<p>Longtemps réservées aux grands groupes, les cyberattaques par rançongiciel frappent désormais massivement les PME, souvent moins protégées....
Les rançongiciels ne visent plus seulement les grands groupes. La raison est économique : attaquer une PME demande moins d'efforts, se heurte à des défenses plus légères, et rapporte une rançon plus modeste mais bien plus souvent payée. Les groupes criminels fonctionnent désormais en franchise, avec des affiliés qui louent l'outil et se concentrent sur le volume. Une entreprise de vingt personnes n'est pas trop petite pour être visée : elle est exactement la bonne taille.
Le chiffrement des fichiers est la dernière étape, pas la première. L'intrusion commence en général par un accès obtenu discrètement : un mot de passe volé par hameçonnage, un accès distant exposé sur Internet sans double authentification, ou une faille non corrigée sur un équipement en bordure de réseau. L'attaquant se déplace ensuite pendant des jours, parfois des semaines, pour identifier les serveurs importants, récupérer des comptes administrateurs, et surtout localiser les sauvegardes.
Ce dernier point est décisif. Les sauvegardes accessibles depuis le réseau sont chiffrées ou effacées avant le déclenchement, précisément pour supprimer toute alternative au paiement. Les données sont également copiées vers l'extérieur en amont, ce qui permet une seconde menace : publier les documents volés si la rançon n'est pas versée. Une entreprise qui restaure correctement ses données reste donc exposée à la divulgation.
Ce déroulé explique pourquoi la détection compte autant que la protection. Entre l’intrusion initiale et le chiffrement, il s’écoule souvent une à trois semaines pendant lesquelles des signaux existent : connexions nocturnes, création de comptes administrateurs, désactivation de l’antivirus, transferts volumineux vers l’extérieur. Une supervision, même simple, transforme cette période en fenêtre d’intervention. Sans elle, l’entreprise découvre l’attaque à son aboutissement, quand toutes les options faciles ont disparu.
La cible n’est d’ailleurs pas choisie : elle est trouvée. Les groupes criminels balayent en permanence les adresses exposées sur Internet à la recherche d’un accès distant ouvert ou d’un équipement non corrigé. Une PME n’est pas visée pour ce qu’elle est, mais pour ce qu’elle laisse visible, ce qui explique que des entreprises sans données sensibles particulières se retrouvent à l’arrêt pendant une semaine.
Ce qui fait vraiment la différence
La sauvegarde est la seule mesure qui transforme une catastrophe en incident, à trois conditions strictes. Une copie doit être hors ligne ou immuable, c'est-à-dire techniquement impossible à modifier ou supprimer pendant une durée définie, même avec un compte administrateur. Une copie doit être hors site. Et la restauration doit être testée, en vrai, au moins une fois par an : une sauvegarde qui tourne sans erreur mais ne se restaure pas est une illusion coûteuse, et le cas se rencontre régulièrement.
Viennent ensuite l'authentification forte sur tous les accès distants sans exception, la mise à jour rapide des équipements exposés sur Internet, et la limitation des droits administrateurs — un compte administrateur utilisé pour la bureautique quotidienne offre à l'attaquant tout ce dont il a besoin dès la première compromission.
La détection compte autant que la prévention. Les jours passés par l'attaquant à l'intérieur du réseau constituent une fenêtre pendant laquelle une supervision attentive repère des signaux : connexions à des heures inhabituelles, création de comptes, désactivation de l'antivirus, transferts de données volumineux vers l'extérieur.
Un point mérite d’être souligné sur les sauvegardes immuables : l’immuabilité doit être techniquement imposée, pas contractuelle. Une copie qu’un administrateur peut supprimer, même de bonne foi, sera supprimée par l’attaquant qui aura pris ses droits. Les solutions actuelles permettent de verrouiller une rétention pour une durée définie, sans exception possible. C’est cette contrainte, perçue comme gênante au quotidien, qui sauve l’entreprise le jour de l’incident.
Un troisième élément fait la différence : la segmentation. Un réseau où tous les postes voient tous les serveurs permet à l’attaquant de se déplacer librement. Séparer les fonctions, isoler les sauvegardes et limiter les partages accessibles à tous ralentit considérablement la progression et laisse le temps de réagir.
Si l'incident survient
Isoler d'abord : déconnecter les machines touchées du réseau sans les éteindre, afin de préserver les traces en mémoire. Ne pas payer dans la précipitation : le paiement ne garantit ni la restitution complète des données, ni la non-publication, et finance directement la prochaine campagne. Déposer plainte et signaler l'incident. Puis restaurer à partir d'une sauvegarde saine, après s'être assuré que l'accès initial de l'attaquant a été refermé, faute de quoi le scénario se répète quelques semaines plus tard.
Chez TICLIC, nous traitons ce risque par la sauvegarde immuable testée, l'authentification forte et la supervision des accès. Un diagnostic gratuit permet de savoir si vos sauvegardes résisteraient réellement à une attaque, ce qui est la seule question qui compte le jour venu.
Il faut enfin prévoir le scénario de la divulgation, distinct de celui du chiffrement. Même restaurée, une entreprise dont les documents ont été copiés doit décider quoi dire à ses clients, à ses salariés et à la CNIL. Préparer à froid qui rédige ces messages, qui les valide et par quel canal ils partent évite d’improviser dans les vingt-quatre heures où tout le monde est déjà mobilisé sur la remise en route technique.
Enfin, l’expérience montre qu’il faut décider à l’avance qui pilote la crise. Un incident de cette nature mobilise la direction, l’informatique, la communication, parfois l’assurance et un avocat. Sans chef d’orchestre désigné, les décisions se prennent en parallèle et se contredisent, ce qui coûte plus cher que l’attaque elle-même.
Un dernier conseil : conservez une copie hors ligne de vos procédures et de vos contacts. En pleine attaque, la documentation stockée sur le serveur chiffré devient inaccessible au moment précis où elle serait la plus utile, et personne ne se souvient du numéro de son assureur de mémoire.