Qu’est-ce qu’un ransomware (rançongiciel) ?

Un ransomware, ou rançongiciel en français, est un logiciel malveillant qui bloque l’accès à vos fichiers, le plus souvent en les chiffrant, puis réclame une rançon pour les rendre. Aujourd’hui, les attaquants volent aussi vos données avant de les chiffrer et menacent de les publier : c’est la double extorsion. En cas d’attaque, les bons réflexes sont d’isoler les machines touchées, de ne pas payer, d’alerter votre prestataire, de porter plainte et de prévenir la CNIL si des données personnelles sont concernées. Voici comment se déroule une attaque en 2026, comment réagir et comment protéger votre entreprise.

Qu’est-ce qu’un ransomware ?

Le mot associe l’anglais ransom (rançon) et software (logiciel). Cybermalveillance.gouv.fr définit l’attaque par rançongiciel comme la compromission d’un équipement ou d’un système d’information pour en bloquer l’accès, en chiffrer et/ou en copier les données, puis réclamer une rançon pour les rendre accessibles ou ne pas les divulguer. Seuls les criminels détiennent la clé de déchiffrement, et la rançon est le plus souvent demandée en cryptomonnaie.

D’où viennent les rançongiciels ?

Le premier rançongiciel connu, AIDS (ou PC Cyborg), a été diffusé sur disquette en 1989 : il réclamait 189 dollars pour « renouveler une licence ». Le phénomène a pris de l’ampleur en 2013 avec CryptoLocker, qui chiffrait les fichiers de manière robuste et acceptait notamment les paiements en bitcoins. En mai 2017, WannaCry a touché des entreprises du monde entier en exploitant une faille de Windows que Microsoft avait pourtant corrigée deux mois plus tôt.

Fin 2019, le groupe Maze a commencé à publier les données de victimes qui refusaient de payer. Cette double extorsion s’est depuis généralisée. Les rançongiciels fonctionnent désormais comme une industrie : des « opérateurs » louent leur logiciel à des « affiliés » qui mènent les attaques et reversent une part des rançons (ransomware-as-a-service), tandis que des courtiers revendent des accès déjà obtenus aux réseaux des entreprises.

Comment se déroule une attaque par rançongiciel aujourd’hui ?

Une attaque moderne se déroule souvent en plusieurs étapes, parfois sur plusieurs jours :

1. L’accès initial. L’attaquant entre par un mail d’hameçonnage, par des identifiants volés ou par une faille non corrigée sur un équipement exposé à Internet : passerelle VPN, pare-feu, NAS, bureau à distance. L’ANSSI relève de nombreux cas de rançongiciel où l’attaquant s’était connecté avec un compte VPN dépourvu de double authentification.
2. L’exploration. Il cherche des comptes administrateurs et se déplace d’une machine à l’autre.
3. Le vol de données. Il copie les fichiers sensibles (clients, comptabilité, paie) vers ses serveurs.
4. La destruction des sauvegardes. Il efface ou chiffre les sauvegardes qu’il peut atteindre, pour vous empêcher de restaurer.
5. Le chiffrement. Il le déclenche le plus souvent la nuit ou le week-end, quand personne ne surveille.
6. Le chantage. La demande de rançon arrive, avec la menace de publier les données volées. Certains groupes ajoutent une attaque par déni de service contre votre site ou contactent vos clients : on parle alors de triple extorsion.

Quelques groupes ne prennent même plus la peine de chiffrer : ils volent les données et monnayent leur silence.

Les PME sont-elles vraiment visées ?

Oui. L’ANSSI a eu connaissance de 128 compromissions par rançongiciel en 2025, légèrement moins qu’en 2024, et les PME, TPE et ETI restent la catégorie de victimes la plus touchée, selon son Panorama de la cybermenace 2025. Ce chiffre ne couvre que les incidents signalés à l’Agence. Chez Cybermalveillance.gouv.fr, les rançongiciels sont en 2025 le quatrième motif de demande d’assistance des entreprises et associations (8,1 % des parcours, en hausse de 9 %) et restent « la plus redoutable et la plus impactante » des menaces pour une organisation.

Ces attaques sont souvent opportunistes : des robots cherchent sur Internet des équipements vulnérables ou des mots de passe faibles, quelle que soit la taille de l’entreprise.

Que faire en cas d’attaque par ransomware ?

