Cas pratique : un rançongiciel en PME et cinq occasions manquées

Lundi, 7 h 50. Le responsable administratif d’une entreprise de négoce d’une trentaine de salariés allume son poste. Les fichiers du serveur portent tous une extension inconnue, et un fichier texte trône sur le bureau : les données ont été chiffrées et copiées, un lien permet de « négocier ». La facturation, les commandes et le planning des livraisons sont à l’arrêt.

Ce cas est un scénario construit pour la formation : l’entreprise et les personnes n’existent pas. Chaque étape reprend en revanche des modes opératoires décrits par l’ANSSI dans son panorama de la menace 2025 et par Cybermalveillance.gouv.fr dans son rapport d’activité 2025. C’est ce qui le rend utile : il ressemble à ce qui arrive vraiment.

L’attaque, jour par jour

Douze jours avant : un mot de passe qui circule

Une commerciale utilise le même mot de passe pour sa messagerie professionnelle et pour un site de réservation de voyages. Ce site a été piraté quelques mois plus tôt, et sa base d’identifiants se revend. Cybermalveillance.gouv.fr cite la réutilisation d’un même mot de passe sur plusieurs sites parmi les causes habituelles de piratage de compte.

Dix jours avant : l’entrée par le VPN

L’entreprise utilise un VPN pour le télétravail. Il se connecte avec l’identifiant de messagerie et son mot de passe, sans second facteur. L’attaquant essaie le couple identifiant et mot de passe récupéré : il entre. Pour les professionnels, Cybermalveillance.gouv.fr observe que les rançongiciels résultent le plus souvent d’une intrusion par les accès externes (VPN, bureau à distance, NAS) ou les équipements de bordure.

Du dixième au troisième jour : l’exploration

Dans le réseau, l’attaquant cherche un compte qui a plus de droits. Il en trouve un dans un fichier de procédures partagé : les identifiants du compte administrateur, notés « pour le cas où le prestataire ne répond pas ». Ce compte sert aussi à gérer le NAS sur lequel tournent les sauvegardes nocturnes. Il copie discrètement le fichier clients, la comptabilité et les dossiers du personnel.

Le dimanche, 3 h : le chiffrement

L’attaquant supprime les sauvegardes du NAS, puis lance le chiffrement des serveurs et des postes. Le choix de la nuit du week-end laisse plusieurs heures avant que quiconque ne s’en aperçoive. Le message de rançon menace aussi de publier les données copiées : c’est la double extorsion que l’ANSSI décrit chez les groupes cybercriminels qui visent des entreprises de taille intermédiaire à très petite.

Les cinq moments où l’attaque pouvait s’arrêter

1. Un mot de passe unique par service

Avec un mot de passe propre à la messagerie, la fuite du site de voyages n’aurait rien donné. Le guide de l’ANSSI pour les TPE-PME demande un mot de passe différent pour chaque service et recommande un coffre-fort de mots de passe pour les gérer.

2. Un second facteur sur le VPN

C’est le verrou décisif du scénario. Avec une authentification multifacteur, le mot de passe volé ne suffisait plus. Une étude de Microsoft Research sur des comptes professionnels mesure une baisse de 99,22 % du risque de compromission pour les comptes protégés de cette façon. La fiche réflexe rançongiciels de Cybermalveillance.gouv.fr cite explicitement le VPN avec double authentification parmi les mesures de prévention.

3. Aucun mot de passe d’administration dans un fichier partagé

Le fichier « au cas où » partait d’une bonne intention : ne pas rester bloqué. Il a donné les clés du réseau. Les identifiants d’administration se rangent dans un coffre-fort de mots de passe accessible aux seules personnes habilitées, et le compte qui gère les sauvegardes doit être distinct des autres comptes d’administration : l’ANSSI recommande des comptes dédiés et nominatifs pour la sauvegarde.

4. Une sauvegarde hors ligne, testée

Les sauvegardes existaient, mais elles étaient joignables depuis le réseau, avec le même compte. L’ANSSI recommande la règle « 3-2-1 » : trois copies, sur deux supports différents, dont une hors ligne, débranchée de tout réseau. Avec une copie hors ligne de la semaine précédente, l’entreprise perdait quelques jours de saisie au lieu de tout.

