Rançongiciels : comment l’extorsion fonctionne et comment s’y préparer

Pour beaucoup de dirigeants, un rançongiciel évoque un pirate isolé qui bloque un ordinateur. La réalité ressemble davantage à une filière organisée. Des groupes développent le logiciel et la plateforme de négociation, puis les louent à des « affiliés » qui mènent les intrusions et reversent une part des rançons. Ce modèle porte un nom : le rançongiciel en tant que service. Selon l’ANSSI, la franchise Qilin a revendiqué à elle seule plus de 700 victimes en 2025.

Comprendre comment cette filière travaille aide à savoir où mettre ses efforts. Cet article décrit le déroulé d’une attaque, ce qu’en disent les chiffres récents, et la préparation qui fait la différence le jour où tout s’arrête.

Ce que disent les chiffres récents

• En France, l’ANSSI a eu connaissance de 128 compromissions par rançongiciel en 2025, un nombre légèrement en baisse par rapport à 2024. Les PME, TPE et ETI restent la catégorie d’organisations la plus touchée.
• Chez Cybermalveillance.gouv.fr, les demandes d’assistance pour rançongiciel des entreprises et associations ont augmenté de 9 % en 2025. Le dispositif y voit une possible reprise du phénomène, et la décrit comme « la plus redoutable et la plus impactante pour une organisation ».
• Dans le monde, le rapport 2026 de Verizon sur les violations de données relève la présence d’un rançongiciel dans 48 % des violations analysées, contre 44 % un an plus tôt. Bonne nouvelle relative : 69 % des victimes de l’échantillon n’ont pas payé, et le montant médian payé a baissé, à environ 140 000 dollars.

Une tendance mérite l’attention : l’ANSSI observe une baisse de l’usage du chiffrement au profit du simple vol de données, utilisé ensuite pour faire chanter la victime. L’Agence a été informée de 196 incidents de vol de données, avec ou sans rançongiciel, en 2025, contre 130 en 2024. Pour une entreprise, cela veut dire que de bonnes sauvegardes ne suffisent plus à elles seules : il faut aussi limiter ce qu’un attaquant peut emporter.

Comment se déroule une attaque

1. L’entrée

Pour les professionnels, Cybermalveillance.gouv.fr indique que les rançongiciels résultent le plus souvent d’une intrusion rendue possible par une faille sur un accès externe ou un service exposé sur internet (bureau à distance, VPN, NAS), sur un équipement de bordure ou de sécurité (pare-feu, passerelle de filtrage), ou sur un logiciel de virtualisation. Les identifiants volés et l’ingénierie sociale complètent le tableau : l’ANSSI a observé en 2025 des attaquants qui se font passer pour le service informatique afin d’obtenir des accès, ou qui recourent à l’hameçonnage vocal.

2. L’installation

Une fois dans le réseau, l’attaquant cherche des comptes qui ont plus de droits, repère les serveurs importants et les sauvegardes. Cette phase peut durer plusieurs jours. C’est la fenêtre pendant laquelle une alerte sur une connexion inhabituelle permet encore d’arrêter l’attaque.

3. Le vol de données

Avant de chiffrer, les attaquants copient souvent des données sensibles : fichiers clients, comptabilité, dossiers du personnel. Elles serviront de moyen de pression.

4. Le chiffrement et l’extorsion

Les sauvegardes joignables sont effacées ou chiffrées, puis les serveurs et les postes. La demande de rançon arrive avec plusieurs menaces : ne jamais rendre l’accès aux données (première extorsion), publier les données volées (double extorsion), parfois s’en prendre aux clients ou partenaires de la victime, ou lancer une attaque par déni de service, pour accentuer la pression. L’ANSSI décrit ces pratiques de double voire triple extorsion chez les groupes qui visent les entreprises françaises, de la très petite à la taille intermédiaire.

La préparation qui permet de redémarrer

Fermer les portes d’entrée connues

• Aucun bureau à distance ouvert directement sur internet. Les accès distants passent par un VPN protégé par une authentification multifacteur.
• Les équipements exposés (pare-feu, VPN, NAS) sont mis à jour en priorité, avec un délai de correction des failles critiques convenu par écrit avec le prestataire.
• Les comptes d’administration sont séparés des comptes du quotidien, et leurs mots de passe ne traînent dans aucun fichier partagé.

