En 2025, une attaque ransomware frappe une entreprise toutes les 11 secondes dans le monde (Cybersecurity Ventures). Le coût moyen d'une attaque pour une PME française atteint 130 000 € en incluant la rançon, l'interruption d'activité, la remédiation et l'atteinte à la réputation. Pourtant, 76 % des PME ne disposent d'aucun plan de recovery formalisé. Cet article détaille les étapes concrètes pour préparer votre entreprise avant qu'il ne soit trop tard.
Comprendre le déroulement d'une attaque ransomware
Un ransomware ne se déclenche pas immédiatement. L'attaquant suit un processus méthodique qui peut s'étaler sur plusieurs semaines avant le chiffrement des données.
Les phases d'une attaque typique
- Compromission initiale : email de phishing, exploitation d'une faille VPN ou RDP exposé sur Internet, ou compromission d'un fournisseur.
- Mouvement latéral : l'attaquant explore le réseau, élève ses privilèges et identifie les systèmes critiques.
- Exfiltration : les données sensibles sont copiées vers les serveurs de l'attaquant (double extorsion : chiffrement + menace de publication).
- Chiffrement : déploiement simultané du ransomware sur l'ensemble des systèmes accessibles. Note de rançon affichée.
La phase de compromission initiale passe souvent par des techniques de phishing et d'ingénierie sociale que chaque collaborateur doit savoir identifier.
Construire un plan de recovery solide
Un plan de recovery (ou plan de reprise d'activité — PRA) spécifique aux ransomwares va au-delà de la simple sauvegarde. Il doit couvrir la détection, le confinement, l'éradication et la restauration.
Définir les priorités de reprise
Identifiez les systèmes critiques par ordre de priorité : messagerie, ERP, paie, application métier principale. Pour chaque système, fixez un RTO (Recovery Time Objective — durée maximale d'interruption acceptable) et un RPO (Recovery Point Objective — perte de données maximale tolérable). Une PME typique vise un RTO de 4 à 24 heures et un RPO de 1 à 4 heures pour ses systèmes critiques.
Sauvegardes immuables : la clé de la récupération
Les ransomwares modernes ciblent systématiquement les sauvegardes pour empêcher toute restauration gratuite. Les sauvegardes automatiques doivent être complétées par des copies immuables — des sauvegardes qui ne peuvent être ni modifiées ni supprimées pendant une période définie, même par un administrateur. Les technologies de stockage objet avec verrouillage WORM (Write Once Read Many) — disponibles chez AWS S3 Object Lock, Wasabi ou Backblaze B2 — garantissent cette immuabilité à un coût raisonnable (5 à 10 € / To / mois).
Procédure de réponse à incident
Lorsque le ransomware se déclenche, chaque minute compte. Une procédure documentée et répétée permet de réduire considérablement l'impact.
Les 6 premières heures
- Isoler immédiatement les systèmes infectés du réseau (débrancher le câble réseau, désactiver le Wi-Fi, couper les liens VPN site à site).
- Activer la cellule de crise : DSI, direction générale, communication, juridique. Désigner un coordinateur unique.
- Préserver les preuves : ne pas éteindre les machines infectées (la mémoire vive contient des artefacts forensiques). Capturer les logs disponibles.
- Évaluer l'étendue : quels systèmes sont chiffrés ? Les sauvegardes sont-elles intactes ? Des données ont-elles été exfiltrées ?
Faut-il payer la rançon ?
L'ANSSI et Europol recommandent formellement de ne jamais payer. Selon Coveware, 80 % des entreprises ayant payé subissent une seconde attaque dans les 12 mois. Le paiement finance le crime organisé et ne garantit pas la récupération complète des données (en moyenne, seuls 65 % des fichiers sont restaurés après paiement).
ACME élabore des plans de recovery ransomware sur mesure pour les PME : audit des sauvegardes, mise en place de copies immuables, rédaction de procédures de réponse à incident, exercices de simulation annuels. Nos clients sont préparés à affronter le pire scénario avec sérénité.Construire un plan de reprise efficace
Un plan de recovery face aux ransomwares doit être testé régulièrement pour garantir son efficacité le jour J. Organisez au minimum un exercice de simulation annuel impliquant la direction, l'équipe IT et les responsables métier. Chronométrez le temps nécessaire pour restaurer chaque application critique et comparez-le à vos objectifs RTO (Recovery Time Objective). En 2025, le temps moyen de restauration après une attaque ransomware est de 23 jours selon Coveware — un délai catastrophique pour une PME.
Votre plan doit inclure un playbook de réponse à incident détaillé, avec les actions immédiates : isoler les machines infectées du réseau, préserver les preuves forensiques (logs, images disque), notifier votre assureur cyber dans les délais contractuels et déclarer la violation à la CNIL sous 72 heures si des données personnelles sont concernées.
- Sauvegardes air-gapped : conservez au moins une copie complètement déconnectée du réseau (bandes LTO, disque dur en coffre-fort) que les attaquants ne peuvent pas atteindre.
- Communication de crise : préparez des modèles de messages pour vos clients, partenaires et collaborateurs afin de gagner un temps précieux en situation de stress.
- Post-mortem systématique : après chaque incident ou exercice, documentez les leçons apprises et mettez à jour le plan en conséquence.
Cyber assurance : un filet de sécurité complémentaire
La cyber assurance couvre les frais de gestion de crise, la perte d'exploitation, les frais juridiques et parfois le paiement de la rançon (bien que cette dernière couverture soit de plus en plus rare). En 2025, les primes ont augmenté de 30 % et les assureurs exigent des prérequis stricts : MFA sur tous les accès distants, sauvegardes testées, plan de réponse à incident documenté. Sans ces mesures, la souscription est refusée ou les primes deviennent prohibitives.
Critères d'éligibilité des assureurs
- MFA activée sur l'ensemble des accès distants et des comptes à privilèges.
- Sauvegardes hors ligne ou immuables testées trimestriellement.
- Plan de réponse à incident formalisé et communiqué aux équipes.
- Correctifs de sécurité appliqués sous 30 jours pour les vulnérabilités critiques.
FAQ
Combien de temps faut-il pour se remettre d'une attaque ransomware ?
Sans plan de recovery, la reprise complète prend en moyenne 23 jours (Sophos State of Ransomware 2025). Avec un PRA testé et des sauvegardes immuables, le délai tombe à 2-5 jours pour les systèmes critiques. Les PME les mieux préparées restaurent leurs services essentiels en moins de 24 heures grâce à des procédures automatisées et des environnements de secours préconfigurés.
Mes sauvegardes cloud sont-elles suffisantes contre un ransomware ?
Pas nécessairement. Si les sauvegardes cloud sont synchronisées en temps réel (comme OneDrive ou Google Drive Sync), le chiffrement malveillant est répliqué dans le cloud. Il faut des sauvegardes versionnées (avec historique de 30 à 90 jours) et idéalement immuables. Vérifiez que votre solution de sauvegarde conserve des versions antérieures accessibles et non modifiables.
Les PME sont-elles vraiment ciblées par les ransomwares ?
Oui, massivement. En 2025, 58 % des victimes de ransomware sont des entreprises de moins de 250 salariés (rapport Hiscox). Les PME sont des cibles privilégiées car elles disposent de moins de ressources de cybersécurité et sont souvent moins préparées. Les gangs de ransomware utilisent des attaques automatisées qui ne distinguent pas la taille de l'entreprise — toute infrastructure exposée est une cible potentielle.