Ransomware en PME : vecteurs d’entrée, réflexes des 72 premières heures et prévention

En bref — Les TPE, PME et ETI constituent la catégorie de victimes la plus représentée dans les rançongiciels traités par l’ANSSI. Les vecteurs d’entrée dominants ne sont pas exotiques : accès VPN, RDP et NAS exposés ou non mis à jour, identifiants volés, hameçonnage. En cas d’attaque, trois délais de 72 heures se déclenchent simultanément : le dépôt de plainte imposé par la loi LOPMI pour conserver le droit à l’indemnisation, la notification à la CNIL en cas de violation de données personnelles, et la fenêtre pendant laquelle les preuves techniques restent exploitables. Isoler sans éteindre est le premier réflexe.

Le ransomware n’est plus un risque théorique pour les petites structures. Il est devenu un service industriel : des développeurs conçoivent les outils, des courtiers en accès initial revendent des identifiants volés, des affiliés exécutent les attaques contre commission. Cette division du travail a fait s’effondrer la barrière à l’entrée et rendu rentable le ciblage d’entreprises de vingt salariés. Cet article décrit les vecteurs réellement observés, la chronologie d’une attaque et la conduite à tenir.

Pourquoi les PME sont-elles devenues des cibles prioritaires ?

La réponse tient en un calcul de rentabilité. Une PME dispose de données indispensables à son activité, d’une capacité de paiement réelle, et d’un niveau de protection nettement inférieur à celui d’un grand groupe. Le rapport effort/gain y est donc supérieur.

Les données publiques françaises confirment le phénomène. Cybermalveillance.gouv.fr a enregistré plus de 504 000 demandes d’assistance en 2025, en hausse de 20 %, dont environ 33 000 émanant de professionnels. Les rançongiciels y représentent près de 2 700 demandes, en progression de 10 %, dont 1 691 pour les seuls professionnels. Le baromètre de maturité cyber des TPE-PME mené par OpinionWay pour le même organisme auprès de 588 entreprises indique que 16 % d’entre elles ont subi au moins un incident dans les douze derniers mois, tandis que le budget consacré à la sécurité informatique reste inférieur à 2 000 euros pour environ trois quarts d’entre elles.

L’écart le plus significatif se situe entre la perception et la préparation : 44 % des dirigeants se déclarent fortement exposés, mais six entreprises sur dix reconnaissent ne pas savoir évaluer les conséquences d’une cyberattaque sur leur activité. C’est précisément cette incapacité à chiffrer l’impact qui bloque la décision d’investir.

Par où entrent réellement les attaquants ?

Les vecteurs relevés par les autorités françaises sont remarquablement stables d’une année sur l’autre. Aucun ne relève de la prouesse technique.

• Accès distants exposés — VPN, RDP, NAS ou équipements de bordure publiés sur internet, non mis à jour. Contre-mesure : correctifs prioritaires sur tout équipement exposé, MFA obligatoire, RDP jamais publié directement.
• Identifiants volés — Mots de passe récupérés par logiciel voleur ou fuite de données, puis revendus. Contre-mesure : authentification multifacteur, mots de passe uniques, gestionnaire de mots de passe.
• Hameçonnage — Pièce jointe ou lien conduisant à l’exécution d’un code ou au vol d’identifiants. Contre-mesure : filtrage renforcé de la messagerie, sensibilisation, campagnes de test.
• Vulnérabilité non corrigée — Exploitation d’une faille publiée sur un service accessible. Contre-mesure : inventaire à jour et politique de correctifs sous 15 jours pour les failles critiques.
• Chaîne d’approvisionnement — Compromission d’un prestataire disposant d’accès à votre SI. Contre-mesure : comptes prestataires nominatifs, à privilèges limités et à durée déterminée.

Un point mérite d’être souligné : l’authentification multifacteur bloque l’écrasante majorité des compromissions de comptes, y compris lorsque le mot de passe a fuité. C’est la mesure au meilleur rapport efficacité/coût du marché, et elle reste absente de nombreuses PME. Une solution EDR (consultez le site MIAP France) prend le relais sur ce que l’authentification ne couvre pas, en détectant les phases de reconnaissance interne qui précèdent le chiffrement.

Comment se déroule une attaque, phase par phase ?

Contrairement à une idée répandue, le chiffrement n’est pas le début de l’attaque : c’est sa dernière étape. Les attaquants restent généralement présents plusieurs jours à plusieurs semaines dans le système avant de déclencher quoi que ce soit. Cette période constitue la fenêtre de détection.

