Ransomware, préparer l'entreprise avant l'attaque plutôt qu'après
Un ransomware, ou rançongiciel, chiffre les données et les systèmes d’une organisation puis exige une somme d’argent en échange de la clé de déchiffrement. Les groupes criminels qui exploitent ces logiciels y ajoutent désormais presque toujours une seconde menace : la publication des données volées avant le chiffrement. Pour une direction informatique, la question n’est plus de savoir si l’entreprise sera visée, mais dans quel état elle sera le jour où l’attaque réussira. Les organisations qui s’en sortent le mieux ne sont pas forcément celles qui disposent des outils les plus coûteux : ce sont celles qui ont préparé leurs sauvegardes, leur architecture et leur organisation de crise avant d’en avoir besoin.
Comment un ransomware entre dans l’entreprise
Les attaques par rançongiciel suivent un scénario relativement stable, même si les techniques évoluent. L’attaquant obtient d’abord un accès initial, s’installe discrètement, élève ses privilèges, se déplace dans le réseau, exfiltre des données, détruit ou neutralise les sauvegardes, puis déclenche le chiffrement, souvent la nuit ou un week-end. Entre l’intrusion et le chiffrement, il peut s’écouler quelques heures ou plusieurs semaines.
Les portes d’entrée les plus fréquentes sont bien identifiées par les autorités et les équipes de réponse à incident :
- l’hameçonnage, qui amène un salarié à ouvrir une pièce jointe piégée ou à saisir ses identifiants sur une fausse page ;
- les accès distants exposés sur internet, en particulier les bureaux à distance et les passerelles de réseau privé virtuel sans authentification forte ;
- les vulnérabilités non corrigées sur des équipements en bordure de réseau, pare-feu, serveurs de messagerie, solutions de transfert de fichiers ;
- les identifiants volés ou achetés sur des marchés criminels, réutilisés sur des services de l’entreprise ;
- la compromission d’un prestataire ou d’un fournisseur disposant d’un accès au système d’information.
Le modèle économique de ces groupes a favorisé leur multiplication. Beaucoup fonctionnent en rançongiciel en tant que service : des développeurs louent leur logiciel à des affiliés qui mènent les intrusions, avec un partage des gains. Cette organisation explique pourquoi les attaques visent aussi bien des grands groupes que des PME, des hôpitaux ou des collectivités. Les cibles sont souvent choisies par opportunité, en fonction des failles accessibles, plus que par stratégie.
Les sauvegardes, dernière ligne de défense
Une entreprise qui dispose de sauvegardes intactes, récentes et testées peut se reconstruire sans payer. C’est la mesure la plus déterminante, et celle que les attaquants cherchent en priorité à neutraliser. Une sauvegarde accessible depuis le réseau principal, avec les mêmes comptes d’administration, sera chiffrée ou effacée en même temps que le reste.
La règle dite du 3-2-1 reste une bonne base : trois copies des données, sur deux supports différents, dont une hors site. Face aux rançongiciels, il faut y ajouter une exigence décisive : au moins une copie hors ligne ou immuable, c’est-à-dire impossible à modifier ou à supprimer pendant une durée définie, même par un administrateur dont le compte aurait été compromis. Les bandes déconnectées, les stockages objet avec verrouillage en écriture et les coffres de sauvegarde isolés répondent à ce besoin selon des compromis différents de coût et de délai de restauration.
Les sauvegardes doivent aussi couvrir ce qui permet de redémarrer : annuaire d’identités, configurations réseau, images des serveurs, documentation d’exploitation. Une entreprise qui a sauvegardé ses données métier mais pas son annuaire peut mettre des jours à reconstruire les comptes et les droits.
Surtout, une sauvegarde qui n’a jamais été restaurée n’est qu’une hypothèse. Des tests de restauration réguliers, portant sur des systèmes complets et pas seulement sur quelques fichiers, révèlent les surprises : durée de restauration très supérieure aux estimations, dépendances oubliées, clés de chiffrement des sauvegardes elles-mêmes introuvables.
| Mesure | Ce qu’elle protège | Erreur fréquente |
|---|---|---|
| Copie hors ligne ou immuable | Les données face à un administrateur compromis | Copie montée en permanence sur le réseau |
| Comptes de sauvegarde dédiés | La chaîne de sauvegarde elle-même | Mêmes identifiants que l’administration courante |
| Sauvegarde de l’annuaire | Le redémarrage des accès | Annuaire oublié du périmètre |
| Tests de restauration complets | La capacité réelle de reprise | Tests limités à quelques fichiers |
| Rétention suffisante | Le retour à un état antérieur à l’intrusion | Rétention plus courte que la durée de présence de l’attaquant |
Réduire la surface d’attaque et limiter la propagation
La prévention réduit la probabilité d’une attaque réussie, la segmentation réduit son ampleur. Les deux se complètent.
Durcir les accès
L’authentification multifacteur sur tous les accès distants, la messagerie et les comptes à privilèges est l’une des mesures les plus rentables. Elle n’empêche pas tout, certaines techniques de contournement existent, mais elle élimine une grande partie des intrusions fondées sur des mots de passe volés. Les comptes d’administration doivent être distincts des comptes de travail quotidiens, utilisés depuis des postes dédiés et limités au strict nécessaire.
