Les réflexes à adopter contre les ransomwares pour protéger vos données

Les réflexes à adopter contre les ransomwares : ce que je fais vraiment quand un fichier se met à hurler

Un fichier qui s'ouvre sur un message en anglais vous demandant 0,05 bitcoin pour récupérer vos photos. Il est 7h12, vous n'avez rien sauvegardé depuis trois semaines, et votre première réaction va déterminer si vous perdez une journée ou six mois d'archives. J'ai vu les deux cas. Le second, chez un client qui avait continué à travailler « le temps de comprendre ».

Cette page ne va pas vous réciter la définition du rançongiciel pour la dixième fois. Elle va vous donner les gestes dans le bon ordre, avec ce qui compte vraiment selon votre situation, et ce que la plupart des guides oublient de dire.

Qu'est-ce qu'un ransomware, vraiment ?

Un rançongiciel, c'est un programme qui chiffre vos fichiers et vous vend la clé. Techniquement, rien de sorcier. Le chiffrement à clé publique est une brique logicielle disponible depuis des décennies. La partie qui a changé, c'est la logistique autour.

Le modèle économique derrière l'outil

Ce que beaucoup de dirigeants découvrent trop tard : le logiciel n'est plus le produit. Le produit, c'est le service. Des groupes organisés louent leur code à d'autres qui l'exécutent, contre un pourcentage de la rançon. Ce modèle, on l'appelle la « rançongiciel en tant que service » et il explique pourquoi le nombre d'attaquants a explosé sans que le niveau technique moyen augmente. N'importe qui avec un budget et un peu de patience peut lancer une campagne.

Conséquence concrète : votre adversaire n'est pas toujours un génie de l'informatique. C'est parfois un intermédiaire pressé qui a acheté un kit et qui attaque tout ce qui bouge. Ce qui change tout pour vos réflexes.

Les familles les plus connues, sans mythologie

Vous croiserez des noms dans la presse spécialisée : LockBit, Clop, BlackCat/ALPHV, Medusa. Ces groupes ont défrayé la chronique ces dernières années, et certains ont été démantelés ou ont disparu après des coups de filet policiers internationaux. Le détail des noms importe peu au quotidien. Ce qui compte, c'est le mode opératoire : accès initial (phishing, faille non corrigée, accès VPN volé), reconnaissance, exfiltration, puis chiffrement. Comptez souvent plusieurs jours entre l'entrée et le déclenchement. Parfois des semaines. Cette fenêtre est votre seule chance.

Et c'est précisément cette fenêtre que la majorité des PME ratent, non par négligence mais parce que personne ne regarde.

Comment se protéger : les réflexes qui font vraiment baisser le risque

Je vais être franc : 90 % des protections efficaces tiennent à cinq gestes qui coûtent peu ou rien. Le reste, c'est du confort.

La règle 3-2-1, mais appliquée pour de vrai

Trois copies de vos données, sur deux supports différents, dont une hors ligne ou déconnectée. Le « hors ligne » est la partie que tout le monde saute. Un NAS branché en permanence sur le réseau n'est pas une sauvegarde, c'est une cible. J'ai vu un cabinet perdre ses deux NAS en dix minutes parce qu'ils partageaient le même compte administrateur.

Le test qui change tout : restaurez un dossier au hasard, depuis la copie froide, un vendredi après-midi. Si ça prend plus de trente minutes, votre procédure n'est pas prête. Si personne dans l'équipe ne sait la faire sans vous, elle n'existe pas.

Le MFA partout, même là où c'est pénible

Le mot de passe seul ne protège plus grand-chose. L'authentification multifacteur, en revanche, bloque à elle seule une grande partie des accès initiaux. La friction est réelle : vos équipes vont râler. Elles râleront moins longtemps que si vous devez réinstaller douze postes.

Priorité absolue : les accès distants (VPN, RDP, portails d'administration). Ce sont les portes d'entrée favorites. Un RDP exposé sur Internet sans MFA, c'est une invitation.

Le patch management, sans illusion mais sans excuse

Les failles exploitées lors des grandes vagues sont presque toujours des failles déjà corrigées depuis des semaines, parfois des mois. Le travail n'est pas de courir après chaque CVE publiée. C'est d'avoir un rythme : les correctifs critiques sous quelques jours, le reste au fil de l'eau. Un calendrier tenu vaut mieux qu'un outil sophistiqué mal utilisé.

La sensibilisation : utile, mais pas magique

Oui, former les équipes au repérage du phishing est utile. Non, ça ne suffira pas. La campagne d'hameçonnage bien faite trompe même les gens avertis un jour de fatigue. Considérez la formation comme une couche parmi d'autres, jamais comme le rempart principal. Et arrêtez les exercices punitifs : un collaborateur qui a cliqué doit pouvoir le dire sans craindre des représailles. C'est cette remontée rapide qui sauve.

Que faire en cas de ransomware : la séquence, minute par minute

Vous découvrez qu'un serveur est en train de chiffrer. La première minute est la plus importante de toute l'affaire.