• Accès initial : entrée par identifiants valides, service exposé ou pièce jointe. Aucun signe visible pour l’utilisateur.
• Reconnaissance et élévation de privilèges : cartographie du réseau, recherche de l’annuaire, tentative d’obtenir un compte administrateur.
• Propagation latérale : déplacement de machine en machine, souvent avec des outils d’administration légitimes pour ne pas déclencher d’alerte.
• Exfiltration des données : copie des fichiers sensibles avant tout chiffrement, afin de préparer la double extorsion.
• Neutralisation des sauvegardes : suppression des clichés instantanés, chiffrement des sauvegardes accessibles depuis le réseau, désactivation des agents de protection. Étape décisive.
• Chiffrement et demande de rançon : déclenché de préférence un vendredi soir ou pendant les congés, pour maximiser le délai de réaction.

La cinquième étape explique pourquoi une sauvegarde connectée en permanence au réseau n’est pas une sauvegarde du point de vue du ransomware : elle est chiffrée avec le reste. Seules les copies hors ligne ou immuables résistent.

Que faire dans les 72 premières heures ?

Cette séquence conditionne à la fois la reprise technique, l’indemnisation et la conformité réglementaire. Elle doit être connue avant l’incident, car personne ne l’improvise correctement sous pression.

• Isoler sans éteindre : débrancher le câble réseau, couper le Wi-Fi, déconnecter les supports de sauvegarde. Ne pas éteindre les machines : la mémoire vive contient des éléments d’analyse essentiels, parfois la clé de chiffrement.
• Ne rien réinstaller immédiatement : reformater détruit les preuves nécessaires à l’enquête et à l’assurance, et empêche d’identifier le point d’entrée, donc de le refermer.
• Alerter en interne et constituer une cellule : direction, informatique ou prestataire, référent juridique. Basculer sur des moyens de communication externes au SI compromis.
• Déposer plainte sous 72 heures : l’article L. 12-10-1 du code des assurances, créé par la loi LOPMI du 24 janvier 2023 et en vigueur depuis le 24 avril 2023, subordonne l’indemnisation par l’assurance au dépôt d’une plainte au plus tard 72 heures après la connaissance de l’atteinte. Un pré-dépôt en ligne ne suffit pas.
• Notifier la CNIL sous 72 heures si des données personnelles sont concernées, conformément à l’article 33 du RGPD, et informer les personnes concernées lorsque le risque est élevé.
• Se faire assister : le dispositif 17Cyber et la plateforme Cybermalveillance.gouv.fr orientent vers des prestataires qualifiés et fournissent des fiches réflexes gratuites.
• Restaurer depuis une copie saine : après avoir identifié et corrigé le point d’entrée, sous peine de rejouer l’attaque sur un système fraîchement remonté.
• Réinitialiser tous les secrets : mots de passe, clés, jetons d’accès, comptes de service, y compris ceux des prestataires.

Ce cumul de délais de 72 heures est le point que la plupart des PME découvrent trop tard. Il courre à partir de la connaissance de l’incident, pas de sa résolution : rien ne sert d’attendre d’avoir compris l’étendue des dégâts pour déposer plainte.

Faut-il payer la rançon ?

La position des autorités françaises est constante : non. Trois raisons opérationnelles s’ajoutent à l’argument de principe.

• Le déchiffrement n’est pas garanti : les outils fournis par les attaquants sont fréquemment lents, partiels ou défectueux, et la restauration reste longue.
• Les données exfiltrées restent chez eux : payer ne fait pas disparaître une copie. La double extorsion consiste précisément à monnayer une seconde fois la non-publication.
• Le paiement désigne une cible solvable : les entreprises ayant payé figurent parmi les plus recontactées, parfois par un autre groupe.
• Le cadre juridique se resserre : la LOPMI a précisément été conçue pour judiciariser systématiquement ces attaques, et les contrats d’assurance comportent des exclusions liées à un défaut avéré de mesures de sécurité.

Combien coûte réellement une attaque ?

La rançon, lorsqu’elle est payée, ne représente qu’une fraction du coût total. Les postes suivants sont ceux que les entreprises sous-estiment systématiquement lors de leur évaluation du risque.

• Interruption d’activité — le poste le plus lourd : production arrêtée, commandes non traitées, facturation suspendue pendant plusieurs jours à plusieurs semaines.
• Intervention technique — analyse, remédiation, reconstruction du système, souvent en urgence et hors horaires.
• Reconstitution des données — ressaisie manuelle de tout ce qui séparait la dernière sauvegarde saine de l’incident.
• Frais juridiques et réglementaires — notifications, information des personnes concernées, accompagnement, exposition à une sanction en cas de manquement avéré.
• Impact commercial — clients perdus, appels d’offres compromis, questionnaires sécurité durcis par les donneurs d’ordre.
• Renforcement post-incident — les investissements refusés avant l’attaque sont engagés après, dans l’urgence et à un coût supérieur.
• Coût humain — surcharge des équipes, perte de confiance interne, parfois départs.

