Ransomware : êtes-vous prêt à faire face à une attaque ?

En bref

• L'ANSSI a recensé 128 compromissions par rançongiciel en 2025. Les TPE, PME et ETI en constituent 48 % des victimes, contre 37 % en 2024.
• Ces attaques sont majoritairement opportunistes : elles visent des systèmes vulnérables, pas des entreprises choisies.
• La double extorsion (chiffrement et menace de divulgation) est désormais la norme. Une sauvegarde protège vos données, pas votre réputation.
• Au niveau mondial, 69 % des victimes ne paient pas. La rançon médiane payée a encore reculé, à 139 875 $.

Ce qu'est réellement une attaque par rançongiciel

Un rançongiciel est un logiciel malveillant qui chiffre les données d'un système d'information pour en monnayer le déchiffrement. Cette définition, exacte, est aussi incomplète, et l'écart explique pourquoi beaucoup d'entreprises se croient couvertes alors qu'elles ne le sont pas.

L'ANSSI décrit dans son Panorama de la cybermenace 2025 la pratique devenue standard de la double extorsion : les attaquants exfiltrent les données avant de les chiffrer, et menacent de les publier. Certains groupes vont plus loin : la « triple extorsion » ajoute des attaques en déni de service ou des tentatives de pression directe auprès de vos clients et partenaires.

La conséquence est capitale et souvent mal comprise : une sauvegarde impeccable vous permet de redémarrer, elle n'empêche pas la publication de vos données. Fichier clients, contrats, données RH, pièces comptables : ils sont sortis. La sauvegarde traite la disponibilité, pas la confidentialité. Il faut construire les deux réponses.

L'Agence observe par ailleurs une tendance émergente : des acteurs qui exfiltrent et rançonnent sans même déployer de chiffrement. Le rapport de force est le même, sans la panne.

Qui est visé, et pourquoi

Sur les 128 compromissions portées à la connaissance de l'ANSSI en 2025, la répartition des victimes place les PME, TPE et ETI en tête avec 48 %, devant les collectivités territoriales (11 %) et les établissements de santé (8 %, en hausse).

L'ANSSI est explicite sur la logique de ciblage : « Les acteurs cybercriminels mènent des attaques à l'aide de rançongiciels en ciblant indistinctement la plupart des secteurs et des zones géographiques. » Ces attaques sont opportunistes. Vous n'êtes pas sélectionné, vous êtes trouvé, par un scan automatisé qui a repéré un service exposé et vulnérable.

Les souches les plus représentées en France en 2025 sont Qilin (21 %), Akira (9 %) et LockBit 3.0 / LockBit Black (5 %). Qilin, la franchise la plus active de l'année, revendique plus de 700 victimes sur douze mois, dont 185 pour le seul mois d'octobre 2025. Ces groupes fonctionnent en « rançongiciel comme service » : les développeurs louent leur outil à des affiliés qui mènent les intrusions. C'est ce modèle industriel qui rend l'attaque rentable même sur une petite structure.

Un incident chez vous peut arrêter d'autres entreprises

L'ANSSI documente plusieurs cas où la compromission d'un prestataire a paralysé ses clients ; l'un d'eux a perturbé l'activité de nombreux acteurs d'un même secteur. En octobre 2025, l'attaque contre Collins Aerospace, revendiquée par le groupe Everest, a désorganisé plusieurs aéroports européens pendant plusieurs jours.

Si vous êtes sous-traitant, votre disponibilité fait partie du risque de vos clients, et ils commencent à le contractualiser. Le DBIR 2026 de Verizon mesure une hausse de 60 % des violations impliquant un tiers, désormais présentes dans 48 % des cas ; chez les PME, cette proportion atteint 55 %.

Se protéger : les mesures qui changent l'issue

Aucune mesure prise isolément n'empêche un rançongiciel. Ce qui fonctionne, c'est l'empilement : chaque couche augmente le coût de l'attaque et le temps dont vous disposez pour la détecter.

