Un lundi matin, un dirigeant de PME arrive au bureau et découvre que plus rien ne fonctionne. Les fichiers de la comptabilité portent une extension inconnue, un fichier texte réclame une rançon en cryptomonnaie, et le standard téléphonique lui-même est hors service. L'attaque n'a pas commencé ce matin-là : elle mûrissait depuis plusieurs jours, parfois plusieurs semaines, sans que personne ne remarque quoi que ce soit.
Le rançongiciel — ou ransomware — n'est pas un accident technique. C'est une opération méthodique, souvent menée par des groupes organisés qui savent estimer combien une entreprise peut payer et combien de temps elle peut tenir sans ses systèmes. Les PME et ETI françaises sont devenues des cibles de choix, non pas malgré leur taille, mais à cause d'elle : assez de trésorerie pour payer, rarement une équipe de sécurité dédiée pour se défendre.
Comprendre le déroulé d'une attaque n'est pas un exercice théorique. C'est ce qui permet de placer les bonnes défenses aux bons endroits, et de savoir quoi faire dans les premières heures d'un incident — celles qui décident souvent de l'ampleur des dégâts.
Le déroulé d'une attaque, étape par étape
La plupart des attaques par rançongiciel suivent une trajectoire remarquablement stable. Les connaître, c'est identifier les moments où l'on peut encore les stopper.
- Accès initial. L'attaquant entre rarement par la grande porte. Il exploite un e-mail de phishing bien tourné, un identifiant volé réutilisé, un service d'accès distant (VPN, RDP) exposé sur Internet, ou une faille non corrigée sur un serveur public. C'est le point d'entrée le plus facile à fermer — et le plus souvent négligé.
- Reconnaissance. Une fois à l'intérieur, il observe. Il cartographie le réseau, repère l'annuaire Active Directory, les serveurs de fichiers, les sauvegardes. Cette phase discrète peut durer des jours.
- Élévation de privilèges. L'objectif est d'obtenir des droits d'administrateur pour se déplacer librement. Un mot de passe faible ou réutilisé suffit souvent.
- Exfiltration. Avant de chiffrer quoi que ce soit, l'attaquant copie les données sensibles — contrats, données clients, paie, propriété intellectuelle. C'est le levier de la double extorsion.
- Chiffrement. Le rançongiciel se déclenche, souvent la nuit ou un week-end, quand personne ne surveille. En quelques heures, fichiers, serveurs et parfois sauvegardes connectées deviennent inutilisables.
- Extorsion. La demande de rançon arrive, assortie d'une double menace : payer pour récupérer une clé de déchiffrement, et payer encore pour éviter la publication des données volées.
Pourquoi les PME sont des cibles prioritaires
Il existe une idée reçue tenace : « nous sommes trop petits pour intéresser qui que ce soit ». C'est l'inverse. Les groupes de rançongiciel fonctionnent à l'échelle industrielle et scannent en permanence Internet à la recherche de cibles faciles. Une PME cumule souvent les facteurs de risque : pas de RSSI à temps plein, un parc informatique hétérogène, des correctifs appliqués en retard, et une trésorerie suffisante pour qu'une rançon paraisse « raisonnable » face à l'arrêt total de l'activité.
S'ajoute un effet de chaîne : une PME sous-traitante peut être visée pour atteindre, de proche en proche, un client plus gros. La sécurité n'est plus une affaire de taille, mais de maillon.
La double extorsion, pourquoi les sauvegardes ne suffisent plus
Pendant longtemps, une bonne sauvegarde suffisait à dire non. Les attaquants l'ont compris. Aujourd'hui, ils volent les données avant de les chiffrer : même avec des sauvegardes parfaites, la menace de publication des données clients ou des contrats reste entière. Restaurer les systèmes ne fait pas disparaître les fichiers déjà partis. C'est pourquoi la prévention — réduire ce qui est exposé et exploitable — compte autant que la capacité à restaurer.
Détecter et réagir : les premières heures comptent
Aucune défense n'est parfaite. Ce qui distingue un incident maîtrisé d'une catastrophe, c'est la vitesse de réaction. La détection repose sur des signaux faibles : connexions inhabituelles, pics de trafic sortant, comptes créés hors procédure, alertes antivirus ignorées. Encore faut-il que quelqu'un les regarde. En cas d'attaque avérée, quelques réflexes changent tout :
- Isoler, pas éteindre. Débranchez du réseau les machines touchées pour stopper la propagation, mais évitez de les éteindre brutalement : vous perdriez des preuves utiles à l'analyse.
- Ne pas payer à l'aveugle. Payer ne garantit ni la récupération des données, ni leur non-publication, et finance directement l'attaquant. C'est une décision de dernier recours, jamais un réflexe.
- Notifier. En France, une violation de données personnelles se notifie à la CNIL sous 72 heures ; un signalement à l'ANSSI et un dépôt de plainte doivent suivre. Certaines entités sont aussi concernées par les obligations de déclaration de NIS2.
Comment Sedona peut aider
La plupart des attaques commencent par une porte laissée ouverte sur Internet. C'est précisément ce que Sedona Radar met en lumière : il cartographie votre surface d'attaque externe — ports et services exposés, configuration DNS et messagerie (SPF, DKIM, DMARC), certificats TLS, sous-domaines oubliés, vulnérabilités connues — et vous restitue un score de conformité indicatif au regard de plusieurs référentiels. Ce n'est pas une certification, mais une photographie honnête de ce qu'un attaquant voit avant vous. Pour aller plus loin, un audit de surface manuel ou une simulation de phishing contrôlée — menée avec votre accord écrit — éprouvent vos points faibles réels, tandis qu'une formation de sensibilisation dispensée via notre partenaire certifié Qualiopi arme vos équipes contre l'accès initial. Testez gratuitement votre exposition avec le plan Découverte de Sedona Radar, ou parlez-en à un expert.
