Des fichiers deviennent soudainement inaccessibles, plusieurs postes affichent une demande de rançon ou la messagerie ne répond plus. Ces signes peuvent révéler une attaque par rançongiciel, aussi appelé ransomware. Ce type d’incident peut bloquer des équipements, chiffrer des fichiers et s’accompagner d’un vol de données utilisé comme moyen de pression.
Pour une PME, les conséquences dépassent la panne : dossiers indisponibles, facturation interrompue et applications métier inutilisables. La protection contre les rançongiciels associe systèmes à jour, accès maîtrisés, surveillance des alertes et sauvegardes exploitables.
Dans le cadre de la maintenance informatique pour les entreprises, MIAP Informatique accompagne les TPE et PME dans la prévention des incidents et la préparation de la reprise, selon le périmètre technique retenu.
Comment fonctionne un ransomware ?
Une attaque par rançongiciel consiste à compromettre un poste, un serveur ou une partie du système d’information pour rendre des données inaccessibles. Les attaquants peuvent aussi exfiltrer des fichiers avant le chiffrement, puis menacer de les divulguer si la rançon n’est pas payée.
L’incident peut toucher la messagerie, les dossiers partagés, la comptabilité, les sauvegardes ou un logiciel métier. La détection d’un poste infecté ne signifie pas nécessairement que tout le réseau est compromis, mais cet équipement doit être isolé immédiatement et l’étendue de l’attaque vérifiée.
En 2025, les rançongiciels ont représenté 8,1 % des demandes d’assistance enregistrées pour les entreprises et associations sur Cybermalveillance.gouv.fr, avec un volume en hausse de 9 %. La fiche officielle consacrée aux rançongiciels recommande notamment de couper les connexions du réseau attaqué, d’alerter immédiatement le service informatique et de ne pas payer la rançon.
Comment un rançongiciel entre-t-il dans une PME ?
Les attaquants peuvent exploiter une faille non corrigée, un accès distant insuffisamment protégé ou un compte compromis. Une pièce jointe piégée, un lien frauduleux ou un logiciel d’origine douteuse peut également servir de point d’entrée.
L’hameçonnage, ou phishing, cherche à pousser un collaborateur à transmettre ses identifiants, à ouvrir un document malveillant ou à valider une demande inhabituelle. Les attaquants cherchent ensuite à atteindre les serveurs et les sauvegardes.
Les services accessibles depuis Internet, comme un VPN, un outil de télémaintenance ou une interface d’administration, doivent être identifiés, mis à jour et protégés par une authentification renforcée.
Comment protéger une PME contre les rançongiciels ?
La cybersécurité d’une PME ne dépend pas d’un outil unique. Un antivirus ne compense pas un serveur obsolète, des droits d’accès excessifs ou des sauvegardes impossibles à restaurer.
Maintenir le parc informatique à jour
Les mises à jour corrigent des vulnérabilités connues dans les systèmes, les logiciels métier, les serveurs et les équipements réseau. Leur déploiement doit être suivi afin qu’aucun poste oublié ou aucune application ancienne ne restent exposés.
Un inventaire fiable des postes, comptes et logiciels est donc indispensable. Les équipements sans correctifs doivent être remplacés ou isolés.
Dans le cadre de son infogérance informatique, MIAP suit les mises à jour, les alertes et la disponibilité du parc. La supervision aide à repérer certaines anomalies et à réduire leur impact.
Associer antivirus, EDR et pare-feu
Un antivirus professionnel bloque de nombreux logiciels malveillants. Un EDR professionnel apporte davantage de visibilité sur l’activité des postes et des serveurs.
Le pare-feu d’entreprise filtre les flux entrants et sortants selon des règles définies. Des outils de détection et de prévention des intrusions peuvent compléter le dispositif.
Ces protections doivent être correctement configurées, mises à jour et reliées à une procédure de traitement des alertes. Une notification ignorée ou mal qualifiée réduit considérablement leur efficacité.
Sécuriser les comptes et les accès distants
Les mots de passe doivent être uniques, suffisamment longs et conservés dans un gestionnaire sécurisé. La double authentification limite le risque qu’un identifiant volé suffise à ouvrir un compte.
Les droits d’administration doivent être limités. Les comptes inutilisés doivent être désactivés et les accès révisés lors des arrivées et départs.
Pour les connexions à distance, un VPN professionnel correctement configuré et une authentification renforcée réduisent l’exposition. Les accès de télémaintenance nécessitent la même vigilance.
Sensibiliser les collaborateurs sans dramatiser
Les utilisateurs doivent savoir reconnaître un expéditeur inhabituel, une demande urgente, une fausse facture ou une page de connexion suspecte. Tout message douteux doit être signalé au support avant de cliquer sur un lien, d’ouvrir une pièce jointe ou de transmettre des informations.
Une sensibilisation régulière entretient ces réflexes. Ces différentes mesures correspondent aux principales recommandations de prévention publiées pour les organisations exposées aux rançongiciels.
Prévoir des sauvegardes séparées et restaurables
Une sauvegarde 3-2-1 consiste à conserver trois exemplaires au total, dont les données de production, sur deux types de supports, avec au moins une copie hors site. Pour les données critiques, une copie hors ligne ou immuable réduit le risque que les sauvegardes soient chiffrées avec les fichiers principaux.