5. Quelqu’un qui regarde les signaux

Pendant une semaine, un compte de commerciale s’est connecté la nuit, depuis l’étranger, et le compte administrateur a parcouru tous les dossiers. Ces signaux étaient visibles dans les journaux du VPN et du serveur, que personne ne lisait. Une alerte simple sur les connexions inhabituelles, transmise au prestataire, aurait pu interrompre l’attaque plusieurs jours avant le chiffrement.

Les premières heures : ce qui aide et ce qui aggrave

Le lundi matin, deux réactions spontanées font souvent plus de mal que de bien : éteindre tous les ordinateurs, et chercher à payer vite pour redémarrer. Voici ce que recommandent Cybermalveillance.gouv.fr et l’ANSSI.

Le délai de 72 heures pour la plainte est inscrit à l’article L12-10-1 du Code des assurances depuis la loi du 24 janvier 2023 : sans plainte dans ce délai, l’assureur peut refuser d’indemniser les pertes liées à l’attaque. Pour l’aide technique, le service public 17Cyber oriente vers des prestataires de proximité. Le site No More Ransom recense des outils de déchiffrement gratuits pour certaines familles de rançongiciels.

Payer ne règle pas grand-chose : rien ne garantit la remise d’une clé fonctionnelle, ni la suppression des données copiées. Dans le rapport 2026 de Verizon, 69 % des victimes de rançongiciel de l’échantillon n’ont pas payé.

Il reste enfin la communication. Les clients et les fournisseurs doivent apprendre l’incident par l’entreprise, avec une consigne claire : toute demande de changement de RIB reçue dans les semaines suivantes est à vérifier par téléphone. Selon Cybermalveillance.gouv.fr, les données dérobées permettent aux escrocs de mieux cibler leurs victimes et de rendre leurs demandes plus crédibles, fraude au virement comprise.

Ce que le scénario enseigne

• Aucune étape ne demandait un attaquant de génie. Un mot de passe réutilisé, un VPN sans second facteur, un fichier de mots de passe, des sauvegardes joignables. Chaque maillon se corrige sans budget lourd.
• L’erreur de départ est humaine, l’ampleur des dégâts est organisationnelle. La commerciale a commis une faute banale. C’est l’absence de second facteur et le compte administrateur partagé qui ont transformé un mot de passe volé en arrêt d’activité.
• La sauvegarde se juge le jour de la restauration. Tant qu’elle n’a pas été testée depuis une copie hors ligne, on ne sait pas si elle protège.

Exercice : rejouez ce cas chez vous

Réunissez pendant une heure la direction, la personne qui gère l’informatique et la comptabilité. Lisez le scénario à voix haute, puis répondez par écrit pour votre entreprise :

1. Nos accès à distance (VPN, bureau à distance, messagerie en ligne) demandent-ils tous un second facteur ?
2. Existe-t-il quelque part un fichier, un carnet ou un post-it avec des mots de passe d’administration ?
3. Nos sauvegardes sont-elles joignables depuis le réseau ? Quand avons-nous restauré un dossier pour la dernière fois depuis une copie hors ligne ?
4. Qui est prévenu si un compte se connecte la nuit depuis un pays inhabituel ?
5. Lundi, 7 h 50 : qui appelle qui ? Où est la fiche réflexe ? Qui porte plainte, qui prévient l’assureur ?

Chaque « je ne sais pas » devient une action, avec un nom et une date. Cet exercice sur table fait partie de la formation Intégrer la cybersécurité dans son entreprise, qui travaille l’identification des vulnérabilités, la protection des données et des accès, les sauvegardes et la sensibilisation des équipes, avec des exercices pratiques.

Formations liées à cet article

• Intégrer la cybersécurité dans son entreprise (14 h, présentiel ou distanciel)
• Gestion de l’outil informatique (14 h, présentiel ou distanciel)