Comprendre les ransomwares et s'en protéger : le guide essentiel

Le premier appel que j'ai reçu un lundi matin ressemblait à tous les autres. Un client, une PME de mécanique de précision, une voix serrée. « Ils ont tout bloqué. Il y a un fichier avec une demande de rançon sur chaque poste. » Sa comptabilité, ses plans, dix ans de dossiers clients : illisibles. Le technicien qui l'accompagne avait débranché le serveur. Bonne réflexe. Mais il avait aussi éteint la machine allumée, ce qui nous a coûté la seule copie de la mémoire vive où dormaient peut-être des traces exploitables.

Voilà pourquoi j'écris cet article. Pas pour répéter que les ransomwares sont dangereux — tout le monde le sait. Pour expliquer comment ils fonctionnent vraiment, et surtout ce qu'on fait dans les heures qui suivent, quand la panique monte et que chaque décision compte.

Un ransomware, c'est quoi exactement (et pourquoi on dit aussi rançongiciel)

Commençons par lever une confusion. « Rançongiciel » est le terme officiel en français, recommandé par les autorités. « Ransomware » est l'anglicisme que tout le monde utilise dans la vraie vie, moi compris. Les deux désignent la même chose : un logiciel malveillant qui rend vos données inaccessibles et exige une rançon pour les libérer.

Le mécanisme tient en deux mouvements. D'abord, le code s'installe discrètement et parcourt vos fichiers. Ensuite, il les chiffre avec une clé que seul l'attaquant possède. Vous voilà avec des documents intacts en apparence — même taille, même nom — mais totalement illisibles.

Chiffrement ou simple verrouillage : deux méthodes

Tous les ransomwares ne se comportent pas de la même façon, et cette nuance change ce qu'on peut espérer récupérer.

• Le chiffrement : les fichiers sont réellement transformés. Sans la clé, aucune chance de les relire. C'est le cas le plus fréquent et le plus grave.
• Le verrouillage d'écran : le système est bloqué, mais les fichiers sont intacts derrière. Plus rare aujourd'hui, mais ça arrive encore sur des machines anciennes.
• Certains attaquants exfiltrent d'abord vos données, puis menacent de les publier si vous ne payez pas. Le chiffrement n'est alors qu'un moyen de pression parmi d'autres.

Cette dernière tendance, je la vois de plus en plus chez mes clients. Le but n'est plus seulement de bloquer votre travail, c'est de menacer votre réputation ou de faire fuiter des informations internes. Ce qui complique énormément la réponse à apporter.

Comment se protéger d'un ransomware : ce qui marche vraiment

La plupart des guides vous listent dix « bons gestes » à la suite. Ça ne sert à rien. Personne n'applique une liste de dix choses. Alors voici ce qui compte, par ordre d'efficacité réelle — celui que je constate en intervention.

La sauvegarde hors ligne, la seule qui sauve

Si je devais garder un seul conseil, ce serait celui-là. Une sauvegarde qui reste connectée au réseau sera chiffrée en même temps que le reste. J'ai vu des entreprises avec trois sauvegardes différentes perdre absolument tout, parce que toutes étaient accessibles depuis le serveur infecté.

Ce qui marche : une copie déconnectée, physiquement ou logiquement, que le ransomware ne peut pas atteindre. Un disque externe débranché après chaque sauvegarde. Un espace de stockage isolé avec une authentification distincte. L'idée simple est qu'aucune machine compromise ne doit pouvoir atteindre votre filet de sécurité.

Et surtout : testez la restauration. Une sauvegarde jamais restaurée est une sauvegarde dont vous ne savez rien. Ce client en mécanique avait bien une sauvegarde. Elle avait dix-huit mois. Il avait oublié de vérifier que la tâche planifiée tournait encore.

Cloisonner les accès et ne pas donner les clés du royaume à tout le monde

Un compte utilisateur avec des droits d'administrateur partout, c'est une porte ouverte. Si ce poste est infecté, le logiciel se répand sur l'ensemble du réseau avec les mêmes droits. La règle des moindres privilèges — chaque personne n'accède qu'à ce dont elle a besoin — limite considérablement les dégâts.

