Un ransomware (ou rançongiciel en français) est un logiciel malveillant conçu pour chiffrer les données d’un système informatique et rendre l’accès impossible jusqu’au versement d’une rançon. C’est l’une des cybermenaces les plus dévastatrices pour les entreprises, toutes tailles confondues.

Comment fonctionne un ransomware

Le cycle d’attaque d’un ransomware suit en général quatre étapes distinctes.

L’infection se produit le plus souvent via un e-mail de phishing contenant une pièce jointe piégée ou un lien malveillant. D’autres vecteurs existent : exploitation de vulnérabilités dans des logiciels non mis à jour, accès par protocole RDP (Remote Desktop Protocol) mal sécurisé, ou encore téléchargement d’un logiciel compromis.

La propagation suit immédiatement l’infection. Le malware cartographie le réseau, identifie les partages de fichiers, les serveurs, les sauvegardes accessibles, et cherche à élever ses privilèges système avant de déclencher le chiffrement.

Le chiffrement est l’étape visible. L’ensemble des fichiers ciblés — documents, bases de données, fichiers comptables — devient illisible. Les fichiers reçoivent une extension inhabituelle (locked, encrypted) et un message de demande de rançon s’affiche à l’écran.

L’extorsion prend parfois une double forme : en plus du chiffrement, les attaquants exfiltrent les données avant de les chiffrer et menacent de les publier si la rançon n’est pas payée (double extorsion).

Pourquoi les PME sont particulièrement vulnérables

Les grandes entreprises disposent d’équipes de sécurité dédiées, de budgets conséquents et de sauvegardes isolées. Les PME, elles, combinent souvent des ressources IT limitées, des logiciels non mis à jour et des collaborateurs insuffisamment formés aux risques numériques.

Les conséquences d’une attaque pour une PME peuvent être catastrophiques : arrêt complet de l’activité pendant plusieurs jours, perte définitive de données critiques (comptabilité, fichiers clients, contrats) et coûts de remédiation élevés. L’atteinte à la réputation et la perte de confiance des clients aggravent encore la situation. Selon les études sectorielles, 60 % des PME touchées par une cyberattaque grave cessent leur activité dans les dix-huit mois suivants.

La migration vers des solutions SaaS hébergées chez des fournisseurs certifiés (ISO 27001, SOC 2) réduit la surface d’attaque locale. Cette approche reste efficace à condition de l’associer à une politique de gestion des accès rigoureuse.

Exemples concrets d’attaques ransomware

WannaCry (2017) a infecté plus de 300 000 machines dans 150 pays en exploitant une faille Windows non corrigée. Il a paralysé des hôpitaux britanniques, des entreprises de télécommunications et des usines de production.

REvil / Sodinokibi a frappé plusieurs cabinets comptables et cabinets d’avocats français entre 2020 et 2022, ciblant précisément leurs bases de données clients pour maximiser la pression lors de l’extorsion.

LockBit, le groupe le plus actif en 2023-2024, cible prioritairement les PME industrielles et les professions libérales, avec des délais de chiffrement inférieurs à 5 minutes après l’infection initiale.

Termes liés

  • Phishing : principal vecteur de diffusion des ransomwares via des e-mails frauduleux.
  • RGPD : une attaque ransomware avec fuite de données constitue une violation de données à notifier à la CNIL sous 72 heures.
  • Cloud computing : l’hébergement cloud avec sauvegardes versionnées est une protection efficace contre le chiffrement local.
  • SaaS : les applications SaaS réduisent l’exposition aux ransomwares locaux mais nécessitent une gestion des accès stricte.
  • API : les intégrations API mal sécurisées peuvent constituer un vecteur d’attaque secondaire.