Rançongiciel (ransomware)

Un matin, les fichiers d’un ordinateur ou de tout un réseau d’entreprise sont devenus illisibles, leurs noms se terminent par une extension inconnue, et un message réclame un paiement en cryptomonnaie. C’est une attaque par rançongiciel (ransomware). Selon l’ANSSI et cybermalveillance.gouv.fr, il s’agit de l’une des menaces les plus graves pour les entreprises, les collectivités et les hôpitaux, qui touche aussi les particuliers.

Comment fonctionne une attaque

1. Intrusion : le plus souvent par une pièce jointe ou un lien piégé (phishing), par un accès à distance mal protégé (mot de passe faible, absence de double authentification), ou par l’exploitation d’une faille non corrigée.
2. Installation et propagation : dans les attaques contre les organisations, les pirates restent parfois plusieurs jours ou semaines dans le réseau pour obtenir des droits d’administrateur, repérer et supprimer les sauvegardes accessibles.
3. Exfiltration : copie de données confidentielles.
4. Chiffrement de tous les fichiers accessibles, souvent la nuit ou le week-end.
5. Demande de rançon, avec un compte à rebours.

La double extorsion

Depuis la fin des années 2010, la plupart des groupes menacent aussi de publier les données volées si la victime ne paie pas, même si elle a pu restaurer ses fichiers. Certains ajoutent des pressions sur les clients ou les patients de la victime. Beaucoup de groupes fonctionnent en « rançongiciel en tant que service » : des développeurs louent leur logiciel à des affiliés qui mènent les attaques et partagent les gains.

Des attaques marquantes

Se protéger

Pour tous

• Sauvegarder régulièrement ses fichiers sur un support déconnecté après usage (disque externe) ou un service qui conserve les versions antérieures. C’est la protection décisive (voir sauvegarde des données, règle 3-2-1).
• Faire les mises à jour du système, du navigateur et des logiciels sans attendre.
• Se méfier des pièces jointes et des liens inattendus, même d’un expéditeur connu ; afficher les extensions de fichiers pour repérer les .exe déguisés (voir extensions de fichiers).
• Utiliser un antivirus à jour (celui intégré à Windows suffit pour un particulier).
• Des mots de passe uniques et la double authentification sur les comptes importants.
• Ne télécharger des logiciels que depuis les sites officiels ou les magasins d’applications.

Pour les organisations

• Sauvegardes hors ligne ou immuables, testées régulièrement par des restaurations réelles.
• Accès à distance protégés par authentification multifacteur.
• Cloisonnement du réseau et limitation des comptes administrateurs.
• Détection et surveillance (EDR, journaux).
• Plan de réponse à incident et exercices de crise, y compris un mode de fonctionnement dégradé sur papier.
• Sensibilisation régulière du personnel.

Que faire en cas d’attaque

1. Débrancher l’appareil du réseau (câble, Wi-Fi) sans l’éteindre si possible, pour limiter la propagation et préserver des traces utiles à l’enquête.
2. Alerter immédiatement le service informatique ou un prestataire spécialisé ; les entreprises peuvent trouver des prestataires labellisés sur cybermalveillance.gouv.fr.
3. Ne pas payer la rançon : rien ne garantit la remise de la clé ni la non-publication des données, le paiement finance d’autres attaques et désigne la victime comme cible solvable.
4. Porter plainte auprès de la police ou de la gendarmerie, ou se faire orienter par le dispositif 17Cyber (17cyber.gouv.fr).
5. Notifier la CNIL dans les 72 heures si des données personnelles sont concernées, conformément au RGPD.
6. Vérifier sur le site No More Ransom, initiative lancée en 2016 par Europol et des partenaires, si un outil de déchiffrement gratuit existe pour ce rançongiciel.
7. Restaurer depuis des sauvegardes saines, après avoir supprimé la menace et corrigé le point d’entrée.

Questions fréquentes

Un antivirus suffit-il à se protéger ?

Non. Il bloque de nombreuses menaces connues, mais les attaquants le contournent souvent. Les sauvegardes déconnectées, les mises à jour et la vigilance face aux messages piégés restent indispensables.

Les smartphones peuvent-ils être touchés ?

C’est plus rare, en particulier sur iPhone. Sur Android, des applications malveillantes installées hors du magasin officiel peuvent bloquer l’appareil. Les fichiers synchronisés dans le cloud peuvent aussi être chiffrés depuis un ordinateur infecté.

Peut-on récupérer ses fichiers sans payer ?

Parfois : grâce aux sauvegardes, aux versions antérieures conservées par un service en ligne, ou à un outil de déchiffrement publié lorsque des chercheurs ou la police ont percé ou saisi le rançongiciel.