Les premières actions immédiates

1. Débranchez le câble réseau. Physique, sans discussion. Le Wi-Fi aussi, si c'est le vecteur.
2. Ne pas éteindre la machine. Contre-intuitif, mais l'extinction efface la mémoire vive où peuvent dormir des clés ou des processus.
3. Ne pas chercher à négocier seul. Vous n'êtes pas en position de force, et vous perdez du temps précieux.
4. Isolez les autres machines par précaution : le chiffrement peut continuer à se propager via des partages réseau.
5. Notez l'heure exacte du constat. Cela servira pour la plainte et pour la notification.

Les heures qui suivent : qui prévenir, dans quel ordre

Primo, votre prestataire informatique ou votre responsable SI. S'il n'y en a pas, un expert externe. Ensuite, selon le contexte :

• Pour une entreprise : dépôt de plainte (gendarmerie ou police), et signalement à l'ANSSI via la plateforme dédiée. Si des données personnelles ont fuité, la notification à la CNIL doit intervenir dans les 72 heures — c'est une obligation RGPD, pas une option.
• Pour un particulier : plainte en ligne possible, signalement sur la plateforme gouvernementale de lutte contre la cybermalveillance, et contact de votre banque si des coordonnées bancaires circulent.
• Pour une collectivité : le même circuit que l'entreprise, avec en plus une remontée vers la préfecture selon les cas.

Une chose que peu de guides disent : la notification CNIL sous 72 h court à partir du moment où vous avez connaissance de la violation, pas à partir du moment où vous avez fini votre analyse. Si vous êtes encore en train de comprendre ce qui s'est passé au bout de trois jours, vous êtes déjà hors délai. Anticipez le modèle de courrier à l'avance.

Faut-il payer la rançon ?

Mon avis est tranché : non, sauf cas absolument extrême où des vies sont en jeu, ce qui ne concerne pas 99,9 % des situations. Trois raisons.

Vous financez un écosystème qui, à son tour, attaquera d'autres. Vous n'avez aucune garantie de récupération : plusieurs groupes ont pris l'argent et disparu, ou ont exigé un second paiement. Et vous entrez dans une catégorie de cibles « qui paient », ce qui augmente la probabilité d'une seconde attaque.

Le paiement est aussi, dans certains contextes, juridiquement risqué — le financement du terrorisme étant un angle que les autorités prennent au sérieux. Bref, ce n'est presque jamais la bonne sortie.

Particuliers, entreprises, collectivités : les réflexes ne sont pas les mêmes

Contexte	Priorité n°1	Spécificité
Particulier	Sauvegarde externe + MFA sur la messagerie	Dépôt de plainte simplifié, pas d'obligation CNIL
TPE / PME	Sauvegarde hors ligne + MFA sur les accès distants	Plainte et signalement ANSSI, 72 h pour la CNIL
Grande entreprise	Détection et réponse (EDR) + plan de crise écrit	Cellule de crise, communication externe, assureur cyber
Collectivité	Segmentation réseau + sauvegarde déconnectée	Notification hiérarchique et préfecture, continuité de service public

La colonne qui compte le plus dans ce tableau, c'est la deuxième. Le reste dépend de votre taille, mais la sauvegarde hors ligne et le MFA sont universels. Un particulier qui sauvegarde ses photos sur un disque externe débranché après chaque copie a déjà réglé 80 % de son problème.

Ce qu'on oublie toujours de préparer

Un plan de réponse qui n'a jamais été relu en dehors d'une réunion ne tiendra pas au premier vrai incident. Je l'ai vérifié à mes dépens il y a quelques années : un client avait un « plan » de quinze pages, personne ne savait qui appelait qui en premier. Le jour J, on a passé deux heures à chercher le numéro de l'assureur cyber.

Les éléments à préparer à froid, aujourd'hui, pas demain :

• La liste des personnes à joindre, avec numéros sur un support papier hors du réseau.
• Le contact de votre prestataire de réponse à incident, et le contrat signé.
• Un modèle de notification CNIL pré-rempli, à compléter le jour J.
• Les identifiants d'accès à vos sauvegardes, accessibles sans le système principal.

Cette dernière ligne est celle qu'on rate le plus souvent. Si vos identifiants de sauvegarde sont dans un coffre-fort de mots de passe hébergé sur le serveur qui vient d'être chiffré, vous avez un problème insoluble.

L'idée qui reste

Le vrai test d'une défense contre les ransomwares n'est pas dans la liste des outils installés. Il est dans une question plus gênante : le jour où un fichier se met à hurler à 7h12, savez-vous, sans réfléchir, quel câble débrancher et qui appeler en premier ? Si la réponse est non, le reste de votre dispositif n'est qu'une décoration.

La bonne nouvelle, c'est que cette réponse s'entraîne. Pas en réunion. En simulant, une fois par an, sur une machine de test, le scénario le plus désagréable. Vous verrez très vite ce qui manque. Et vous aurez bien plus de chances de ne jamais avoir à connaître la réponse en vrai.