Corriger les failles exposées : la porte d'entrée n° 1

C'est le point que les données de 2026 imposent de mettre en tête. Selon le DBIR, l'exploitation de vulnérabilités est devenue le premier vecteur d'accès initial (31 % des violations, 26 % chez les PME), devant l'abus d'identifiants. Et la performance collective se dégrade : seulement 26 % des vulnérabilités critiques activement exploitées ont été entièrement corrigées en 2025, contre 38 % l'année précédente, avec un délai médian passé de 32 à 43 jours.

L'ANSSI est catégorique sur les équipements exposés à Internet, pare-feux, VPN, serveurs de messagerie : tout équipement exposé et vulnérable finit par être compromis. Priorité absolue aux correctifs sur ce périmètre, et remplacement de ce qui n'est plus maintenu par l'éditeur.

Des sauvegardes réellement hors d'atteinte

La règle de l'ANSSI est 3-2-1 : trois copies, sur deux supports différents, dont une hors ligne. Le troisième terme est celui qui décide.

Une sauvegarde accessible depuis le réseau sera chiffrée en même temps que le reste : les attaquants la cherchent en priorité, précisément parce qu'ils savent qu'elle annule leur levier. La copie déconnectée peut être un disque externe débranché après chaque opération, ou un service cloud offrant une garantie d'immuabilité, à condition que cette garantie soit explicitement souscrite et vérifiée.

Et il faut tester la restauration. Régulièrement, sur des données réelles, en chronométrant. Deux questions doivent avoir une réponse chiffrée : combien de temps pour tout remettre en service, et combien de données perd-on au maximum. Sans ces deux nombres, vous n'avez pas de plan, vous avez un espoir.

Authentification multifacteur et cloisonnement

La MFA sur les accès distants, la messagerie et les comptes d'administration bloque l'essentiel des intrusions par identifiants volés. La segmentation du réseau et le principe du moindre privilège limitent la propagation : c'est la différence entre perdre un poste et perdre l'entreprise. L'activation du pare-feu local sur chaque machine rend les déplacements latéraux nettement plus coûteux.

Détecter, pas seulement bloquer

Un rançongiciel n'est presque jamais le premier acte : il est déployé après des jours ou des semaines de reconnaissance. Ce délai est votre fenêtre.

Encore faut-il regarder. L'ANSSI relève que les attaquants utilisent de plus en plus des outils légitimes (logiciels de prise en main à distance, stockage cloud, utilitaires système), précisément parce qu'un antivirus ne les signale pas. Une solution de type EDR, qui analyse les comportements, et une supervision minimale des journaux répondent à cette réalité. À défaut de moyens internes, un service managé mutualisé est accessible aux PME.

Traiter le risque de divulgation

Puisque l'exfiltration précède le chiffrement, la protection des données elles-mêmes redevient centrale : chiffrement des données sensibles au repos, restriction des accès aux fichiers vraiment critiques, et surveillance des volumes de données sortants. Une exfiltration de plusieurs dizaines de gigaoctets vers un service de stockage inconnu est un signal détectable, si quelqu'un a configuré l'alerte.

Que faire pendant l'attaque

Les premières heures déterminent l'ampleur des dégâts. Cette séquence doit être écrite et connue avant.

1. Isoler, sans éteindre. Débranchez du réseau les machines touchées et coupez les interconnexions (VPN, accès prestataires). Ne les éteignez pas : vous détruiriez des traces indispensables à l'analyse, notamment en mémoire.
2. Protéger les sauvegardes. Déconnectez immédiatement tout support de sauvegarde encore relié. C'est le geste le plus urgent après l'isolement.
3. Activer la cellule de crise avec un canal de communication hors du système compromis : la messagerie d'entreprise doit être considérée comme lue par l'attaquant.
4. Ne pas payer. C'est la position constante des autorités françaises. Le paiement ne garantit ni le déchiffrement, ni la destruction des données volées, finance l'écosystème criminel et vous désigne comme cible solvable. À l'échelle mondiale, le DBIR relève que 69 % des victimes n'ont pas payé.
5. Faire appel à un spécialiste de la réponse à incident. L'analyse détermine le point d'entrée : sans cette réponse, vous restaurez un système qui sera recompromis par la même porte.
6. Déposer plainte auprès de la police ou de la gendarmerie, et signaler l'incident à l'ANSSI si vous relevez de son périmètre.
7. Notifier la CNIL sous 72 heures si des données personnelles sont concernées, et informer les personnes en cas de risque élevé. Voir notre article sur les liens entre RGPD et cybersécurité.
8. Communiquer vers vos clients, fournisseurs et salariés. Le silence est systématiquement plus coûteux que l'annonce, d'autant que les groupes criminels publient eux-mêmes le nom de leurs victimes.

