Rançongiciels : comprendre la menace et s'en protéger vraiment

Un fichier qui s'ouvre sur une demande de rançon, en anglais, avec un compte à rebours. C'est le message qu'a reçu un dirigeant d'une PME de mécanique près de Lyon, un lundi matin, en arrivant au bureau. Pas d'écran bleu, pas d'alerte antivirus. Juste des dossiers vides et un fichier texte posé sur le bureau de chaque poste. Vingt-deux personnes à l'arrêt, un carnet de commandes gelé, et un délai de 72 heures avant que le montant demandé ne double.

Je connaissais cette entreprise. J'y avais installé de la sauvegarde deux ans plus tôt. Le patron m'a appelé à 9 h 12, et j'ai mis une heure à comprendre d'où venait l'entrée. Un compte VPN qui n'avait jamais été désactivé après le départ d'un commercial. Voilà, toute la brèche tenait en une ligne oubliée dans un tableau Excel.

Depuis, je suis devenu un peu obsessionnel sur le sujet. Et si vous cherchez à comprendre la menace des rançongiciels pour mieux vous en protéger, vous êtes au bon endroit.

Qu'est-ce qu'un rançongiciel, et pourquoi ça touche surtout les petites structures

Un ransomware, ou rançongiciel, est un logiciel malveillant qui prend en otage vos données numériques. Concrètement : il infecte les ordinateurs, chiffre les fichiers contenus dans le système infecté, puis réclame une rançon en cryptomonnaie en échange d'une clé ou d'un mot de passe qui permettra de les déchiffrer.

Cette définition est simple. Le problème, c'est qu'elle donne l'impression d'un phénomène lointain, presque théorique. Or ce sont d'abord les structures modestes qui trinquent : des TPE, des PME, des collectivités, des cabinets. Des organisations qui ont des données critiques et peu de marge de manœuvre, mais rarement une équipe sécurité dédiée.

Pourquoi les PME sont devenues des cibles privilégiées

La raison tient à un calcul économique, pas à une haine particulière.

Un groupe criminel bien organisé peut viser une grande entreprise. Mais il se heurte à des équipes de réponse à incident, à des sauvegardes testées, à une assurance cyber et à des juristes qui gèrent ce genre de crise en routine. À l'inverse, une entreprise de trente salariés qui n'a jamais vécu d'incident paiera plus vite. Le rapport entre l'effort et le gain est meilleur.

J'ai vu le schéma trois fois en quatre ans. Trois fois le même point faible : une porte d'entrée oubliée. Un compte distant actif pour un prestataire qui n'intervient plus. Un serveur de fichiers exposé en RDP. Un poste dont le système n'avait pas été mis à jour depuis deux ans.

Qui se cache derrière ces attaques

Les cybercriminels sont souvent motivés par l'appât du gain, et le rançongiciel est devenu un vrai métier, avec ses spécialisations. Certains développent les programmes de chiffrement. D'autres s'occupent de l'intrusion. D'autres encore négocient avec les victimes, parfois via un service d'assistance dédié.

Le point qui m'a le plus marqué, en discutant avec des confrères ayant géré des crises : les interlocuteurs côté attaquant connaissent les procédures de négociation, les délais moyens avant paiement, et savent parfaitement estimer la trésorerie d'une cible avant de fixer un montant. Ce n'est plus de l'improvisation. C'est du commerce.

Et cela explique un basculement dont on parle trop peu : désormais, l'objectif n'est plus seulement de bloquer. Il est de faire peur avec vos propres données.

La double extorsion : quand voler devient plus rentable que chiffrer

Le scénario classique, vous le connaissez : données chiffrées, rançon demandée, clé contre paiement. Sauf que beaucoup d'organisations avaient fini par anticiper. Sauvegardes solides, plan de continuité, direction prête à refuser de payer.

La parade des attaquants a été simple. Avant de chiffrer, ils exfiltrent. Les fichiers partent, puis le chiffrement arrive. Résultat : même si vous restaurez votre sauvegarde, vous recevez un message expliquant, preuves à l'appui, que vos données confidentielles seront publiées si vous ne payez pas.

Là où un refus de payer était un choix défendable, il devient un pari beaucoup plus lourd. Et c'est probablement le changement le plus important de ces dernières années.

Le vecteur d'entrée, lui, reste d'une banalité déconcertante dans la majorité des cas que j'ai traités. Une campagne de courriels trompeurs, une vulnérabilité non corrigée sur un serveur exposé, un service distant laissé ouvert. Les attaquants n'ont pas besoin d'une faille spectaculaire. Ils ont besoin d'une porte que personne ne regarde.

Comment se protéger des rançongiciels : les gestes qui comptent vraiment

Il existe une série de bons gestes à adopter pour éviter de se faire infiltrer. Ils sont connus, souvent répétés, et pourtant rarement appliqués en entier. Je préfère vous dire lesquels, de mon expérience, font réellement la différence.

Les fondamentaux non négociables

• Appliquez de manière régulière et systématique les mises à jour de sécurité du système et des logiciels installés.
• Tenez à jour l'antivirus et configurez votre pare-feu. Vérifiez qu'il ne laisse passer que des applications, services et machines légitimes.
• N'ouvrez pas les courriels, leurs pièces jointes, et ne cliquez pas sur les liens provenant de chaînes de messages, d'expéditeurs inconnus, ou d'un expéditeur connu dont la structure du message est inhabituelle ou vide.
• N'installez pas d'application ni de programme « piratés », ou dont l'origine ou la réputation sont douteuses.