Concrètement : un compte distinct pour les tâches d'administration, jamais utilisé pour lire ses courriels. Un compte standard pour le quotidien. Une authentification à deux facteurs partout où c'est possible, y compris sur les accès à distance. Ce dernier point est négligé par beaucoup, alors que les accès distants mal protégés sont une porte d'entrée classique.

Appliquer les mises à jour sans traîner

Un logiciel non corrigé est une invitation. Je sais que c'est fastidieux, que redémarrer un serveur en pleine journée n'amuse personne. Mais la fenêtre entre la publication d'une faille et son exploitation se compte désormais en heures, pas en semaines. Un système d'exploitation à jour, un navigateur à jour, les logiciels métiers à jour : c'est la base.

Nous avons réglé les mises à jour automatiques sur l'ensemble du parc de ce client après l'incident. Trois mois plus tard, plus aucune machine en retard de plus de quinze jours. Ça n'a pas coûté un centime de plus.

Comment identifier un ransomware : les signaux qui doivent vous alerter

Certains indices sautent aux yeux. Une fenêtre qui s'affiche avec un compte à rebours et une adresse pour payer. Un fond d'écran remplacé par un message. Des fichiers renommés avec une extension bizarre collée à la fin. Ça, c'est le stade visible, celui où tout le monde a compris.

Le problème, c'est que le stade visible arrive souvent trop tard. Les premiers symptômes sont plus discrets.

• Des fichiers qui refusent de s'ouvrir, avec un message d'erreur incompréhensible.
• Un disque qui tourne à plein régime sans raison apparente, ventilateurs qui rugissent.
• Des documents dont l'icône disparaît ou dont l'extension change.
• Des impossibilités soudaines à accéder à des dossiers partagés.
• Le logiciel antivirus qui se désactive tout seul, ou qui ne répond plus.

Le dernier point, en particulier, ne doit pas être pris à la légère. Beaucoup de ransomwares désactivent les protections avant de frapper. Si votre antivirus s'éteint sans que vous ayez rien touché, débranchez le câble réseau et creusez immédiatement.

Un fichier suspect n'est pas forcément un ransomware

Je reçois régulièrement des appels affolés pour des fichiers que l'antivirus signale, alors qu'il s'agit de faux positifs. Un exécutable légitime, un script de maintenance, un vieux logiciel métier : tout ça peut déclencher une alerte. Avant de tirer la sonnette d'alarme, vérifiez la source du fichier, l'éditeur, et ce que dit précisément l'alerte. Ce n'est pas parce que l'alerte mentionne « rançongiciel » dans un coin que c'en est un.

Que faire en cas de ransomware : la procédure, étape par étape

Voilà le cœur du sujet, et ce que la plupart des pages oublient de détailler. Une fois l'infection détectée, chaque geste compte. L'ordre importe autant que le contenu.

Isoler la machine — mais ne l'éteindre surtout pas

Première action : couper la connexion réseau. Débranchez le câble, désactivez le Wi-Fi. L'objectif est double : empêcher la propagation aux autres machines, et couper la communication entre le logiciel et son serveur de commande.

Deuxième action, celle qu'on oublie souvent : ne pas éteindre la machine. Je sais, le réflexe est de tout couper. Mais éteindre, c'est perdre la mémoire vive, où peuvent subsister des clés de chiffrement, des traces de commandes, des identifiants de connexion. Ces éléments peuvent faire la différence entre tout perdre et récupérer une partie. Une mise en veille prolongée ou une hibernation permet parfois de conserver une copie de la mémoire, mais rien ne vaut le fait de laisser la machine allumée, isolée, en attendant les professionnels.

Prévenir et documenter

Signalez l'incident à votre prestataire informatique ou à votre service interne, si vous en avez un. Notez tout : l'heure de la découverte, le nom exact du fichier de rançon, les messages affichés, les fichiers touchés en premier. Ces traces serviront à comprendre comment l'attaque est entrée — et à prouver votre bonne foi si des données sensibles fuient.

