Ransomware : anatomie d'une attaque et mesures de protection

Une attaque qui suit rarement le scénario du film

Dans l'imaginaire collectif, un ransomware frappe en quelques secondes : un écran qui se fige, un message de rançon qui s'affiche. En réalité, le chiffrement des fichiers n'est que la dernière étape visible d'une intrusion qui a souvent commencé plusieurs jours, parfois plusieurs semaines plus tôt. Entre l'accès initial et la demande de rançon, l'attaquant progresse méthodiquement dans le système d'information, généralement sans déclencher la moindre alerte. Comprendre cette chronologie change la façon d'aborder la protection : elle ne se limite pas à « empêcher le chiffrement », elle consiste à interrompre la chaîne le plus tôt possible.

Anatomie d'une attaque : les quatre phases

1. L'accès initial

Le point d'entrée le plus fréquent reste humain : un hameçonnage réussi, une pièce jointe piégée, ou des identifiants volés lors d'une fuite de données antérieure et réutilisés sur un service exposé (VPN, accès distant, messagerie). Un service exposé sur internet avec une vulnérabilité connue et non corrigée constitue le second vecteur le plus courant. Contrairement à une idée reçue, l'attaquant ne cible pas nécessairement une grande entreprise : les PME sont recherchées précisément parce que leur surveillance est souvent plus légère.

2. La propagation silencieuse

Une fois un poste ou un compte compromis, l'attaquant ne chiffre presque jamais immédiatement. Il explore le réseau, identifie les serveurs de fichiers, les sauvegardes accessibles et les comptes à privilèges élevés, puis tente d'obtenir des droits d'administrateur. Cette phase, qui peut durer de quelques jours à plusieurs semaines, est aussi la plus silencieuse : elle ne produit aucun symptôme visible pour un utilisateur, seulement des traces dans les journaux techniques — d'où l'intérêt d'une supervision active plutôt que d'une simple protection périmétrique.

3. L'exfiltration puis le chiffrement (double extorsion)

La grande majorité des attaques récentes pratiquent la « double extorsion » : avant de chiffrer, l'attaquant copie une quantité significative de données sensibles vers ses propres serveurs. Le chiffrement intervient ensuite, généralement en dehors des heures ouvrées (nuit, week-end) pour retarder la détection et la réaction. Les sauvegardes accessibles depuis le réseau principal sont une cible prioritaire à ce stade : un attaquant qui parvient à les chiffrer ou à les supprimer avant l'attaque principale prive l'organisation de son principal levier de négociation.

4. La demande de rançon

Le message de rançon apparaît une fois le chiffrement terminé, avec un délai de paiement et, de plus en plus souvent, une double menace : payer pour récupérer les fichiers, et payer une seconde fois pour éviter la publication des données exfiltrées. Cette seconde menace change la nature du choix : même une organisation capable de restaurer ses données depuis une sauvegarde saine reste exposée au risque de divulgation.

Ce que montrent les chiffres : la France n'est pas épargnée

Cette anatomie ne relève pas de la théorie. Le site Fuites Infos, qui recense les attaques par ransomware revendiquées contre des cibles françaises à partir des données du projet ransomware.live, comptabilisait 656 victimes françaises au 2 août 2026, en forte accélération d'une année sur l'autre : 130 en 2024, 186 en 2025, et déjà 157 sur les huit premiers mois de 2026 seuls.

Ces chiffres corrigent une idée reçue : le secteur le plus touché n'est pas la haute technologie mais les services aux entreprises (137 victimes recensées), devant l'industrie (90) et la technologie elle-même (85). Les administrations et collectivités ne sont pas épargnées non plus (54 victimes dans la catégorie « secteur public et défense ») : le jour même de la rédaction de cet article, la mairie de Drancy (Seine-Saint-Denis) figurait parmi les cibles revendiquées par le groupe Qilin, le plus actif contre des cibles françaises avec 99 attaques recensées, devant LockBit3 (78). Ces attributions restent des revendications par les groupes eux-mêmes, distinctes d'une confirmation par la victime — mais leur régularité, plusieurs par semaine sur l'ensemble du pays, illustre une réalité concrète : la question n'est plus de savoir si une organisation sera visée, mais quand, et si elle y sera préparée.

Payer ou ne pas payer : ce que montre la pratique

Le paiement de la rançon ne garantit ni la récupération intégrale des données, ni l'absence de publication de celles qui ont été exfiltrées : rien n'oblige contractuellement un groupe criminel à tenir parole. Il expose en outre l'organisation à être identifiée comme « payeuse », ce qui augmente statistiquement le risque d'une nouvelle attaque ultérieure. C'est pourquoi la préparation en amont — sauvegardes fiables, plan de réponse documenté — reste la seule option qui ne dépend pas de la bonne foi de l'attaquant.

La sauvegarde 3-2-1 : la mesure qui change tout

La règle de sauvegarde 3-2-1 reste la mesure de protection la plus déterminante face au ransomware, précisément parce qu'elle neutralise l'objectif principal de l'attaquant :

• 3 copies des données au minimum (l'original et deux copies).
• 2 supports différents (par exemple disque local et stockage objet chez un hébergeur distinct).
• 1 copie hors ligne ou immuable, physiquement ou logiquement déconnectée du réseau principal, donc inatteignable par un attaquant qui a pris le contrôle de l'infrastructure.

C'est ce dernier point qui est le plus souvent négligé : une sauvegarde accessible en permanence depuis le réseau de production, même chiffrée, peut être atteinte et détruite par l'attaquant avant qu'il ne déclenche le chiffrement principal. Une copie réellement isolée (bande, stockage immuable, air gap) est ce qui distingue une organisation qui restaure ses systèmes en quelques heures d'une organisation qui négocie sous la contrainte.

Construire un plan de réponse avant l'incident

Un plan de réponse à incident ransomware documenté, testé et connu des bonnes personnes fait gagner des heures critiques au moment où chaque heure compte. Il doit couvrir au minimum :

1. L'isolation immédiate des systèmes touchés (déconnexion réseau) pour limiter la propagation, sans éteindre les machines qui pourraient contenir des preuves utiles à l'analyse.
2. Une chaîne d'alerte claire : qui prévenir en premier, dans quel ordre, avec quels moyens de communication de secours si la messagerie habituelle est compromise.
3. Le recours à un prestataire de réponse à incident identifié à l'avance, plutôt que recherché dans l'urgence.
4. L'articulation avec les obligations réglementaires : les entités soumises à NIS2 doivent notifier un incident significatif dans des délais contraints, ce qui suppose que la chaîne d'alerte interne fonctionne bien avant l'échéance réglementaire elle-même.
5. Un exercice de simulation annuel, pour vérifier que le plan fonctionne réellement et pas seulement sur le papier.

Ce qu'il faut retenir

Un ransomware n'est pas un événement instantané mais l'aboutissement d'une chaîne — accès initial, propagation silencieuse, exfiltration, chiffrement — qui laisse plusieurs fenêtres pour l'interrompre avant le pire. La sauvegarde 3-2-1 avec une copie réellement isolée reste la mesure de protection la plus déterminante, mais elle ne dispense pas d'un plan de réponse testé : c'est la combinaison des deux, préparée avant l'incident, qui distingue une organisation capable d'absorber l'attaque d'une organisation contrainte de négocier.