La gestion des correctifs doit être priorisée sur les équipements exposés à internet. Une vulnérabilité publiée sur une passerelle d’accès distant est souvent exploitée en quelques jours. L’inventaire des actifs exposés, régulièrement confronté aux bulletins de sécurité, en est le préalable.
Segmenter le réseau
Un réseau plat permet à un attaquant installé sur un poste de bureautique d’atteindre les serveurs de production, les sauvegardes et parfois les automates industriels. La segmentation réseau sépare les zones selon leur sensibilité et filtre les flux entre elles. Elle ralentit la propagation et laisse aux équipes le temps de détecter l’intrusion. Dans les usines, la séparation entre informatique de gestion et systèmes industriels mérite une attention particulière, comme l’explique notre article sur l’IoT et la 5G à l’usine.
Détecter tôt
Les solutions de détection et de réponse sur les postes et serveurs, la centralisation des journaux et une surveillance capable de réagir hors des heures ouvrées augmentent les chances de repérer l’attaquant avant le chiffrement. Les signaux typiques sont connus : création de comptes à privilèges inhabituels, désactivation d’outils de sécurité, transferts massifs de données vers l’extérieur, utilisation d’outils d’administration à distance non référencés.
Les outils installés hors du contrôle de la DSI constituent un angle mort de cette surveillance. Les repérer fait partie de la prévention, comme le montre notre dossier sur l’encadrement du shadow IT.
Plan de reprise et gestion de crise
Le jour de l’attaque, les systèmes habituels sont souvent indisponibles : messagerie, annuaire, téléphonie sur IP, outils de gestion de tickets. Un plan de reprise utile anticipe cette situation.
Avant la crise
Le plan doit identifier les activités essentielles et l’ordre de redémarrage des applications, fixer des objectifs réalistes de durée d’interruption et de perte de données acceptables, et désigner les membres de la cellule de crise avec leurs suppléants. Les coordonnées des personnes clés, des prestataires de réponse à incident, de l’assureur et des autorités doivent être disponibles sur un support indépendant du système d’information, y compris sur papier.
Les exercices de crise transforment ce document en réflexes. Une simulation sur table, réunissant direction générale, juristes, communication et informatique, révèle en quelques heures les décisions que personne n’avait prévu de prendre : qui décide de couper internet, qui parle aux clients, qui valide la restauration.
Pendant la crise
Les premières heures déterminent souvent l’ampleur des dégâts. Isoler les systèmes touchés sans les éteindre de façon précipitée, pour préserver les traces utiles à l’enquête, conserver les journaux, alerter la cellule de crise et faire appel à des spécialistes de la réponse à incident font partie des réflexes recommandés. La plateforme publique cybermalveillance.gouv.fr oriente les victimes vers des prestataires et propose une assistance, et l’ANSSI publie des guides de gestion de crise d’origine cyber à destination des organisations.
Plusieurs obligations s’appliquent. Si des données personnelles sont concernées, le RGPD impose de notifier la violation à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, et d’informer les personnes lorsque le risque est élevé. Les entités soumises à des réglementations sectorielles ont leurs propres obligations de signalement. Le dépôt de plainte est recommandé dans tous les cas.
Payer ou non la rançon : la position des autorités
Les autorités françaises, dont l’ANSSI, recommandent de ne pas payer. Le paiement ne garantit ni la remise d’une clé de déchiffrement fonctionnelle, ni la suppression des données volées, ni l’absence de nouvelle attaque. Il finance l’écosystème criminel et peut exposer l’entreprise à des risques juridiques si le groupe destinataire fait l’objet de sanctions internationales. Les outils de déchiffrement fournis par les attaquants sont en outre souvent lents et imparfaits, ce qui rend la restauration depuis des sauvegardes généralement préférable.
La loi d’orientation et de programmation du ministère de l’Intérieur, promulguée en janvier 2023, a encadré l’assurance de ce risque : le remboursement par un assureur d’une perte liée à une cyberattaque est conditionné au dépôt d’une plainte dans un délai de 72 heures après la connaissance de l’attaque. Ce texte ne rend pas le paiement d’une rançon recommandable, il encadre seulement les conditions d’indemnisation.
La décision, si elle se pose malgré tout, relève de la direction générale et doit être prise avec les juristes, l’assureur et les spécialistes de la réponse à incident. La meilleure manière de ne jamais avoir à l’envisager reste la préparation décrite plus haut.
La reconstruction après une attaque est aussi l’occasion de revoir les choix d’hébergement des données les plus sensibles. Les critères de localisation, de contrôle juridique et de réversibilité présentés dans notre article sur le cloud souverain s’appliquent pleinement à ce moment. Un ransomware frappe rarement une organisation au hasard de sa préparation : il exploite ce qui n’a pas été fait. Chaque sauvegarde testée, chaque accès durci et chaque exercice de crise mené réduit le coût de l’attaque le jour où elle survient.