La fiche réflexe de Cybermalveillance.gouv.fr sur les rançongiciels, mise à jour en mai 2026, recommande notamment :

1. Isoler : coupez la connexion Internet du réseau (éteignez la box si besoin), débranchez le câble réseau ou le Wi-Fi des machines touchées, et déconnectez les sauvegardes encore branchées.
2. Ne pas éteindre les machines touchées, car leur mémoire contient des preuves. Exception : si le chiffrement est en cours, une mise en veille prolongée peut l’interrompre. Ne rallumez pas les machines épargnées.
3. Alerter votre prestataire informatique, ou suivre le parcours d’assistance de 17Cyber, le service public d’aide aux victimes.
4. Ne pas payer la rançon (voir plus bas).
5. Conserver les preuves et porter plainte au commissariat, à la gendarmerie ou auprès du procureur de la République, avant de réinstaller quoi que ce soit. Si vous avez une assurance cyber, la loi du 24 janvier 2023 conditionne l’indemnisation à une plainte déposée dans les 72 heures suivant la découverte de l’attaque.
6. Notifier la CNIL dans les 72 heures si des données personnelles ont pu être consultées, copiées ou détruites (article 33 du RGPD), via son téléservice de notification de violation. Si le risque est élevé, vous devrez aussi informer les personnes concernées.
7. Reconstruire proprement : cherchez un outil de déchiffrement gratuit sur No More Ransom, réinstallez les systèmes touchés, restaurez une sauvegarde saine antérieure à l’attaque, changez tous les mots de passe et appliquez les mises à jour avant la remise en service.

Pendant la crise, tenez un journal des actions menées.

Faut-il payer la rançon ?

Non. Payer ne garantit ni la récupération de vos fichiers, ni la suppression des données volées. Vous financeriez aussi les criminels et vous signaleriez comme une cible solvable, susceptible d’être attaquée à nouveau. Cybermalveillance.gouv.fr recommande donc de ne pas payer.

Comment protéger votre entreprise contre les ransomwares ?

Les mesures efficaces sont connues et à la portée d’une PME :

• Des sauvegardes hors d’atteinte : au moins une copie déconnectée ou non modifiable, et des restaurations testées régulièrement. Une sauvegarde accessible depuis le réseau risque d’être chiffrée avec le reste (voir l’importance de la sauvegarde de vos données).
• Les mises à jour de sécurité sans tarder, en priorité sur les équipements exposés à Internet : VPN, pare-feu, NAS (voir notre article sur les failles de sécurité informatique).
• La double authentification sur tous les accès à distance (VPN, messagerie, outils en ligne), y compris ceux des prestataires.
• Un antivirus ou un EDR (outil qui détecte les comportements suspects) sur tous les postes et serveurs.
• Le principe du moindre privilège : chaque utilisateur n’a que les droits dont il a besoin, et les comptes administrateurs ne servent pas à lire ses mails.
• Aucun service sensible ouvert sur Internet : ni bureau à distance, ni interface d’administration du pare-feu ou du NAS.
• La sensibilisation des équipes aux mails piégés et aux faux sites de connexion.
• Un plan de réaction écrit : qui appeler, comment isoler le réseau, où sont les sauvegardes.

Chez ITAK IT, nous commençons par un audit de votre installation, puis nous mettons en place les protections adaptées : accès Internet et VPN sécurisés, sauvegardes automatisées, filtrage des mails, sensibilisation de vos collaborateurs. Découvrez notre approche de la sécurité des données informatiques.

Questions fréquentes

Un antivirus suffit-il à arrêter un ransomware ?

Non. Un antivirus ou un EDR bloque une partie des attaques, mais les attaquants adaptent leurs outils pour échapper à la détection et utilisent souvent des comptes légitimes volés. La protection repose sur plusieurs couches, dont des sauvegardes hors d’atteinte.

Peut-on récupérer ses fichiers sans payer la rançon ?

Parfois. Le site No More Ransom, soutenu par Europol, propose des outils de déchiffrement gratuits pour certaines familles de rançongiciels, mais pas pour toutes. Dans la plupart des cas, la récupération passe par la restauration d’une sauvegarde saine, d’où l’importance d’en conserver une copie déconnectée.

Faut-il prévenir la CNIL après une attaque par rançongiciel ?

Oui, dès que des données personnelles (clients, salariés, patients…) ont pu être consultées, copiées ou détruites et que cela présente un risque pour les personnes. Le RGPD impose de notifier la CNIL dans les meilleurs délais et si possible dans les 72 heures suivant la découverte, quitte à compléter la déclaration ensuite. En cas de doute, la CNIL conseille de notifier.

Les données stockées dans le cloud sont-elles à l’abri ?

Pas automatiquement. L’ANSSI a eu connaissance en 2025 de plusieurs attaques par rançongiciel ayant chiffré des ressources hébergées dans le cloud. Vos services en ligne doivent eux aussi être protégés par la double authentification et sauvegardés séparément.

En conclusion

Le rançongiciel reste la cyberattaque la plus lourde de conséquences pour une PME : activité à l’arrêt, données publiées, obligations légales à tenir dans l’urgence. La meilleure défense consiste à fermer les portes d’entrée (correctifs, double authentification, vigilance face à l’hameçonnage) et à garder des sauvegardes hors d’atteinte. Pour faire le point sur la protection de votre entreprise, contactez notre équipe.