Ransomware : le risque cyber qui peut mettre une PME à l'arrêt

Imaginez que vos équipes arrivent un lundi matin et que plus personne ne puisse ouvrir les dossiers clients, les fichiers comptables ou les outils métier. Sur certains écrans, un message réclame une rançon. Personne ne sait encore si les données sont seulement bloquées, copiées ou déjà revendues.

C'est souvent à ce moment qu'une entreprise comprend ce qu'est vraiment un ransomware. Pas une menace abstraite. Un blocage immédiat de l'activité.

Face à cette situation, les questions arrivent vite. Faut-il payer ? Par où sont-ils entrés ? Et surtout : qu'aurait-il fallu préparer avant pour ne pas en arriver là ?

Un ransomware bloque vos données pour vous faire payer

Un ransomware, ou rançongiciel, est un logiciel malveillant qui empêche l'accès à des fichiers, des postes de travail ou des serveurs. Les cybercriminels exigent ensuite une rançon, généralement en promettant de fournir une clé de déchiffrement.

Le risque a par ailleurs évolué. Certaines attaques ne se limitent plus au chiffrement des fichiers. Les pirates peuvent également voler des données et menacer de les publier. Pour une PME, la crise devient alors informatique, juridique, commerciale et réputationnelle.

Faut-il payer la rançon ?

C'est la première question qui vient, souvent dans l'heure qui suit. Autant y répondre franchement.

Payer une rançon n'est pas interdit en France. Contrairement à une idée répandue, aucun texte français ne sanctionne pénalement, de manière générale, l'entreprise qui cède à une demande de rançon. Dans son rapport de 2022 sur l'assurabilité des risques cyber, le Haut Comité Juridique de la Place financière de Paris rappelle qu'une cyber-rançon relève de l'extorsion : l'entreprise qui paie agit sous la contrainte et demeure la victime de l'infraction. Une exception existe toutefois : si vous saviez que la rançon finance un groupe terroriste, le code pénal s'applique (article 421-2-2).

Pour autant, toutes les autorités recommandent de ne pas payer, et la fiche réflexe rançongiciel de Cybermalveillance.gouv.fr est explicite sur ce point.

Trois raisons, très concrètes :

• Vous payez une promesse. Rien ne garantit que la clé arrive, ni qu'elle fonctionne sur l'ensemble de vos fichiers.
• Vous ne récupérez pas le temps. Même avec la clé, le déchiffrement peut prendre des jours, et vous restez à l'arrêt pendant ce temps.
• Vous ne récupérez pas vos données volées. Si les pirates les ont copiées avant de chiffrer, payer n'efface rien : ils les détiennent toujours.

À cela s'ajoute un point que l'on oublie souvent : chaque rançon payée finance le groupe suivant, et confirme que le modèle fonctionne.

Les PME sont directement concernées par les rançongiciels

Vous pourriez penser que ce type d'attaque vise surtout les grands groupes. En réalité, les PME sont des cibles fréquentes, souvent parce qu'elles disposent de moins de moyens techniques, moins de procédures et moins de temps pour gérer la sécurité.

Dans son Panorama de la cybermenace 2025, l'ANSSI indique que les PME, TPE et ETI représentent 48 % des victimes de rançongiciels connues de l'agence. Les conséquences relevées touchent notamment le fonctionnement, la réputation et la continuité d'activité.

Ce chiffre ne signifie pas que toutes les PME seront attaquées. Il rappelle surtout une chose : le ransomware n'est pas un sujet réservé aux grandes directions informatiques. C'est un risque de gestion pour toute entreprise dépendante de ses outils numériques.

Un mot de passe volé ne doit pas suffire à entrer

Dans beaucoup d'attaques, l'accès initial vient d'un compte compromis : un mot de passe récupéré par phishing (un faux message qui vous pousse à le saisir), réutilisé sur plusieurs services ou trop faible. Une fois connecté, l'attaquant peut chercher à progresser dans le système avant de déclencher le ransomware. C'est souvent pendant cette phase, discrète, qu'une solution de détection sur les postes de travail peut repérer une activité inhabituelle.

L'authentification multifacteur prend ici tout son sens. Elle ajoute une vérification au mot de passe : un code, une application mobile ou une validation sur un appareil de confiance. Si un mot de passe est volé, cette étape peut empêcher l'attaquant de se connecter immédiatement.

Ce n'est pas une protection magique, mais c'est l'un des moyens les plus efficaces pour réduire le risque d'intrusion sur les comptes sensibles.

Deux réflexes complètent utilement cette protection : maintenir les logiciels, serveurs et postes à jour, car les attaquants exploitent souvent des failles connues depuis des mois. Et limiter les droits administrateur aux personnes qui en ont vraiment besoin, pour qu'un compte compromis n'ouvre pas tout.

La sauvegarde est utile seulement si elle permet de redémarrer

Beaucoup d'entreprises pensent être protégées parce qu'elles ont « une sauvegarde ». Le jour de l'attaque, elles découvrent parfois que cette sauvegarde est trop ancienne, incomplète ou elle aussi chiffrée.

Une sauvegarde utile doit être régulière, isolée et testée. La CNIL recommande des sauvegardes hors ligne, à jour et testées, conservées à distance de l'environnement de production.

La bonne question n'est donc pas : « Avons-nous une sauvegarde ? »

La vraie question est : « Si nous sommes attaqués ce matin, combien de temps nous faut-il pour redémarrer ? »

Cette différence change tout. Une sauvegarde non testée rassure sur le papier. Une sauvegarde restaurable protège réellement l'activité.

Les premiers gestes comptent autant que les outils

Lorsqu'un ransomware est détecté, que ce soit par un collaborateur, un prestataire ou un outil de détection, la priorité est de contenir l'incident. Il faut isoler les machines touchées, couper les connexions suspectes, prévenir le prestataire informatique ou l'équipe interne, puis éviter toute suppression précipitée qui ferait disparaître des preuves.

En parallèle, l'entreprise doit vérifier si des données personnelles sont concernées. Si l'attaque entraîne une perte de disponibilité, d'intégrité ou de confidentialité de données personnelles et qu'elle est susceptible de faire courir un risque aux personnes concernées, vous devez la notifier à la CNIL. Le compte à rebours de 72 heures ne démarre pas au moment de l'attaque, mais à partir du moment où vous en avez connaissance.

Un second compteur tourne, et celui-là est bien moins connu. Depuis 2023 (loi LOPMI), votre assurance cyber ne vous indemnisera que si vous avez déposé plainte dans les 72 heures suivant la connaissance de l'attaque. Attention à ne pas confondre les deux délais : celui de la CNIL ne concerne que les données personnelles, celui de l'assurance démarre dès que vous savez que l'attaque est malveillante, même sans la moindre donnée personnelle en jeu. Ils ne commencent donc pas forcément le même jour.

C'est pour cela qu'une procédure de crise doit exister avant l'incident. Qui décide ? Qui coupe les accès ? Qui contacte le prestataire ? Qui qualifie les données touchées ? Qui informe la direction ? Ces questions paraissent simples, mais en pleine attaque, elles font gagner un temps précieux.