Se protéger des ransomwares : guide entreprise

Comment se déroule une attaque par ransomware

Un ransomware (rançongiciel) est un logiciel malveillant qui chiffre vos fichiers et exige une rançon pour les déchiffrer — souvent doublée d'une menace de publication des données volées. Contrairement à l'image du virus instantané, une attaque moderne se déroule en quatre phases, parfois étalées sur plusieurs semaines :

1. L'intrusion. Le point d'entrée est presque toujours banal : un e-mail de phishing qui vole un mot de passe, un accès distant (RDP, VPN) mal protégé, ou une faille non corrigée sur un équipement exposé.
2. La progression. L'attaquant explore le réseau, élève ses privilèges jusqu'aux comptes administrateurs et repère les données de valeur.
3. La neutralisation des défenses. Avant de chiffrer, il exfiltre des données, désactive l'antivirus quand il le peut, et surtout détruit ou chiffre les sauvegardes accessibles depuis le réseau.
4. Le chiffrement et la rançon. Souvent lancé une nuit de week-end. Au matin, les fichiers sont illisibles et une note de rançon s'affiche.

Cette chronologie a une conséquence pratique : chaque phase est une occasion de détection et de blocage. La défense ne repose jamais sur un seul outil.

Prévention : réduire la surface d'attaque

• Double authentification (MFA) sur la messagerie, le VPN et tous les accès distants : elle neutralise la majorité des vols de mots de passe.
• Mises à jour systématiques des postes, serveurs et équipements réseau — le cœur d'une maintenance informatique sérieuse.
• Comptes à privilèges maîtrisés : personne ne travaille au quotidien avec un compte administrateur ; les comptes admin sont nominatifs et rares.
• Accès distants durcis : pas de RDP exposé sur Internet, VPN à jour avec MFA. Voir notre guide du télétravail sécurisé.
• Cloisonnement du réseau : séparer serveurs, postes et Wi-Fi invité limite la progression d'un attaquant — un chantier typique de réseau d'entreprise.
• Sensibilisation des équipes : exercices de phishing, réflexe de signalement. L'humain est la première ligne de détection.

Sauvegardes : votre assurance-vie face au chiffrement

Si tout le reste échoue, seules les sauvegardes permettent de refuser la rançon. Encore faut-il qu'elles survivent à l'attaque : les opérateurs de ransomware ciblent les sauvegardes en priorité. Appliquez la règle 3-2-1 — 3 copies, 2 supports, 1 hors site — en y ajoutant une exigence : au moins une copie hors ligne ou immuable, c'est-à-dire impossible à modifier ou supprimer même avec des droits administrateur volés. Testez la restauration régulièrement et chronométrez-la : c'est ce temps, pas la sauvegarde elle-même, qui déterminera vos jours d'arrêt. Notre service de sauvegarde informatique intègre ces exigences par défaut.

Détection : repérer l'attaque avant le chiffrement

L'antivirus classique, qui compare les fichiers à des signatures connues, ne suffit plus : les attaquants utilisent des outils légitimes et des malwares inédits. Les solutions EDR (Endpoint Detection and Response) analysent les comportements — chiffrement massif de fichiers, élévation de privilèges, désactivation de services — et peuvent isoler automatiquement une machine compromise. Pour choisir entre antivirus managé et EDR selon votre taille et votre budget, consultez notre guide choisir un antivirus d'entreprise. Couplé à une supervision qui alerte sur les anomalies (connexions nocturnes, pics d'activité disque), l'EDR transforme une catastrophe en incident maîtrisé.

Plan de réaction : les bons réflexes en cas d'attaque

1. Isolez immédiatement les machines touchées : débranchez le réseau (câble, Wi-Fi), sans éteindre les machines si possible — la mémoire contient des indices utiles à l'investigation.
2. Coupez les accès distants et changez les mots de passe des comptes à privilèges depuis un poste sain.
3. Alertez votre prestataire ou une équipe de réponse à incident. Déposez plainte, et notifiez la CNIL sous 72 h si des données personnelles sont touchées (voir RGPD en entreprise).
4. Ne payez pas la rançon : le paiement ne garantit ni le déchiffrement ni la non-publication, et finance les prochaines attaques. C'est aussi la position de l'ANSSI.
5. Restaurez proprement : reconstruisez à partir de sauvegardes saines, après avoir identifié et fermé le point d'entrée — sinon l'attaque recommence.
6. Tirez les leçons : formalisez le retour d'expérience dans un plan de reprise d'activité testé.

Erreur à éviter : restaurer les sauvegardes sur un réseau encore compromis. On identifie d'abord le point d'entrée, on assainit, puis on restaure.