Des sauvegardes que l’attaquant ne peut pas atteindre

Le guide de l’ANSSI sur la sauvegarde pose les règles de base :

• La règle 3-2-1 : trois copies des données (la production et deux sauvegardes), sur deux supports différents, dont une hors ligne, déconnectée de tout réseau. L’ANSSI juge cette copie hors ligne indispensable, même si elle est moins fréquente que les sauvegardes quotidiennes.
• Des comptes dédiés à la sauvegarde, nominatifs, distincts des autres comptes d’administration.
• Des tests réguliers, avec une procédure de restauration écrite et un ordre de redémarrage défini à l’avance.
• Un « bouton rouge » : en cas d’incident, la priorité est d’isoler l’infrastructure de sauvegarde du reste du réseau. Prévoyez comment, concrètement (débrancher un commutateur, lancer un script).

Certaines solutions proposent aussi un stockage « immuable », où une sauvegarde ne peut être ni modifiée ni supprimée pendant une durée fixée. C’est une protection utile en complément, à condition que le compte qui la paramètre soit lui-même bien protégé.

Connaître son temps de reprise

Une sauvegarde qui existe ne dit pas combien de temps il faudra pour redémarrer. Posez la question à la direction : combien de jours l’entreprise peut-elle tenir sans facturation, sans commandes, sans paie ? Puis mesurez, lors d’un test, le temps réel de restauration d’un serveur. L’écart entre les deux chiffres est votre vrai niveau de risque. L’ANSSI rappelle aussi de sauvegarder les supports d’installation et les configurations des applications, sans lesquels la restauration des seules données ne suffit pas à redémarrer.

Limiter ce qui peut être volé

Puisque le vol de données progresse, réduisez ce qu’un attaquant trouve : archivez hors ligne les dossiers anciens, supprimez les données personnelles que vous n’avez plus besoin de garder, restreignez l’accès aux dossiers RH et financiers aux seules personnes concernées.

Le jour de l’attaque

Les consignes de Cybermalveillance.gouv.fr et de l’ANSSI, à imprimer et à ranger hors des ordinateurs :

1. Couper les connexions internet du réseau touché et déconnecter les machines attaquées.
2. Ne pas éteindre les machines touchées : elles contiennent des traces utiles à l’enquête.
3. Isoler les sauvegardes qui n’ont pas été atteintes.
4. Ouvrir une main courante : chaque action, avec l’heure et la personne.
5. Ne pas payer la rançon. Chercher un outil de déchiffrement sur No More Ransom et demander de l’aide via 17Cyber.
6. Porter plainte et prévenir l’assureur. Depuis la loi du 24 janvier 2023, l’indemnisation par une assurance cyber est conditionnée à une plainte déposée dans les 72 heures suivant la découverte de l’attaque (article L12-10-1 du Code des assurances).
7. Si des données personnelles sont concernées, notifier la CNIL dans les 72 heures.
8. Prévenir clients et fournisseurs, avec une consigne : toute demande de changement de RIB dans les semaines qui suivent se vérifie par téléphone.

Pourquoi ne pas payer

L’ANSSI et Cybermalveillance.gouv.fr recommandent de ne pas payer. Les raisons sont pratiques : rien ne garantit que la clé de déchiffrement fonctionnera, ni que les données volées seront supprimées. Payer finance le groupe qui vous a attaqué et, comme le rappelle le projet No More Ransom, confirme aux criminels que leur méthode fonctionne. Les chiffres de Verizon montrent d’ailleurs qu’une majorité de victimes, 69 % de l’échantillon 2026, ne paie plus. Ce choix n’est tenable que si les sauvegardes permettent de redémarrer : c’est tout l’intérêt de la préparation.

Les erreurs fréquentes

• Une seule sauvegarde, sur un NAS branché au réseau, administrée avec le même compte que le reste.
• Des sauvegardes jamais restaurées. On découvre le jour J qu’un serveur manque, ou qu’il faut une semaine pour tout remettre en place.
• Un plan d’urgence stocké sur le serveur qui vient d’être chiffré.
• Réinstaller tout de suite sans comprendre par où l’attaquant est entré, et se faire attaquer à nouveau par la même porte.

L’exercice à faire ce mois-ci

Demandez à votre prestataire, ou à la personne qui gère l’informatique, de restaurer devant vous un dossier réel depuis la copie hors ligne. Chronométrez. Puis posez trois questions : notre bureau à distance est-il exposé sur internet ? Nos accès VPN ont-ils tous un second facteur ? Qui isole les sauvegardes si une attaque démarre un dimanche à 3 h ? Les réponses vous donneront une liste d’actions claire.

La formation Intégrer la cybersécurité dans son entreprise traite ces sujets sur 14 heures : types d’attaques et impacts, analyse des vulnérabilités, sécurisation des données par la sauvegarde et la gestion des accès, outils de protection et de détection, sensibilisation des équipes, avec des exercices pratiques.

Formations liées à cet article

• Intégrer la cybersécurité dans son entreprise (14 h, présentiel ou distanciel)
• Gestion de l’outil informatique (14 h, présentiel ou distanciel)