Ransomware : le risque cyber qui peut mettre une PME à l'arrêt

Imaginez que vos équipes arrivent un lundi matin et que plus personne ne puisse ouvrir les dossiers clients, les fichiers comptables ou les outils métier. Sur certains écrans, un message réclame une rançon. Personne ne sait encore si les données sont seulement bloquées, copiées ou déjà revendues.

C'est souvent à ce moment qu'une entreprise comprend ce qu'est vraiment un ransomware. Pas une menace abstraite. Un blocage immédiat de l'activité.

Face à cette situation, les questions arrivent vite. Faut-il payer ? Par où sont-ils entrés ? Et surtout : qu'aurait-il fallu préparer avant pour ne pas en arriver là ?

Un ransomware bloque vos données pour vous faire payer

Un ransomware, ou rançongiciel, est un logiciel malveillant qui empêche l'accès à des fichiers, des postes de travail ou des serveurs. Les cybercriminels exigent ensuite une rançon, généralement en promettant de fournir une clé de déchiffrement.

Le risque a par ailleurs évolué. Certaines attaques ne se limitent plus au chiffrement des fichiers. Les pirates peuvent également voler des données et menacer de les publier. Pour une PME, la crise devient alors informatique, juridique, commerciale et réputationnelle.

Faut-il payer la rançon ?

C'est souvent l'une des premières questions que l'on se pose. Autant y répondre franchement : les autorités françaises recommandent de ne pas payer. La fiche réflexe rançongiciel de Cybermalveillance.gouv.fr est explicite sur ce point.

Payer une rançon n'est pas interdit en France. Contrairement à une idée répandue, aucun texte français ne sanctionne pénalement, de manière générale, l'entreprise qui cède à une demande de rançon. Dans son rapport de 2022 sur l'assurabilité des risques cyber, le Haut Comité Juridique de la Place financière de Paris rappelle qu'une cyber-rançon relève de l'extorsion : l'entreprise qui paie agit sous la contrainte et demeure la victime de l'infraction. Des limites juridiques existent toutefois, notamment si le paiement constitue un financement du terrorisme ou contrevient à des mesures de gel des avoirs ou à des sanctions applicables. Dans le premier cas, si vous savez que les fonds versés sont destinés à financer des actes terroristes, l'article 421-2-2 du code pénal peut s'appliquer.

Pourquoi est-il déconseillé de payer la rançon ? Pour trois raisons très concrètes :

• Vous payez une promesse. Rien ne garantit que la clé arrive, ni qu'elle fonctionne sur l'ensemble de vos fichiers.
• Vous ne récupérez pas le temps. Même avec une clé, récupérer l'ensemble de vos fichiers n'est ni immédiat ni garanti, et l'activité peut rester perturbée pendant ce temps.
• Vous ne récupérez pas vos données volées. Si les pirates les ont copiées avant de chiffrer, payer n'efface rien : ils les détiennent toujours.

À cela s'ajoute un point que l'on oublie souvent : chaque rançon payée alimente le système cybercriminel et confirme que le modèle fonctionne.

Les PME sont directement concernées par les rançongiciels

Vous pourriez penser que ce type d'attaque vise surtout les grands groupes. En réalité, les PME sont elles aussi directement concernées. Et quand on a une petite équipe, peu de temps et pas forcément de spécialiste cybersécurité en interne, se préparer à ce type d'attaque n'a rien d'évident.

Dans son Panorama de la cybermenace 2025, l'ANSSI indique que les PME, TPE et ETI représentent 48 % des victimes de rançongiciels connues de l'agence. Les conséquences relevées touchent notamment le fonctionnement, la réputation et la continuité d'activité.

Ce chiffre ne signifie pas que toutes les PME seront attaquées. Il rappelle surtout une chose : le ransomware n'est pas un sujet réservé aux grandes directions informatiques. C'est un risque de gestion pour toute entreprise dépendante de ses outils numériques.

