Ransomware : comprendre, prévenir et réagir à un rançongiciel

Un ransomware, ou rançongiciel, est un logiciel malveillant qui chiffre les données et les systèmes d'une victime pour lui réclamer une rançon, le plus souvent après lui avoir volé ses données pour la menacer de les publier. Hôpitaux, collectivités, industriels, PME : aucune organisation n'est trop petite pour être visée. Cet article explique comment se déroule une attaque, comment la prévenir et que faire si elle survient. Pour le cas particulier des intrusions par VPN et pare-feu, voyez notre article d'actualité sur les équipements de bordure, première porte d'entrée.

Le mot vient de l'anglais ransom (rançon) et software (logiciel). En français, on dit rançongiciel. Le principe est ancien : rendre les données inutilisables en les chiffrant, puis vendre la clé de déchiffrement. Ce qui a changé, c'est l'organisation des attaquants.

Les attaques ne visent plus seulement des particuliers au hasard. Le CERT-FR décrit depuis 2020 la « chasse au gros gibier » : des groupes qui ciblent des entreprises et des institutions capables de payer cher, et qui prennent le temps de préparer leur coup. Beaucoup fonctionnent en rançongiciel en tant que service : un groupe développe le logiciel et le loue à des affiliés, qui mènent les intrusions et partagent les gains. D'autres acteurs se spécialisent dans la vente d'accès à des réseaux déjà compromis.

En France, 128 compromissions par rançongiciel ont été portées à la connaissance de l'ANSSI en 2025, selon son panorama de la cybermenace. Ce chiffre ne compte que les cas signalés à l'agence. Le même rapport observe que certains attaquants délaissent le chiffrement au profit du seul vol de données, suivi d'un chantage à la publication.

Une attaque ciblée n'est pas un événement instantané. Le guide de l'ANSSI sur les rançongiciels décrit une progression en plusieurs temps, qui peut s'étaler sur des jours ou des semaines entre l'intrusion et le chiffrement. Cette durée est une chance : chaque étape laisse des traces, et chaque étape a sa parade.

Les sauvegardes ont longtemps été la parade absolue : si l'on peut tout restaurer, pourquoi payer ? Les attaquants ont répondu par la double extorsion. Le CERT-FR la date de fin 2019 : avant de chiffrer, ils volent les données, puis menacent de les publier sur un site de divulgation si la victime ne paie pas. Même une organisation qui restaure tout reste exposée au chantage.

Selon le panorama 2025, les attaquants pratiquent toujours la double, voire la triple extorsion, en ajoutant d'autres moyens de pression comme des attaques en déni de service ou des contacts directs avec les clients et partenaires de la victime. Une attaque par rançongiciel est donc presque toujours aussi une fuite de données, avec les obligations qui en découlent (voir plus bas). Nos articles sur la cyberattaque d'un hôpital sanctionnée par la CNIL et sur les fuites de données dans l'État en montrent les conséquences.

Le guide de l'ANSSI fait des sauvegardes la mesure prioritaire, tout en rappelant qu'elles ne suffisent pas. Les mesures essentielles, dans l'ordre des étapes de l'attaque :

• Réduire la surface d'attaque : inventorier ce qui est exposé sur Internet, appliquer vite les correctifs de sécurité, en priorité sur les équipements de bordure, et imposer l'authentification multifacteur sur tous les accès distants et les comptes d'administration.
• Détecter : un antivirus à jour, et de préférence un outil de détection et de réponse sur les postes et serveurs, avec des journaux centralisés que quelqu'un regarde.
• Freiner la propagation : cloisonner le réseau, limiter les droits des utilisateurs, séparer les comptes d'administration des comptes de travail, protéger l'annuaire.
• Protéger les sauvegardes : au moins une copie hors ligne ou non modifiable, à intervalles réguliers, et des restaurations testées. Une sauvegarde que l'on n'a jamais restaurée n'est qu'une hypothèse.
• Préparer la crise : un plan de gestion de crise et un plan de reprise d'activité connus de la direction, des contacts d'urgence imprimés, un exercice au moins une fois par an.
• Former les utilisateurs à reconnaître l'hameçonnage et à signaler vite un comportement suspect.