Franchement, la ligne la plus sous-estimée est celle sur les courriels d'expéditeurs connus. J'ai vu un responsable administratif cliquer sur une facture parfaitement imitée, envoyée depuis l'adresse d'un fournisseur réel. Rien dans l'objet ne sautait aux yeux. Le message était vide de contenu, juste une pièce jointe. C'est exactement le signal dont on parle.

Le point que tout le monde rate : la sauvegarde hors ligne

Une sauvegarde connectée en permanence à votre réseau n'est pas une sauvegarde. C'est une deuxième copie des mêmes données perdues. Le rançongiciel moderne parcourt les lecteurs accessibles, y compris les partages réseau, avant de passer à l'action.

Sur le dossier de la PME lyonnaise, la sauvegarde existait. Elle était sur un NAS monté en lecteur réseau sur tous les postes. Le chiffrement l'a atteinte en moins de dix minutes.

Depuis, je impose une règle simple chez tous mes clients : au moins une copie déconnectée du réseau, sur un support physique débranché ou sur un espace en ligne en écriture unique, avec une rétention d'au moins trente jours. C'est peu de choses à mettre en place, et c'est la seule chose qui vous sauvera vraiment.

La corollaire, c'est qu'une sauvegarde jamais testée n'existe pas non plus. Une restauration que vous n'avez jamais essayée, c'est un espoir, pas un plan. Je fais un test de restauration complet tous les six mois chez mes clients. Le premier test a échoué sur l'anniversaire des sauvegardes. J'aurais découvert ça le jour de l'incident, sinon.

Protection contre les ransomware sous Windows : ce qui change concrètement

Sous Windows, trois réglages font immédiatement baisser la surface d'exposition.

1. Activer la protection en temps réel de l'antivirus intégré, et vérifier qu'elle n'a pas été désactivée par une stratégie automatique.
2. Désactiver les macros Office exécutables depuis Internet, qui restent un vecteur d'entrée majeur via les pièces jointes.
3. Retirer les droits administrateur local aux comptes utilisateurs standard. C'est inconfortable pour tout le monde, mais c'est ce qui empêche une infection de se propager d'un poste à l'ensemble du parc.

Ajoutez à cela l'accès réseau restreint aux seuls comptes qui en ont besoin. Le compte de service qui se connecte à votre partage comptable n'a aucune raison de pouvoir atteindre le serveur de production.

Que faire en cas de ransomware : la chronologie qui sauve

Il est 8 h 40, un employé vous appelle parce que ses fichiers ont une extension bizarre. Vous avez environ vingt minutes pour limiter les dégâts. Voici ce que je conseille, dans l'ordre.

Les premiers réflexes

• Débranchez. Câble réseau du poste concerné et, si le doute existe, du serveur de fichiers. Immédiatement, sans chercher à comprendre.
• Ne redémarrez pas la machine touchée. Vous perdriez l'essentiel des traces exploitables.
• Isolez le réseau Wi-Fi si vos postes y sont connectés, et coupez les accès distants.
• Notez tout, avec l'heure : qui a vu quoi, à quel moment. Cette chronologie servira à la fois à la remédiation et aux assurances.

Ne nettoyez pas les postes, ne relancez pas les sauvegardes par-dessus. La précipitation est l'erreur la plus fréquente, et c'est celle qui coûte le plus cher.

Faut-il payer la rançon ?

Mon avis est tranché : non, sauf contrainte vitale que vous seul pouvez mesurer. Les statistiques de terrain que je vois passer chez les intervenants de crise ne sont pas encourageantes. Une partie des victimes qui paient ne récupèrent jamais un déchiffrement complet, et payer fait de vous une cible qui a montré qu'elle paie.

Le calcul honnête, ce n'est pas « rançon contre données ». C'est « rançon + coût de remédiation + temps d'arrêt + confiance perdue », comparé à « restauration depuis sauvegarde + coût de remédiation + temps d'arrêt ». Le deuxième terme est souvent plus bas qu'on ne le croit, à condition d'avoir préparé le terrain.

Comment s'en débarrasser et remonter la pente

Comment s'en débarrasser, concrètement ? On ne « nettoie » pas un rançongiciel, on reconstruit. La marche à suivre tient en quatre étapes : isoler, identifier le point d'entrée, reconstruire les systèmes depuis des sources saines, puis restaurer les données depuis une sauvegarde vérifiée non compromise.

L'étape que tout le monde oublie est la deuxième. Si vous restaurez sans avoir compris comment l'attaquant est entré, vous lui laissez la porte ouverte. J'ai vu une entreprise se faire chiffrer deux fois en trois semaines, pour exactement cette raison : le compte VPN compromis n'avait jamais été supprimé.

Préparer l'après, plutôt que subir le jour J

Un rançongiciel n'est pas un problème technique. C'est un problème de continuité d'activité, de trésorerie et de confiance. La différence entre une entreprise qui s'en sort en une semaine et une qui n'en sort pas tient rarement à la technologie. Elle tient à ce qui a été décidé avant.

Les questions à trancher dès maintenant sont peu nombreuses. Qui décide en cas d'incident ? Qui appelle-t-on à 3 h du matin ? Accepte-t-on de payer, ou l'a-t-on écrit noir sur blanc ? Combien de jours peut-on tenir sans nos systèmes ?

Ce sont des conversations désagréables. Je les ai eues avec des dirigeants qui ont repoussé le sujet pendant des mois, et qui l'ont regretté.

Si vous ne retenez qu'une chose de cet article, prenez celle-ci : vérifiez votre sauvegarde ce soir. Débranchez le support, testez une restauration, et regardez si vos données reviennent vraiment. Le reste peut attendre demain matin.