Un informaticien d'une PME de Toulouse m'a raconté la scène : vendredi 18 h, tout le monde est parti. Lundi matin, 340 postes affichent un fond d'écran noir avec un compte à rebours. Le serveur de fichiers, les sauvegardes connectées au réseau, les boîtes mail : chiffrés. Sur le bureau, un fichier texte. Trois lignes, un montant en bitcoin, un délai de 72 heures. Il n'a pas dormi pendant deux nuits, et il n'était pas le seul dans ce cas cette semaine-là.
Comprendre les ransomwares, ce n'est pas apprendre une définition par cœur. C'est saisir une mécanique précise, parce que c'est cette mécanique qui détermine ce qui vous protège vraiment — et ce qui ne sert à rien. J'ai vu des entreprises payer 40 000 € pour des données qu'elles auraient pu restaurer en quatre heures si leur sauvegarde avait été débranchée. J'ai vu l'inverse aussi : une restauration propre qui a sauvé la mise sans un centime versé.
Points clés à retenir
- Un rançongiciel chiffre vos fichiers puis réclame une rançon pour la clé de déchiffrement — parfois en menaçant de publier vos données en plus.
- La règle des trois copies dont une hors ligne et déconnectée reste la protection la plus efficace, devant tous les antivirus du marché.
- Payer ne garantit rien : une partie des victimes qui paient ne récupèrent jamais leurs fichiers.
- Les PME sont ciblées non pas parce qu'elles sont riches, mais parce qu'elles sont mal protégées et solvables.
- Le jour de l'attaque, chaque minute compte — mais débrancher le réseau avant tout le reste.
Le ransomware, une mécanique en quatre temps
Le mot vient de l'anglais ransom (rançon) et software (logiciel). En français, on dit officiellement rançongiciel, et vous verrez parfois l'orthographe « ransomwarre » ou « ransomeware » — la prononciation correcte est « ran-seum-wèr », avec l'accent sur la première syllabe.
Derrière ce nom se cache un déroulé presque toujours identique.
De l'entrée discrète à la demande de rançon
- L'intrusion. Le plus souvent une pièce jointe ouverte, un lien cliqué, un mot de passe faible deviné, ou une faille non corrigée sur un service exposé. Parfois, l'attaquant reste des semaines sans rien faire.
- La reconnaissance. Il cartographie le réseau, repère les serveurs, cherche les sauvegardes — parce que détruire les sauvegardes est la première chose qui rend une rançon crédible.
- Le chiffrement. Les fichiers deviennent illisibles, et une note s'affiche partout.
- L'extorsion. Rançon en cryptomonnaie. Et de plus en plus, une seconde menace : « si vous ne payez pas, on publie vos données ».
Cette dernière partie change tout. Une entreprise peut survivre à la perte de fichiers. Elle survit mal à la fuite de ses contrats, de ses données clients ou de dossiers RH.
Ransomware sur Mac : le mythe qui coûte cher
« On est sur Mac, on ne risque rien. » J'entends cette phrase au moins une fois par mois, et elle m'agace. macOS a longtemps été moins ciblé, pour une raison simple : moins de parts de marché, donc moins de retours sur investissement pour un attaquant. Ce n'est pas une question de sécurité supérieure, c'est une question de rentabilité. Dès qu'une organisation passe majoritairement sur Mac, l'argument tombe.
Le risque réel sur Mac
Les rançongiciels existent bel et bien sur macOS. Ils arrivent par les mêmes canaux : un logiciel piraté, un faux installeur, une extension de navigateur douteuse. La porte dérobée (la backdoor), elle, ne fait aucune différence entre un processeur Intel, une puce Apple et un vieux PC sous Windows. Une fois qu'un attaquant a un pied dans le réseau, il chiffre ce qu'il trouve — c'est-à-dire souvent le NAS partagé, qui ne sait rien du système d'exploitation de la machine qui l'appelle.
Autrement dit : sécuriser les postes, oui. Mais si votre partage de fichiers central est accessible avec un vieux mot de passe, la marque de vos ordinateurs n'a strictement aucune importance.
