Attaque ransomware PME : 7 phases et plan de défense

📌 Ce qu’il faut retenir

Ransomware PME : ce que recouvre vraiment l’attaque

Un rançongiciel est une attaque qui bloque un équipement ou un système, chiffre des données et peut aussi les copier avant d’exiger une rançon. La pression ne repose donc plus seulement sur la disponibilité des fichiers. Elle peut aussi viser leur confidentialité.

Cette évolution change la logique de protection. Une sauvegarde saine permet de restaurer une partie de l’activité, mais elle n’annule pas une fuite déjà réalisée. L’entreprise doit protéger à la fois les accès, les données, les sauvegardes et sa capacité à réagir.

En 2025, les TPE, PME et ETI ont représenté 48 % des victimes de rançongiciels selon MesServicesCyber. Le Panorama de la cybermenace 2025 relève aussi une hausse des opérations reposant sur la seule exfiltration de données.

Attaque ransomware PME : les 7 phases à surveiller

MITRE ATT&CK ne décrit pas une chaîne d’attaque unique. Son référentiel recense des tactiques et techniques. Pour une PME, on peut les regrouper en sept temps utiles pour placer les défenses.

1. Reconnaissance

L’attaquant collecte des informations publiques : collaborateurs, outils utilisés, fournisseurs, accès distants ou technologies exposées. Une campagne de masse peut être peu ciblée. Une intrusion préparée peut exploiter plusieurs jours de collecte.

2. Accès initial

Le point d’entrée peut être un phishing, un compte compromis, un service exposé ou une faille non corrigée. Le premier objectif est d’obtenir un accès exploitable, pas de chiffrer.

3. Persistance et élévation de privilèges

L’attaquant cherche ensuite à conserver son accès et à obtenir davantage de droits. Il peut détourner des comptes, des outils d’administration ou des mécanismes légitimes afin de survivre à un redémarrage ou à la fermeture du point d’entrée initial.

4. Découverte et mouvement latéral

Le réseau interne est cartographié : serveurs, annuaire, applications métier, comptes administrateurs et sauvegardes. Des droits trop larges et un réseau peu cloisonné facilitent la propagation.

5. Exfiltration des données

Certains attaquants copient des données avant toute action visible. Les transferts peuvent utiliser des services ordinaires. Journaux, flux sortants et alertes sur des volumes anormaux aident à repérer cette étape.

6. Chiffrement ou destruction

Le ransomware chiffre les données accessibles et peut aussi tenter de supprimer des instantanés ou sauvegardes en ligne. MITRE recense ces actions comme des techniques d’impact et d’inhibition de la récupération.

7. Extorsion

La demande de rançon peut combiner plusieurs leviers : déchiffrement, menace de publication, pression sur les clients ou partenaires. Le paiement ne garantit ni la récupération complète des fichiers ni l’effacement des données volées.

Double extorsion ransomware : pourquoi la sauvegarde ne suffit pas

La double extorsion ransomware associe indisponibilité et menace de divulgation. Même après une restauration réussie, les données copiées restent un risque. La réponse doit donc intégrer l’analyse des journaux, l’identification des données concernées et l’évaluation des obligations RGPD.

Si une violation de données personnelles présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les meilleurs délais et, si possible, sous 72 heures après en avoir pris connaissance. Un risque élevé peut aussi imposer d’informer les personnes concernées.

Protection ransomware : les défenses à placer avant l’incident

La meilleure stratégie n’est pas un produit unique. Elle repose sur des couches qui empêchent l’attaque de progresser.

Sauvegarde ransomware : isoler et tester la restauration

Pour les sauvegardes, l’ANSSI recommande la règle 3-2-1 : trois copies distinctes, sur deux supports différents, dont une hors ligne. Elle recommande aussi de tester régulièrement les restaurations. Une copie connectée en permanence au même environnement ne doit pas être considérée comme une protection suffisante.

Sur Eur’Net, ce dispositif peut être relié au guide sur la sauvegarde 3-2-1-1-0 et à le guide complet ransomware PME. Le scénario initial reste disponible dans Vendredi 17h : le clic qui paralyse 23 personnes.

Réponse ransomware : que faire pendant l’incident

1. Isolez les équipements touchés du réseau et d’Internet, sans les éteindre si vous devez préserver les traces.
2. Alertez immédiatement le responsable interne et le prestataire prévu dans la procédure de crise.
3. Préservez les preuves : messages, journaux, horaires, comptes concernés et note de rançon.
4. Ne restaurez pas trop tôt : identifiez d’abord le périmètre compromis et les mécanismes de persistance.
5. Déposez plainte et utilisez les ressources de Cybermalveillance.gouv.fr.
6. Évaluez la violation de données et les obligations de notification avec le DPO ou le conseil compétent.

Payer la rançon : une décision à ne pas improviser

Les autorités françaises recommandent de ne pas payer. Le paiement alimente le modèle criminel et n’offre aucune garantie de récupération ou de confidentialité. Avant toute décision, l’entreprise doit évaluer ses sauvegardes, l’étendue de l’incident, les contraintes légales, l’assurance et la continuité d’activité avec des spécialistes de réponse à incident.

Après l’attaque : restaurer sans réouvrir la porte

La reprise commence par un environnement assaini. Les accès compromis sont révoqués, les secrets changés et les failles corrigées. La restauration suit ensuite un ordre défini selon les applications critiques. Les sauvegardes doivent être contrôlées avant remise en production.

L’analyse post-incident sert à comprendre le point d’entrée, les comptes utilisés, les déplacements internes et les données consultées ou copiées. Elle permet de transformer l’incident en plan de réduction du risque plutôt qu’en simple retour à l’état précédent.

Faire le point avec un diagnostic cyber

Le dispositif MonAideCyber de l’ANSSI propose un diagnostic cyber gratuit pour les entités publiques et privées qui veulent engager une première démarche de sécurité. Le diagnostic aboutit à des mesures prioritaires à mettre en œuvre. Consulter MonAideCyber.

Eur’Net accompagne les PME sur la protection des postes, les sauvegardes, les accès sécurisés et les procédures de réponse à incident. Le bon objectif n’est pas de promettre qu’une attaque n’arrivera jamais. Il est de réduire les possibilités d’entrée, de limiter la propagation et de rendre la reprise maîtrisable.