Un ransomware, ou rançongiciel en français, est un logiciel malveillant qui prend vos données en otage. La ransomware def officielle donnée par la Cybersecurity and Infrastructure Security Agency (CISA) est claire : il s’agit d’un programme qui chiffre les fichiers d’un utilisateur ou d’une organisation, puis exige le paiement d’une rançon pour les déverrouiller. Derrière cette définition technique se cache une réalité brutale : des entreprises paralysées, des hôpitaux hors service, des particuliers qui perdent leurs photos de famille en quelques secondes. Depuis 2020, les attaques ont explosé. Le coût moyen d’une attaque par ransomware atteignait 4,4 millions de dollars en 2021, et 62% des entreprises dans le monde ont été touchées au moins une fois. Comprendre le mécanisme de ces attaques, c’est se donner les moyens de s’en protéger.
Comment fonctionne concrètement un ransomware
Un ransomware ne surgit pas de nulle part. Son déploiement suit une logique précise, presque chirurgicale, que les cybercriminels ont perfectionnée au fil des années. La première phase est l’infection initiale : le logiciel malveillant doit d’abord entrer dans le système. Le vecteur le plus courant reste le phishing, cette technique de manipulation qui pousse un utilisateur à cliquer sur un lien frauduleux ou à ouvrir une pièce jointe piégée. Un email qui imite parfaitement votre banque, un document Word envoyé par un prétendu collègue : l’entrée se fait presque toujours par l’humain.
Une fois installé, le ransomware passe à la phase de reconnaissance. Il cartographie les fichiers disponibles sur le réseau, identifie les sauvegardes accessibles et parfois s’étend latéralement à d’autres machines connectées. Cette phase peut durer des jours, voire des semaines, à l’insu de la victime. Les variantes les plus sophistiquées désactivent les antivirus avant de passer à l’étape suivante.
Vient ensuite le chiffrement des données. En quelques minutes, des milliers de fichiers deviennent inaccessibles. Le ransomware utilise des algorithmes de chiffrement asymétrique — RSA ou AES — dont seul l’attaquant détient la clé privée. Chaque fichier reçoit une extension modifiée, souvent aléatoire, et une note de rançon apparaît sur l’écran. Cette note indique le montant demandé, généralement en cryptomonnaie (Bitcoin ou Monero), et un délai avant destruction définitive de la clé.
Certains ransomwares modernes pratiquent aussi la double extorsion : en plus de chiffrer les données, ils les exfiltrent et menacent de les publier si la rançon n’est pas payée. Cette évolution, popularisée à partir de 2019, rend le simple fait de restaurer ses sauvegardes insuffisant pour se sortir de la situation. Le groupe Maze a été le premier à généraliser cette pratique, ouvrant la voie à des dizaines d’imitateurs.
Les attaques qui ont marqué l’histoire récente
Parler de ransomware sans évoquer WannaCry serait passer à côté de l’attaque qui a changé la perception mondiale de cette menace. En mai 2017, ce ransomware a infecté plus de 200 000 machines dans 150 pays en l’espace de quelques heures. Il exploitait une faille Windows baptisée EternalBlue, initialement découverte par la NSA. Le National Health Service britannique a été particulièrement touché : des opérations annulées, des patients redirigés vers d’autres hôpitaux, un chaos médical inédit. Le FBI a attribué l’attaque à la Corée du Nord.
Deux mois plus tard, NotPetya frappait avec une violence encore supérieure. Initialement déployé contre des cibles ukrainiennes, il s’est propagé à une vitesse stupéfiante dans les réseaux d’entreprises multinationales. Maersk, le géant du transport maritime, a perdu l’équivalent de 300 millions de dollars. Merck, le laboratoire pharmaceutique, a subi des pertes similaires. NotPetya n’était techniquement pas un ransomware classique : son but n’était pas de récupérer de l’argent, mais de détruire. Les experts de Symantec et McAfee ont rapidement établi que le paiement de la rançon n’aurait de toute façon rien déchiffré.