Comment se protéger concrètement
La sauvegarde reste votre meilleure assurance. Pas la plus glamour, mais la plus efficace. La règle éprouvée tient en une phrase : trois copies de vos données, sur deux supports différents, dont une hors ligne et déconnectée. Le « hors ligne » est le mot que tout le monde saute. C'est précisément celui qui décide si vous vous en sortez.
J'ai vu une structure perdre ses trois sauvegardes d'un coup parce qu'elles étaient montées en permanence sur le même réseau. Le rançongiciel a fait son travail en quinze minutes. Une seule copie sur un disque débranché aurait tout changé.
Les gestes qui font vraiment la différence
- Corriger les logiciels et systèmes dès la sortie d'un correctif de sécurité. Une faille exploitée peut coûter des millions.
- Activer l'authentification à deux facteurs partout où c'est possible, en priorité sur les accès à distance.
- Segmenter le réseau : un poste compromis ne doit pas pouvoir atteindre le serveur comptable en deux clics.
- Former les équipes — sans en faire un pensum annuel. Un exercice d'hameçonnage interne une à deux fois par an suffit à faire baisser le taux de clics, mais beaucoup.
- Restreindre les droits : personne n'a besoin d'être administrateur pour lire ses mails.
Sauvegarde classique ou sauvegarde blindée ?
| Critère | Sauvegarde connectée | Sauvegarde hors ligne |
|---|---|---|
| Restauration rapide | Oui, quelques minutes | Non, il faut rebrancher |
| Résiste à une attaque | Rarement | Presque toujours |
| Effort de mise en place | Faible | Modéré |
| Protège aussi des erreurs humaines | Partiellement | Oui |
La bonne réponse n'est pas de choisir, mais de combiner : une copie rapide pour les petits incidents, une copie déconnectée pour le scénario catastrophe. Et testez la restauration au moins une fois par trimestre. Une sauvegarde jamais restaurée est une sauvegarde imaginaire.
Que faire en cas de rançongiciel ?
Tout va très vite, et c'est là que les erreurs se paient le plus cher. La première chose à faire n'est pas d'appeler un expert, c'est de débrancher le câble réseau — physiquement, sur les machines touchées. Chaque minute de connexion active laisse l'attaquant progresser vers les serveurs et les sauvegardes.
Ensuite, dans l'ordre : isolez les postes touchés, ne redémarrez pas (vous détruiriez en mémoire des indices utiles), photographiez les messages de rançon, et remontez le problème à votre direction juridique ou à votre assurance cyber avant toute communication publique. Une enquête judiciaire sérieuse se lance dans les heures qui suivent, pas dans la semaine.
Comment identifier un rançongiciel ?
Quelques signes ne trompent pas : des fichiers renommés avec une extension bizarre, un fichier texte ou HTML posé sur le bureau de tous les postes à la fois, une lenteur brutale sur un serveur, des accès refusés sans raison. Au moindre doute sur une machine isolée, coupez-la du réseau et faites-la analyser hors ligne avant de la rebrancher.
Faut-il payer ?
Non, et ce n'est pas seulement une position morale. Payer alimente le modèle et vous place dans la liste des « bonnes victimes » pour plus tard. Et surtout : une partie des structures qui règlent la rançon ne récupèrent jamais leurs fichiers, car l'outil de déchiffrement fourni ne fonctionne pas. La vraie solution tient dans les sauvegardes et dans la préparation, pas dans la négociation.
La règle d'or, en une ligne
Si demain matin tous vos fichiers disparaissaient, en combien d'heures remonteriez-vous la pente ? La réponse à cette question, vous devez pouvoir la donner sans réfléchir. Tout le reste — les antivirus, les pare-feu, la formation — sert à reculer l'échéance.
La sauvegarde déconnectée, elle, vous laisse une porte de sortie quoi qu'il arrive. Et quand une attaque frappe à 18 h le vendredi, c'est tout ce qui vous reste le lundi matin.