La fréquence dépend de la perte de données acceptable. Une sauvegarde quotidienne peut convenir à certains documents, mais être insuffisante pour une base mise à jour plusieurs fois par heure.
Les sauvegardes doivent surtout être régulièrement testées. Une tâche réussie ne garantit pas que les données pourront être restaurées dans les délais. Les solutions de sauvegarde de MIAP peuvent couvrir les fichiers et environnements professionnels selon l’infrastructure.
La gestion de messagerie professionnelle proposée par MIAP inclut la possibilité de mettre en place une sauvegarde quotidienne des e-mails, disponible en option. Cette sauvegarde permet de restaurer les messages en cas de besoin ou d’incident.
Que faire dans les premières minutes d’une attaque ?
Les premières actions doivent limiter la propagation du rançongiciel, protéger les sauvegardes et préserver les informations utiles à l’investigation.
Isoler les équipements touchés
Déconnectez les postes concernés du réseau en retirant le câble Ethernet ou en désactivant le Wi-Fi. Coupez aussi l’accès à Internet du réseau attaqué si nécessaire.
Protégez sans délai les serveurs et supports de sauvegarde encore accessibles. Ne lancez pas de restauration tant que l’analyse n’a pas identifié une copie antérieure à la compromission et considérée comme saine.
Alertez immédiatement votre prestataire informatique. Évitez de redémarrer ou d’éteindre les machines sans consigne : selon l’état d’avancement du chiffrement, une extinction peut limiter les dommages, mais aussi faire disparaître des informations utiles à l’analyse.
Préserver les traces et coordonner la réponse
Conservez le message de rançon, les captures d’écran, les horaires constatés, les journaux disponibles et la liste des équipements touchés. Consignez chaque action réalisée, son heure et la personne qui l’a effectuée.
La direction coordonne les échanges avec le prestataire, l’assureur, le conseil juridique et, si nécessaire, les autorités. Si la messagerie est compromise, un canal de communication alternatif doit être utilisé.
Le service public 17Cyber peut accompagner l’entreprise dans l’identification de l’incident et les premières démarches. Il ne remplace pas l’intervention technique.
Faut-il payer la rançon ?
Il est recommandé de ne pas payer la rançon. Rien ne garantit que les cybercriminels fourniront une clé fonctionnelle, supprimeront les données copiées ou ne formuleront pas une nouvelle demande.
La priorité consiste à contenir l’incident, préserver les preuves et préparer une restauration sûre.
Pour les professionnels disposant d’un contrat couvrant les risques cyber, l’indemnisation des pertes concernées est légalement subordonnée au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’atteinte. L’assureur doit être prévenu rapidement selon les modalités du contrat.
Lorsqu’une violation de données personnelles présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures suivant sa découverte. En cas de risque élevé, les personnes concernées doivent également être informées, sauf exception prévue par le RGPD.
Comment restaurer l’activité après l’attaque ?
Avant toute remise en service, il faut identifier l’origine de l’attaque, son étendue et les comptes compromis.
L’équipe technique peut ensuite assainir ou réinstaller les équipements, révoquer les accès compromis, renouveler les mots de passe et appliquer les correctifs nécessaires. Les données sont restaurées progressivement depuis une sauvegarde contrôlée et antérieure à la compromission.
Le plan de reprise d’activité, ou PRA, fixe l’ordre de retour des services. Les applications indispensables reviennent en priorité, puis les autres outils sous surveillance renforcée. Le PCA, ou plan de continuité d’activité, prévoit les moyens de maintenir les fonctions essentielles pendant la perturbation.
Comment MIAP Informatique accompagne-t-elle les PME ?
Une PME sans DSI interne peut s’appuyer sur un prestataire connaissant son parc et ses sauvegardes. MIAP Informatique intervient sur le volet technique : supervision, mises à jour, protection des postes, pare-feu, sauvegardes et organisation de la reprise.
Les formules d’infogérance MIAP comprennent une supervision proactive, le suivi des sauvegardes et une assistance accessible par téléphone, e-mail ou portail. La formule Premium complète cet accompagnement par une visite préventive annuelle, un test de sécurité, un état des lieux annuel, une réunion de pilotage et un accompagnement stratégique. Elle renforce également la préparation et le déclenchement du PRA/PCA.
Implantée à Osny, l’équipe de MIAP Informatique intervient sur site en Île-de-France et peut accompagner les entreprises à distance. MIAP est également référencée sur cybermalveillance.gouv.fr.
Préparer la réponse avant l’incident
Une entreprise préparée réduit les hésitations : les équipements sont à jour, les accès sont maîtrisés, les alertes sont surveillées et les sauvegardes sont séparées puis testées.
Les responsabilités doivent également être attribuées avant l’attaque : qui alerte le prestataire, informe les collaborateurs, contacte l’assureur et autorise la remise en service ?
Vous souhaitez évaluer l’exposition de votre PME aux rançongiciels ? Contactez MIAP Informatique pour examiner les mises à jour, les accès distants, les protections du parc, les sauvegardes et les procédures prévues en cas d’incident.
À lire aussi : EDR ou antivirus : quelle protection pour une PME ? · Sauvegarde informatique : la méthode 3-2-1 · PRA et PCA : assurer la continuité d’activité
