Rançongiciels : comprendre, protéger ses données, et réagir
Un rançongiciel chiffre vos fichiers et exige une rançon. La capacité de reprise dépend notamment d’une copie de vos données que l’attaquant n’a pas pu atteindre et dont la restauration a été testée. Une sauvegarde permet de répondre au chiffrement ; elle n’empêche pas la publication de données déjà volées.
01 Ce qu’est un rançongiciel, aujourd’hui
Un rançongiciel — ransomware, parfois appelé crypto-locker — est un programme qui chiffre les fichiers d’un système informatique et réclame un paiement pour fournir la clé de déchiffrement. Son objectif n’est pas de détruire mais d’empêcher toute reprise d’activité jusqu’au versement de la rançon, généralement demandée en cryptomonnaie.
Le modèle a évolué et il faut le savoir, parce que cela change la stratégie de défense. Les attaques actuelles pratiquent la double extorsion : les données sont copiées avant d’être chiffrées, et leur publication est menacée en cas de refus. Certaines vont jusqu’à la triple extorsion — contact direct de vos clients, de vos partenaires ou de la presse, et parfois attaque en déni de service en parallèle.
La conséquence pratique est importante. Une sauvegarde parfaite vous permet de redémarrer sans payer, mais elle ne vous protège pas de la publication des données volées. La sauvegarde répond au chiffrement ; seule la prévention répond à l’exfiltration.
02 Comment ils entrent
Presque jamais par une prouesse technique.
La plupart des attaques qui touchent les PME sont opportunistes : un balayage automatique trouve une porte mal fermée, et la suite se déroule sans qu’un humain ait choisi votre entreprise.
03 Protéger les données avant qu’il ne soit trop tard
C’est la partie décisive, et celle qu’on traite en dernier.
La question à laquelle il faut pouvoir répondre avant l’incident est simple : si tout ce qui est branché sur votre réseau était chiffré ce soir, que resterait-il ? Dans les cas que nous rencontrons, la réponse est trop souvent « rien » — parce que le disque de sauvegarde était connecté en permanence, ou le partage réseau accessible depuis un poste.
| Ce que vous avez | Ce qu’il en reste après un chiffrement |
|---|---|
| Un disque externe branché en permanence | rien |
| Un partage réseau accessible depuis les postes | rien |
| Une synchronisation vers un espace en ligne grand public | rien — la suppression et le chiffrement se propagent |
| Une copie hors site, hors ligne ou non modifiable | tout |
Une copie immuable — que personne ne peut ni modifier ni effacer pendant sa durée de rétention, même avec des droits d’administration — est ce qui transforme une attaque réussie en incident d’exploitation. Encore faut-il que sa rétention couvre le délai de découverte : un rançongiciel reste souvent en sommeil plusieurs semaines avant de se déclencher, et une rétention de trois jours ne sert alors à rien.
Enfin, une copie dont personne n’a jamais restauré le contenu est une hypothèse. C’est le seul test qui compte, et c’est celui qu’on ne fait pas. Le raisonnement complet — quoi sauvegarder, à quelle fréquence, avec quelle rétention — est détaillé dans le guide stratégie de sauvegarde pour une PME.
04 Ce qui empêche l’attaque d’aboutir
Par ordre de rapport entre l’effort et le risque évité.
05 Réagir : les gestes des premières heures
Trois réflexes sauvent des situations, et deux erreurs les aggravent.
N’éteignez pas la machine : une partie des éléments d’analyse — et parfois des clés — ne survit pas à l’extinction. Ne payez pas la rançon : le paiement ne garantit ni la clé, ni l’absence de publication des données volées, et il finance l’attaque suivante.
La conduite complète — l’ordre des opérations, les obligations légales de notification et leurs délais, qui prévenir et dans quel ordre — est détaillée dans notre guide que faire après une cyberattaque.
06 Sources et méthode
Cet article résulte de la fusion de deux publications 8TECH qui traitaient le même sujet sous deux angles — la menace et la protection des données. Les descriptions de vecteurs et de modes opératoires s’appuient sur les publications de référence en matière de cybersécurité des entreprises (sources datées en fin d’article). Les constats de terrain proviennent des incidents et des audits traités par 8TECH (1er semestre 2026, ensemble des clients).
8TECH est labellisée ExpertCyber. Où le vérifier · Signalez-nous toute inexactitude à contact@8tech.fr.
Si tout était chiffré ce soir, que resterait-il ?
Le diagnostic gratuit répond à cette question : ce qui est sauvegardé, où se trouve la copie hors site, si elle est hors d’atteinte, et quand elle a été restaurée pour la dernière fois.
Sources et références
Ce que cet article affirme et qui ne vient pas de notre pratique vient d'ici. Chaque référence porte son éditeur et sa date.
Relier le sujet à votre entreprise.
Un article donne des repères généraux. Pour décider quoi faire sur votre parc, nous partons de vos outils, de vos contraintes et de vos priorités.
Faire auditer ma sécurité