Les mesures de prévention par ordre d’efficacité

Toutes les mesures ne se valent pas. Le classement ci-dessous privilégie le rapport entre réduction du risque et coût de mise en œuvre pour une PME.

• 1. Authentification multifacteur partout — neutralise l’immense majorité des attaques par identifiants volés, pour un coût quasi nul.
• 2. Sauvegarde hors ligne ou immuable, testée — seule garantie de reprise sans négociation ; une sauvegarde en ligne est chiffrée avec le reste.
• 3. Correctifs sur les équipements exposés — VPN, pare-feu et NAS publiés sont le premier point d’entrée observé.
• 4. Suppression des accès RDP directs — un RDP publié sur internet est attaqué en continu, généralement dans les heures suivant sa publication.
• 5. Détection et réponse sur les postes — permet d’intervenir pendant la phase de reconnaissance, avant le chiffrement.
• 6. Comptes à privilèges limités — un utilisateur administrateur de son poste transforme un clic malheureux en compromission du domaine.
• 7. Sensibilisation et exercices d’hameçonnage — efficacité réelle mais progressive ; à compléter, jamais à substituer aux mesures techniques.
• 8. Plan de réaction écrit et testé — détermine si l’arrêt dure trois jours ou trois semaines.

Mettre en place un dispositif de prévention et de reprise après ransomware revient à traiter conjointement ces deux volets : réduire la probabilité d’une intrusion et garantir que, si elle survient, l’entreprise puisse redémarrer sans dépendre du bon vouloir des attaquants. C’est cette seconde capacité qui retire tout pouvoir de négociation à la demande de rançon.

Et l’assurance cyber ?

Une assurance cyber absorbe une partie du choc financier mais ne réduit pas le risque. Trois points sont à vérifier avant la souscription : le périmètre exact des garanties, en particulier la couverture des pertes d’exploitation qui constituent le poste principal ; les exclusions liées à un défaut de mesures de sécurité, de plus en plus fréquentes et de plus en plus précises ; et la compatibilité des procédures internes avec l’obligation de dépôt de plainte sous 72 heures, dont la charge de la preuve incombe à l’assuré.

Questions fréquentes

Faut-il éteindre les postes infectés ?

Non. Il faut les isoler du réseau en débranchant le câble et en coupant le Wi-Fi, mais les laisser allumés. L’extinction efface la mémoire vive, qui contient des éléments d’analyse déterminants et, dans certains cas, des éléments cryptographiques permettant un déchiffrement sans rançon.

Une sauvegarde suffit-elle à se protéger d’un ransomware ?

Seulement si elle est hors ligne ou immuable, et si sa restauration a été testée. Les attaquants ciblent délibérément les sauvegardes accessibles depuis le réseau avant de déclencher le chiffrement. Une sauvegarde connectée en permanence est chiffrée en même temps que le reste.

Le cloud protège-t-il du ransomware ?

Non. Un compte compromis permet de chiffrer ou de supprimer des fichiers hébergés dans le cloud, et la synchronisation propage les fichiers chiffrés vers tous les postes connectés. Les corbeilles et l’historique de versions offrent une fenêtre de récupération limitée, souvent insuffisante quand la détection est tardive.

Que risque une entreprise qui ne déclare pas l’incident ?

Elle perd son droit à indemnisation au titre de son contrat d’assurance si la plainte n’est pas déposée dans les 72 heures. En cas de violation de données personnelles non notifiée à la CNIL dans le même délai, elle s’expose en outre à une sanction administrative distincte du préjudice causé par l’attaque elle-même.

Comment savoir si l’attaquant est encore présent après restauration ?

C’est exactement l’objet de l’analyse post-incident. Restaurer sans avoir identifié le point d’entrée conduit fréquemment à une seconde attaque en quelques semaines. La réinitialisation complète des identifiants, y compris des comptes de service et des accès prestataires, fait partie du minimum incompressible.

Ce qu’il faut retenir

• Le chiffrement est la dernière étape d’une intrusion souvent longue de plusieurs jours ou semaines.
• Les vecteurs dominants restent les accès distants exposés et les identifiants volés.
• Isoler sans éteindre, ne rien réinstaller avant analyse.
• Trois délais de 72 heures courent simultanément : plainte, notification CNIL, exploitabilité des preuves.
• Seule une sauvegarde hors ligne ou immuable et testée résiste au chiffrement.
• Payer ne garantit ni la restitution des données, ni leur non-publication, ni l’absence de récidive.