Le plan de reprise : votre vraie assurance

Un plan de reprise d'activité répond à une question simple : comment continuons-nous à travailler pendant que le système d'information est indisponible, et dans quel ordre le remettons-nous en service ?

Pour une PME, il n'a pas besoin d'être volumineux. Il doit contenir :

• La liste hiérarchisée des activités critiques et des applications qui les portent : tout ne redémarre pas en même temps.
• Les deux objectifs chiffrés : durée maximale d'interruption admissible et perte de données maximale admissible.
• Le mode dégradé : comment on facture, on livre, on répond au téléphone sans informatique. Cette page est celle qui sert le plus.
• Les contacts d'urgence (prestataire de réponse à incident, assureur, conseil juridique, hébergeur), accessibles hors du système d'information. Une copie papier n'est pas une plaisanterie.
• La procédure de restauration, testée.

Un plan jamais exercé est un document. Un exercice sur table d'une demi-journée par an suffit à révéler les angles morts, et il en révèle toujours.

L'assurance cyber

Elle peut couvrir la perte d'exploitation, les frais de réponse à incident et l'assistance juridique. Deux précautions : lisez les exclusions (beaucoup de contrats conditionnent l'indemnisation à l'existence de sauvegardes déconnectées, de MFA et de correctifs à jour) et vérifiez les délais de déclaration, souvent très courts. L'assurance complète les mesures techniques ; elle ne les remplace pas.

Questions fréquentes

Payer la rançon est-il illégal en France ?

Le paiement n'est pas pénalement interdit en tant que tel, mais les autorités le déconseillent systématiquement. En revanche, une règle assurantielle s'impose : depuis la loi d'orientation et de programmation du ministère de l'Intérieur du 24 janvier 2023, l'article L. 12-10-1 du code des assurances conditionne le versement de toute indemnité au titre d'une cyberattaque au dépôt d'une plainte dans les 72 heures suivant la connaissance de l'atteinte. Cette obligation vise les personnes morales et les personnes physiques agissant dans le cadre de leur activité professionnelle. Concrètement : sans plainte déposée à temps, votre assurance cyber peut refuser d'indemniser, rançon ou pas.

Combien de temps dure une remise en service ?

Cela dépend entièrement de la préparation. Une PME disposant de sauvegardes hors ligne testées et d'une procédure écrite se remet en marche en quelques jours. Sans cela, plusieurs semaines en mode dégradé sont la norme, et une part des données est définitivement perdue.

Le cloud protège-t-il du rançongiciel ?

Non, et l'ANSSI a traité en 2025 plusieurs attaques ayant chiffré des ressources hébergées dans le cloud, dont une solution SaaS d'un éditeur français hébergée chez un grand fournisseur. Le modèle de responsabilité partagée laisse la configuration, les accès et souvent les sauvegardes à votre charge.

Faut-il déclarer l'incident même si tout est rétabli ?

Oui pour la CNIL si des données personnelles ont été touchées : l'obligation porte sur la violation, pas sur ses conséquences finales. Le dépôt de plainte reste recommandé dans tous les cas.

Pour aller plus loin

Notre diagnostic de maturité cyber évalue votre préparation sur la sauvegarde, la détection et la continuité d'activité. Pour construire un plan de reprise ou faire auditer votre exposition, vous pouvez consulter des prestataires certifiés.

Sources

• ANSSI, Panorama de la cybermenace 2025 (CERTFR-2026-CTI-002), mars 2026.
• Verizon, 2026 Data Breach Investigations Report.
• ANSSI, DGE, CPME et Cybermalveillance.gouv.fr, La cybersécurité pour les TPE/PME en 13 questions.
• Cybermalveillance.gouv.fr, Rançongiciel : que faire si votre organisation est victime d'une attaque ?
• Légifrance, Article L. 12-10-1 du code des assurances (loi n° 2023-22 du 24 janvier 2023).