Un mot de passe volé ne doit pas suffire à entrer

Un compte compromis peut servir de porte d'entrée : un mot de passe récupéré par phishing (un faux message qui vous pousse à le saisir), réutilisé sur plusieurs services ou trop faible. Une fois connecté, l'attaquant peut chercher à progresser dans le système avant de déclencher le ransomware. C'est souvent pendant cette phase, discrète, qu'une solution de détection sur les postes de travail peut repérer une activité inhabituelle.

L'authentification multifacteur prend ici tout son sens. Elle ajoute une vérification au mot de passe : par exemple un code à usage unique ou une demande de connexion à valider sur un appareil de confiance. Si un mot de passe est volé, cette étape peut empêcher l'attaquant de se connecter immédiatement.

Ce n'est pas une protection magique, mais elle réduit le risque de compromission d'un compte lorsqu'un mot de passe a été volé.

Deux réflexes complètent utilement cette protection : maintenir les logiciels, serveurs et postes à jour, car les attaquants exploitent notamment des failles de sécurité connues qui n'ont pas été corrigées. Et limiter les droits administrateur aux personnes qui en ont vraiment besoin, pour qu'un compte compromis n'ouvre pas tout.

La sauvegarde est utile seulement si elle permet de redémarrer

Beaucoup d'entreprises pensent être protégées parce qu'elles ont une sauvegarde. Le jour de l'attaque, elles découvrent parfois que cette sauvegarde est trop ancienne, incomplète ou elle aussi chiffrée.

Avoir une sauvegarde, c'est bien. Pouvoir réellement s'en servir le jour où tout est bloqué, c'est mieux. La CNIL recommande notamment de conserver des sauvegardes hors ligne, à jour et testées.

La bonne question n'est donc pas : « Avons-nous une sauvegarde ? »

La vraie question est : « Si nous sommes attaqués ce matin, combien de temps nous faut-il pour redémarrer ? »

Cette différence change tout. Avoir une sauvegarde ne suffit pas : encore faut-il pouvoir récupérer ses données quand on en a besoin.

Les premiers gestes comptent autant que les outils

Lorsqu'un ransomware est détecté, que ce soit par un collaborateur, un prestataire ou un outil de détection, la priorité est de contenir l'incident. Il faut isoler les machines touchées, prévenir le prestataire informatique ou l'équipe interne, puis éviter toute suppression précipitée qui ferait disparaître des preuves.

En parallèle, l'entreprise doit vérifier si des données personnelles sont concernées. Si l'attaque entraîne une perte de disponibilité, d'intégrité ou de confidentialité de données personnelles et qu'elle est susceptible de faire courir un risque aux personnes concernées, l'entreprise, lorsqu'elle est responsable du traitement de ces données, doit notifier la violation à la CNIL. Le compte à rebours de 72 heures ne démarre pas au moment de l'attaque, mais à partir du moment où elle a connaissance de la violation.

Un second délai de 72 heures existe, et celui-là est bien moins connu. Depuis 2023 (loi LOPMI), si votre contrat d'assurance couvre les pertes et dommages causés par une atteinte à votre système informatique, leur indemnisation est conditionnée au dépôt d'une plainte dans les 72 heures suivant la connaissance de l'atteinte.

Les deux démarches ne se confondent pas : la notification à la CNIL concerne certaines violations de données personnelles, tandis que le dépôt de plainte conditionne l'indemnisation des pertes et dommages couverts par ce dispositif.

Pensez également à prévenir votre assureur dès que vous avez connaissance du sinistre, en respectant le délai de déclaration prévu par votre contrat. Cette démarche est distincte du dépôt de plainte sous 72 heures.

C'est pour cela qu'une procédure de crise doit exister avant l'incident. Qui décide ? Qui coupe les accès ? Qui contacte le prestataire ? Qui qualifie les données touchées ? Qui informe la direction ? Ces questions paraissent simples, mais en pleine attaque, elles font gagner un temps précieux.