Plus récemment, l’attaque contre Colonial Pipeline en mai 2021 a paralysé le principal oléoduc de la côte Est américaine pendant plusieurs jours. La direction a payé 4,4 millions de dollars au groupe DarkSide. Le FBI a réussi à récupérer une partie de la rançon, mais l’incident a démontré que les infrastructures critiques restaient des cibles de choix. Cette même année, le système de santé irlandais (HSE) a été mis à genoux par le groupe Conti, avec des conséquences sur les soins aux patients pendant des semaines.
Ces exemples illustrent une réalité : aucun secteur n’est épargné. Hôpitaux, collectivités locales, PME, multinationales — la taille de la cible importe moins que sa vulnérabilité.
Les meilleures pratiques pour ne pas devenir une victime
La bonne nouvelle, c’est qu’une grande partie des attaques par ransomware peut être évitée avec des mesures de sécurité accessibles. Les attaquants recherchent avant tout les cibles faciles. Rendre son système suffisamment résistant suffit souvent à les décourager.
La mise à jour régulière des systèmes reste la défense la plus efficace. WannaCry a exploité une faille pour laquelle Microsoft avait publié un correctif deux mois avant l’attaque. Des milliers d’organisations n’avaient simplement pas appliqué la mise à jour. Les sauvegardes hors ligne constituent le second pilier : une sauvegarde déconnectée du réseau principal ne peut pas être chiffrée par un ransomware. La règle du 3-2-1 (trois copies, sur deux supports différents, dont une hors site) reste la référence.
- Mettre à jour tous les logiciels et systèmes d’exploitation sans délai
- Former les collaborateurs à reconnaître les tentatives de phishing
- Activer l’authentification à deux facteurs sur tous les comptes sensibles
- Segmenter le réseau pour limiter la propagation latérale
- Tester régulièrement les sauvegardes pour s’assurer qu’elles sont restaurables
- Déployer un EDR (Endpoint Detection and Response) plutôt qu’un simple antivirus
- Restreindre les droits d’administration au strict nécessaire
La formation des équipes mérite une attention particulière. Plus de 90% des ransomwares entrent par un clic humain. Un collaborateur capable d’identifier un email de phishing vaut mieux que n’importe quel pare-feu. Des exercices de simulation d’attaque, proposés par des sociétés spécialisées, permettent de tester la vigilance des équipes dans des conditions réelles.
Que faire dans les premières heures après une attaque
Quand le message de rançon s’affiche, la panique est compréhensible. Pourtant, les premières décisions prises dans les heures qui suivent déterminent souvent l’ampleur des dégâts. La première action : isoler immédiatement les machines infectées du réseau. Débrancher les câbles réseau, désactiver le Wi-Fi, déconnecter les partages réseau. Chaque seconde compte pour limiter la propagation.
Il ne faut surtout pas éteindre les machines infectées. Certaines clés de déchiffrement restent en mémoire vive et peuvent être récupérées par des spécialistes en forensique numérique. Éteindre le système revient à détruire cette chance. Conserver les preuves, documenter ce qui s’est passé, noter l’heure de découverte : ces informations seront précieuses pour l’enquête.
Contacter les autorités compétentes est une étape que beaucoup d’entreprises évitent par crainte de la réputation. C’est une erreur. En France, l’ANSSI (Agence nationale de la sécurité des systèmes d’information) dispose d’une équipe d’intervention. Le FBI et Europol ont des unités dédiées aux ransomwares et disposent parfois de clés de déchiffrement obtenues lors de démantèlements de groupes criminels. Le site No More Ransom, soutenu par Europol, propose gratuitement des outils de déchiffrement pour certaines variantes.
Sur la question du paiement de la rançon : 1 entreprise sur 5 finit par payer. Le FBI déconseille officiellement cette option, car elle finance les attaquants et ne garantit pas la récupération des données. Des études montrent que près d’un tiers des entreprises ayant payé n’ont jamais reçu de clé fonctionnelle. Si la décision de payer est envisagée, elle doit impliquer des experts en négociation de rançon et un conseil juridique, notamment pour vérifier que le groupe destinataire ne figure pas sur les listes de sanctions internationales — auquel cas le paiement serait lui-même illégal.
Restaurer les systèmes depuis des sauvegardes propres reste la voie la plus sûre. Avant toute restauration, identifier le vecteur d’entrée initial est indispensable : remettre en ligne un système sans avoir colmaté la brèche revient à rebâtir une maison sur des fondations fissurées.