutes

Les signaux ne sont pas subtils, mais ils arrivent parfois trop tard. Ce que vous verrez concrètement :

• Des fichiers dont l'extension a changé (parfois un simple .locked ou une suite de caractères aléatoires ajoutée au nom).
• L'impossibilité d'ouvrir un document qui s'ouvrait parfaitement cinq minutes plus tôt.
• Un fichier texte ou une image qui apparaît à la racine de plusieurs dossiers, avec un message et une adresse de contact.
• Le disque qui travaille à fond, la machine qui rame, parfois un antivirus qui disparaît ou refuse de se lancer.

Si vous voyez ça, ne cherchez pas à comprendre comment c'est arrivé. Débranchez le réseau. Chaque minute compte, parce que le chiffrement continue de progresser vers les lecteurs réseau partagés.

Ransomware : comment se protéger concrètement

Franchement, la liste des bonnes pratiques est répétée partout et presque personne ne la lit vraiment. Alors je vais la dérouler avec ce que ça change réellement, dans l'ordre où je le recommande à mes clients.

La sauvegarde, mais déconnectée

Une sauvegarde connectée en permanence au réseau se fait chiffrer en même temps que le reste. C'est la leçon la plus dure que j'ai vue : un dirigeant m'a montré fièrement son NAS avec trois copies de ses données. Le rançongiciel avait parcouru les trois. La règle qui tient debout, c'est trois copies, sur deux supports différents, dont une hors ligne et une stockée ailleurs. La copie hors ligne, c'est celle qu'on débranche physiquement, ou qu'on garde sur un support qui n'est monté que pendant la fenêtre de sauvegarde.

Le MFA sur tout ce qui est exposé sur internet

L'accès distant mal protégé est l'une des portes d'entrée les plus fréquentes. L'authentification multifacteur, qui demande un second code en plus du mot de passe, bloque une grande partie de ces attaques par vol d'identifiants. Mettre du MFA sur la messagerie et le VPN, cela prend une heure. Ne pas le faire, cela m'a coûté une semaine entière chez un client.

Les correctifs et la sensibilisation au phishing

Un logiciel non mis à jour reste une porte ouverte connue de tous. Les correctifs automatiques ne règlent pas tout, mais ils éliminent les failles les plus exploitées. Côté humain, la pièce jointe douteuse, le mail qui imite la facture d'un fournisseur : c'est par là que rentrent la plupart des attaques documentées. Un exercice de simulation de phishing par an change réellement la vigilance des équipes.

• Désactivez les macros bureautiques par défaut, sauf besoin précis.
• Limitez les droits des comptes utilisateurs : pas d'administrateur local au quotidien.
• Segmentez le réseau pour qu'une machine infectée ne puisse pas atteindre tout le reste.
• Gardez les journaux suffisamment longtemps pour pouvoir reconstituer ce qui s'est passé.

Y a-t-il un profil d'attaque spécifique en France ?

Le rançongiciel n'est pas un phénomène importé. Il touche massivement les PME, les collectivités, les établissements de santé et les professions libérales françaises. La dynamique que j'observe sur le terrain : les attaquants ciblent moins les grosses entreprises blindées et davantage les structures intermédiaires, avec les moyens de payer mais sans équipe de sécurité dédiée. Concrètement, une entreprise de moins de cent salariés est une cible logique.

Que faire en cas de ransomware ?

La réaction des premières heures détermine tout le reste. Voici l'ordre que je conseille, testé sur plusieurs incidents réels.

1. Isoler les machines touchées du réseau. Câble débranché, wifi coupé. Ne pas éteindre brutalement si vous pouvez l'éviter, les traces en mémoire aident à comprendre l'entrée.
2. Ne pas payer immédiatement, même si le compte à rebours stresse tout le monde. La précipitation coûte cher et ne garantit rien.
3. Alerter les bonnes personnes : direction, prestataire informatique, et selon le secteur et la gravité, les autorités compétentes.
4. Préserver les preuves : captures d'écran des messages, fichiers de rançon, journaux. Ils seront utiles pour la plainte et l'assurance.
5. Restaurer depuis une sauvegarde saine, après avoir vérifié qu'elle n'a pas été touchée.

