Ransomware : s'y préparer

Un ransomware est un logiciel malveillant qui chiffre vos données dès qu'il s'installe sur un poste ou un serveur. En quelques minutes, vos fichiers deviennent illisibles. Les attaquants vous demandent ensuite une rançon en échange de la clé de déchiffrement.

Comment ça fonctionne

1. Le logiciel malveillant entre dans votre réseau (mail piégé, accès à distance mal sécurisé, faille non corrigée).
2. Il se propage silencieusement d'un poste à l'autre, parfois pendant plusieurs semaines.
3. Au moment choisi par les attaquants, il chiffre tout ce qu'il trouve : fichiers, bases de données, sauvegardes accessibles.
4. Un message apparaît : payez pour récupérer vos données.

Pourquoi les PME sont des cibles

Les attaquants ne s'acharnent pas uniquement sur les grandes entreprises. Les PME cumulent souvent données de valeur et défenses limitées, ce qui en fait des cibles rentables.

• Des données clients, financières ou médicales qui ont de la valeur sur le marché noir.
• Des systèmes souvent non mis à jour, faute de temps ou de budget.
• Peu ou pas de spécialiste sécurité en interne.
• Une pression forte à reprendre l'activité rapidement, ce qui pousse à payer.

Un ransomware ne surgit pas de nulle part. Il exploite toujours une ouverture concrète. Connaître ces portes d'entrée, c'est la première étape pour les fermer.

1. Le mail piégé (phishing)

C'est le vecteur numéro un. Un mail d'apparence légitime contient une pièce jointe piégée ou un lien vers un faux site. Un clic suffit à installer le logiciel malveillant. Les mails imitent des factures, des notifications bancaires, des demandes de colis ou des messages de collègues.

2. Le bureau à distance exposé (RDP)

Le protocole de bureau à distance (RDP) permet d'accéder à un ordinateur Windows à distance. Quand il est accessible directement depuis internet, les attaquants testent automatiquement des milliers de combinaisons de mots de passe. Un accès RDP sans protection est une porte ouverte.

3. Les failles non corrigées

Les logiciels contiennent des failles de sécurité. Les éditeurs publient régulièrement des correctifs. Quand ces mises à jour ne sont pas appliquées, les failles connues restent exploitables. Les attaquants utilisent des outils automatisés pour les détecter et s'en servir.

4. Les supports amovibles

Une clé USB trouvée dans un parking, reçue en cadeau ou empruntée à un prestataire peut contenir un logiciel malveillant. Branchez-la, et l'infection peut démarrer automatiquement. Ce vecteur est moins fréquent mais reste actif, notamment dans les environnements industriels.

Le montant de la rançon fait peur, mais il représente rarement le coût total d'une attaque. Pour une PME, les pertes indirectes dépassent presque toujours la demande initiale.

L'arrêt d'activité

Dès que les systèmes sont chiffrés, l'activité s'arrête. Plus d'accès aux fichiers, aux logiciels de gestion, aux mails, aux devis, aux commandes. Chaque heure d'arrêt a un coût direct. Pour une PME industrielle ou de services, un arrêt de 48 heures peut représenter des dizaines de milliers d'euros.

Les données perdues ou volées

Les attaquants modernes ne se contentent plus de chiffrer : ils exfiltrent vos données avant de les chiffrer. Ils menacent ensuite de les publier si vous ne payez pas. Données clients, contrats, informations financières, données personnelles : la fuite a des conséquences légales (RGPD) et commerciales durables.

La rançon : rarement la fin de l'histoire

Les coûts de remédiation

• Intervention d'experts en réponse à incident et en analyse forensique.
• Réinstallation complète des postes et serveurs compromis.
• Restauration des sauvegardes (si elles existent et sont saines).
• Notification obligatoire à la CNIL dans les 72 heures si des données personnelles sont affectées.
• Accompagnement juridique si les données exfiltrées sont sensibles.

La réputation

Une attaque médiatisée, une fuite de données clients, une interruption de service visible : la confiance que vos clients vous accordent peut être durablement affectée. Pour certaines PME, c'est le dommage le plus long à réparer.

Une sauvegarde solide est la différence entre une crise surmontable et une catastrophe. La règle 3-2-1 est le standard de référence pour les professionnels de la sécurité.

La règle 3-2-1 expliquée

1. 3 copies de vos données : la donnée originale et deux sauvegardes.
2. 2 supports différents : par exemple un NAS local et un cloud. Ne pas mettre tous ses oeufs dans le même panier.
3. 1 copie hors site : une sauvegarde physiquement séparée de votre réseau principal.

La sauvegarde déconnectée et immuable

Deux propriétés changent tout :

• Déconnectée (air gap) : la sauvegarde n'est pas accessible depuis le réseau au moment de l'attaque. Elle peut être sur bande, sur disque externe débranché, ou dans un cloud dont l'accès n'est pas permanent.
• Immuable : une fois écrite, la sauvegarde ne peut pas être modifiée ni supprimée pendant une période définie. Même si un attaquant accède au système de sauvegarde, il ne peut pas l'effacer.

Tester la restauration

Une sauvegarde non testée est une sauvegarde non fiable. La bonne question n'est pas "est-ce qu'on sauvegarde ?" mais "est-ce qu'on sait restaurer, et en combien de temps ?" Un test de restauration une fois par an est le minimum.

Il n'existe pas de protection parfaite. Mais cinq mesures bien appliquées réduisent la surface d'attaque et rendent votre réseau beaucoup moins attractif pour les attaquants.

1. Le MFA partout

L'authentification multifacteur (MFA) ajoute une étape de vérification à la connexion : en plus du mot de passe, un code envoyé sur votre téléphone ou généré par une application. Même si un attaquant vole un mot de passe, il ne peut pas se connecter sans ce second facteur.