Si des données personnelles ou des informations sensibles sont concernées, il peut exister une obligation de notification. Renseignez-vous, car les règles sur la protection des données sont strictes en la matière.

Signaler et porter plainte

En France, le réflexe à avoir est de signaler l'incident sur la plateforme officielle Cybermalveillance.gouv.fr, qui oriente vers les bons interlocuteurs. Un dépôt de plainte auprès de la gendarmerie ou du commissariat reste possible et recommandé, même si l'enquête aboutit rarement — les attaquants se cachent souvent derrière des relais techniques complexes, parfois à l'étranger.

Le signalement, en revanche, alimente la connaissance collective de la menace. Ce que l'on comprend de l'attaque de ce client mécanique a servi à d'autres. C'est frustrant sur le moment, mais ça a une utilité réelle.

Faut-il payer la rançon ?

Ma position est claire, et je l'assume entièrement : non. Payer n'a jamais été une solution fiable. Rien ne garantit que vous obtiendrez la clé. Rien ne garantit que cette clé fonctionnera vraiment. Rien ne garantit qu'on ne vous redemandera pas de payer une seconde fois. Et payer finance directement l'activité de ceux qui recommenceront.

J'ai vu des cas où le paiement a permis de récupérer l'accès. J'en ai vu d'autres où la rançon versée n'a rien changé, et où la clé fournie déchiffrait péniblement une partie des fichiers. Le jeu en vaut rarement la chandelle. La sauvegarde, quand elle existe, est infiniment plus fiable qu'un espoir d'honnêteté chez vos attaquants.

Ce que je constate sur le terrain en France

La menace a changé de nature ces dernières années. Avant, on avait affaire à des attaques opportunistes, lancées au hasard, qui infectaient ce qu'elles pouvaient. Aujourd'hui, ce sont des groupes organisés, quasi professionnels, qui ciblent des organisations précises après les avoir étudiées.

Ce que je vois le plus souvent : des structures qui n'ont jamais eu d'incident et qui n'y croient pas, parce que « personne n'a de raison de s'intéresser à nous ». C'est faux. La taille importe peu, ce qui compte c'est d'avoir des données exploitables et une capacité de payer. Une PME avec un chiffre d'affaires confortable fait une cible parfaitement rentable.

Profil	Risque réel	Ce qui protège le plus
Particulier	Faible mais non nul	Mises à jour, sauvegarde déconnectée
TPE	Élevé, souvent pris au dépourvu	Sauvegarde testée, comptes séparés
PME / ETI	Très élevé, cible privilégiée	Cloisonnement, sensibilisation, PCA
Collectivité / santé	Élevé, données critiques	Isolation réseau, plan de réponse écrit

Je ne vous vendrai pas de solution miracle. Il n'y en a pas. Ce qui fonctionne, c'est la répétition : sauvegarder, tester, mettre à jour, former, recommencer. C'est ingrat, ça se voit peu, et c'est exactement ce qui a épargné les clients qui s'en sont sortis sans dégâts.

Et après ? Ce que révèle vraiment une attaque

Ce client mécanique a récupéré une partie de ses données. Pas toutes. Il avait reporté sa sauvegarde hors ligne « au trimestre prochain » pendant deux ans. Trois semaines de travail perdues, une amende évitée de justesse parce que les données clients restaient saines, et une leçon retenue.

La question que je pose maintenant à chaque nouveau client, ce n'est pas « avez-vous une sauvegarde ? ». C'est « quand l'avez-vous testée pour la dernière fois ? ». La réponse est souvent le vrai révélateur de la préparation.

Un ransomware ne révèle pas seulement une faille technique. Il révèle une organisation. Ce qu'elle avait prévu, ce qu'elle avait reporté, ce qu'elle croyait tenir pour acquis. Posez-vous la question honnêtement, ce soir : si demain, tous vos fichiers devenaient illisibles, qu'est-ce qui resterait ?