Un détail que beaucoup oublient : le rançongiciel moderne ne se contente pas de chiffrer. De plus en plus souvent, l'attaquant a d'abord exfiltré des données, puis menace de les publier si vous ne payez pas. Ce qui veut dire que la question « mes données sont-elles en sécurité ? » se pose même après une restauration réussie.

Comment s'en débarrasser vraiment

Il n'existe pas de bouton magique. Récupérer ses fichiers sans payer repose sur une sauvegarde propre, ou, dans de rares cas, sur un outil de déchiffrement publié par des chercheurs quand la faille du rançongiciel a été identifiée. Ces outils existent, mais ils ne couvrent qu'une petite minorité de variantes, et jamais les plus récentes. La réinstallation complète des systèmes compromis, à partir de supports sains, reste la voie la plus sûre. C'est long. C'est pénible. C'est ce qui marche.

Faut-il payer la rançon ?

La réponse honnête : dans la quasi-totalité des cas, non. Pas par principe moral seulement, mais parce que cela ne fonctionne pas assez souvent pour justifier le coût. Payer encourage le modèle économique de l'attaquant, ne garantit pas la clé, et peut vous exposer à des risques juridiques selon les contextes. J'ai vu des entreprises payer et récupérer leurs données. J'en ai vu d'autres payer et se retrouver avec une clé qui ne déchiffrait qu'une partie des fichiers, puis une seconde demande de rançon. La loterie n'en vaut pas la mise.

Le vrai enjeu, c'est d'avoir décidé à l'avance ce qu'on fait, à froid, avant que le stress ne prenne le dessus. C'est là que se joue la différence entre une entreprise qui s'en sort et une qui met des mois à se relever.

Approche	Ce que ça protège	Limite
Sauvegarde hors ligne testée	Restauration des données	Ne protège pas contre l'exfiltration
MFA sur les accès distants	Vol d'identifiants	Inutile si l'utilisateur valide lui-même
Correctifs à jour	Failles connues	Ne couvre pas les failles zero-day
Segmentation réseau	Propagation interne	Coûteuse à mettre en place
Sensibilisation au phishing	Première porte d'entrée	L'erreur humaine reste possible

Le ransomware, un scénario de thriller… vraiment ?

Oui, la comparaison revient souvent, et elle n'est pas absurde. Un groupe qui prend en otage des hôpitaux, qui négocie des rançons en cryptomonnaie, qui communique avec des délais et des ultimatums, cela ressemble à un film. La différence, c'est que dans le film il y a un héros qui trouve la faille à la fin. Dans la réalité, il y a une équipe informatique épuisée à trois heures du matin qui essaie de savoir quelles machines sont encore saines.

Ce qui rend ces attaques si efficaces, ce n'est pas la technique. C'est la pression psychologique. Les groupes qui sévissent jouent sur la peur, l'urgence et la honte. Beaucoup d'entreprises ne déclarent pas l'attaque par crainte pour leur réputation. Ce silence fait le jeu des attaquants.

La seule chose qui compte vraiment : se préparer avant

Il y a trois ans, je considérais la préparation comme un luxe de grande entreprise. Je me trompais. Aujourd'hui, la question n'est plus « est-ce que je vais être attaqué ? » mais « comment je réagis le jour où ça arrive ». Et cette réaction, elle se décide à froid, pas pendant l'incident.

Concrètement, ce que je recommande à toute structure, quelle que soit sa taille :

• Un plan écrit, avec les numéros à appeler et l'ordre des étapes. Deux pages suffisent.
• Un contact identifié chez votre prestataire informatique, joignable en dehors des heures ouvrées.
• Une sauvegarde hors ligne dont vous avez testé la restauration au moins une fois dans l'année.
• Une assurance cyber, si votre activité le justifie, avec les conditions bien relues.
• Un exercice, une fois par an, ne serait-ce que pour vérifier que tout le monde sait qui appelle qui.

La vérité que personne ne veut entendre : une attaque par rançongiciel réussit rarement par hasard. Elle réussit parce qu'une porte est restée ouverte assez longtemps. La bonne nouvelle, c'est que la plupart de ces portes, on peut les fermer. Il suffit de décider de le faire avant que quelqu'un d'autre ne s'en charge.

Et si vous ne retenez qu'une chose de cet article, que ce soit celle-ci : la sauvegarde hors ligne que vous ne testez jamais n'est pas une sauvegarde. C'est une croyance.