2. Les mises à jour systématiques

Windows, les logiciels, les équipements réseau : chaque mise à jour corrige des failles connues. "On verra ça plus tard" laisse une porte ouverte. Planifiez les mises à jour : mensuellement sur les postes, régulièrement sur les équipements réseau.

3. Un EDR, pas un simple antivirus

L'antivirus traditionnel reconnaît des signatures de menaces déjà connues. Un EDR (Endpoint Detection and Response) analyse les comportements en temps réel : il peut détecter un ransomware qui n'a jamais été vu auparavant, parce qu'il chiffre des fichiers à toute vitesse. La différence de protection est significative.

4. Fermer le RDP

Le bureau à distance (RDP) ne doit jamais être exposé directement sur internet. Si vous en avez besoin à distance, passez par un VPN : l'accès passe d'abord par une couche d'authentification sécurisée avant d'atteindre le réseau interne.

5. Le principe de moindre privilège

Chaque utilisateur n'accède qu'à ce dont il a besoin pour faire son travail. Un ransomware qui infecte le poste d'un collaborateur ne devrait pas pouvoir chiffrer l'ensemble des dossiers de l'entreprise. Compartimenter les droits limite l'étendue des dégâts.

Les protections techniques sont nécessaires mais pas suffisantes. Les attaquants le savent : contourner un humain est souvent plus simple que contourner un pare-feu bien configuré.

Reconnaître un mail de phishing

Les mails piégés sont de plus en plus convaincants. Quelques indices à vérifier systématiquement :

• L'adresse de l'expéditeur : pas le nom affiché, mais l'adresse réelle. "Votre banque" peut venir de n'importe quel domaine.
• L'urgence artificielle : "Votre compte sera suspendu dans 24 heures", "Action requise immédiatement". La pression est un outil de manipulation.
• Les liens : survolez sans cliquer pour voir l'URL réelle. Un lien vers "ma-banque-securite-client.net" n'est pas votre banque.
• Les pièces jointes inattendues : une facture que vous n'attendez pas, un contrat d'un inconnu. Appelez l'expéditeur par téléphone avant d'ouvrir.
• Les anomalies : un français approximatif, des tournures inhabituelles, un logo légèrement différent.

La sensibilisation : pas une formation tous les deux ans

Une formation sécurité réalisée une fois tous les deux ans a peu d'effet durable. La sensibilisation efficace est régulière et concrète : un rappel mensuel, une simulation de phishing de temps en temps, un retour d'expérience après un incident. L'objectif n'est pas la peur, c'est le réflexe.

La question de la rançon

Une attaque ransomware crée une situation de crise. Le stress et la précipitation mènent souvent à des erreurs qui aggravent les dégâts. Un plan de réponse préparé à l'avance change tout.

Étape 1 : déconnecter sans éteindre

Dès que l'attaque est détectée, la priorité est de stopper la propagation. Débranchez les câbles réseau des machines infectées, coupez le Wi-Fi. N'éteignez pas les machines : certains éléments utiles à l'investigation sont en mémoire vive et disparaissent à l'extinction.

Étape 2 : alerter les bonnes personnes

1. Votre prestataire informatique ou votre équipe IT interne, en premier.
2. La direction : une décision de communication client peut être nécessaire rapidement.
3. Votre assureur : si vous avez une cyberassurance, signalez l'incident dans les délais prévus par votre contrat.
4. La CNIL dans les 72 heures si des données personnelles sont concernées (obligation légale RGPD).
5. Le commissariat ou la gendarmerie pour déposer plainte : indispensable pour les démarches d'assurance et les procédures judiciaires.

Étape 3 : évaluer avant de restaurer

Avant de restaurer vos sauvegardes, il faut identifier comment l'attaquant est entré et s'assurer qu'il n'est plus présent sur le réseau. Restaurer sur un système encore compromis conduit à une seconde attaque.

Étape 4 : restaurer depuis la sauvegarde saine

Si vos sauvegardes sont propres et testées, c'est le moment de les utiliser. Choisissez la version antérieure à l'infection, pas la plus récente (qui peut déjà être chiffrée ou contaminée). La date d'entrée réelle du ransomware précède souvent de plusieurs semaines l'activation visible.

Avoir un partenaire IT avant l'incident

Ce cours couvre les bases. Voici ce qu'il faut emporter, pour vous et votre équipe.

Ce qu'est un ransomware

Un logiciel malveillant qui chiffre vos données et exige une rançon. Les PME sont des cibles prioritaires : données de valeur, défenses souvent limitées, pression à reprendre l'activité.

Comment il entre

• Mail piégé (phishing) : la porte d'entrée la plus fréquente.
• Bureau à distance (RDP) exposé sur internet.
• Logiciels et systèmes non mis à jour.
• Support amovible infecté.

Ce que ça coûte

Pas seulement la rançon : l'arrêt d'activité, les données perdues ou exfiltrées, la remédiation technique, les obligations légales (RGPD, plainte) et l'impact sur la réputation. Le coût total dépasse presque toujours la demande initiale.

La checklist des actions prioritaires

1. Appliquer la règle 3-2-1 : trois copies, deux supports, une copie hors site et déconnectée.
2. Tester la restauration au moins une fois par an.
3. Activer le MFA sur tous les accès distants et les messageries professionnelles.
4. Fermer le RDP sur internet et utiliser un VPN pour les accès à distance.
5. Maintenir les systèmes à jour : Windows, logiciels, équipements réseau.
6. Déployer un EDR plutôt qu'un simple antivirus.
7. Former les équipes à reconnaître un mail suspect.
8. Préparer un plan de réponse et identifier son prestataire IT avant l'incident.