Ces mesures prennent tout leur sens lorsqu'elles répondent à un scénario de risque explicite. Le rançongiciel figure en tête des scénarios à étudier dans toute analyse de risques, et son impact se mesure dans le bilan d'impact sur l'activité de votre plan de continuité : combien de temps pouvez-vous tenir sans tel système ?

Les premières heures comptent. La fiche réflexe de Cybermalveillance.gouv.fr et le guide de l'ANSSI convergent sur ces gestes :

1. Isoler sans éteindre : débranchez les machines touchées du réseau (câble, Wi-Fi), mais ne les éteignez pas, sauf si le chiffrement est encore en cours : leur mémoire contient des traces utiles à l'enquête.
2. Protéger les sauvegardes : déconnectez-les immédiatement du réseau pour qu'elles ne soient pas chiffrées à leur tour.
3. Alerter : votre équipe informatique ou votre prestataire, puis un spécialiste de la réponse à incident. La plateforme 17Cyber, lancée en décembre 2024 par la police, la gendarmerie et Cybermalveillance.gouv.fr, oriente les victimes et met en relation avec des prestataires.
4. Constituer une cellule de crise avec la direction, et tenir une main courante : un journal daté de tout ce qui est constaté et décidé.
5. Préserver les preuves : message de rançon, fichiers chiffrés, journaux. Ne réinstallez rien avant le dépôt de plainte.
6. Communiquer en interne et, si nécessaire, auprès des clients et partenaires, par un canal sûr : la messagerie habituelle est peut-être compromise.

La norme ISO 27035 structure cette réponse en phases, de la détection au retour d'expérience : voir notre article sur la gestion des incidents de sécurité, et le chapitre du guide consacré à la gestion de crise cyber.

L'ANSSI et Cybermalveillance.gouv.fr sont constants : il ne faut pas payer. Trois raisons :

• Rien n'est garanti : la clé fournie peut ne pas fonctionner, ou mal, et la restauration prend de toute façon du temps.
• Payer n'efface pas le vol : rien n'empêche l'attaquant de publier ou de revendre les données exfiltrées, ni de revenir.
• Payer finance les attaques suivantes et vous désigne comme une cible qui paie.

En droit français, le paiement n'est pas interdit en tant que tel. La loi du 24 janvier 2023 d'orientation et de programmation du ministère de l'Intérieur l'a encadré du côté de l'assurance : selon l'article L12-10-1 du code des assurances, une garantie qui couvre les pertes liées à une cyberattaque ne peut jouer que si la victime a porté plainte au plus tard 72 heures après avoir eu connaissance de l'attaque. Avant toute décision, vérifiez aussi l'existence d'un outil de déchiffrement gratuit sur le site No More Ransom, soutenu par Europol.

Redémarrer trop vite est une erreur fréquente : si l'attaquant a laissé une porte dérobée ou si l'annuaire reste compromis, il reviendra. La reconstruction suit en général cet ordre : comprendre comment l'attaquant est entré et ce qu'il a touché, reconstruire un cœur de confiance (annuaire, comptes d'administration, mots de passe et secrets renouvelés), restaurer à partir de sauvegardes saines, puis remettre en service par priorité métier, selon votre plan de reprise.

Vient ensuite le retour d'expérience : qu'est-ce qui a permis l'intrusion, qu'est-ce qui l'a retardée ou aurait pu l'arrêter, combien de temps a pris chaque étape de la réponse ? Ses conclusions alimentent l'analyse de risques, le plan d'action et la politique de sécurité. Pensez aussi à vos fournisseurs : un prestataire compromis peut être la source de l'attaque ou en subir les suites, d'où l'intérêt d'une gestion des risques tiers.

Pour intégrer le scénario rançongiciel à votre analyse de risques et suivre les mesures qui en découlent, voyez notre logiciel d'analyse de risques.