Un matin, les fichiers ne s’ouvrent plus, leurs noms ont changé et un message réclame un paiement en cryptomonnaie pour les débloquer. C’est une attaque par rançongiciel, ou ransomware. Elle peut toucher un particulier, mais elle vise surtout les organisations : une entreprise privée de ses fichiers clients, de sa comptabilité ou de ses outils de production peut rester à l’arrêt pendant des jours.
Ce guide explique comment fonctionne un rançongiciel, comment s’en protéger, quels gestes adopter dans les premières heures et quelles démarches suivre, selon les recommandations de Cybermalveillance.gouv.fr et de l’ANSSI.
Qu’est-ce qu’un rançongiciel ?
Selon la fiche réflexe de Cybermalveillance.gouv.fr, un rançongiciel bloque l’accès à un système, chiffre ou copie ses données, puis exige une rançon en échange de leur restitution. Lorsque les données ont été copiées, leur divulgation devient une menace supplémentaire. Les attaquants cherchent aussi à détruire les sauvegardes pour priver la victime de solution de repli.
Les points d’entrée les plus courants sont connus :
- Une faille de sécurité non corrigée, en particulier sur un équipement exposé à internet.
- Un accès à distance mal protégé, avec un simple mot de passe, parfois déjà dérobé.
- Un hameçonnage ou une pièce jointe piégée qui installe le programme.
Les organisations sont particulièrement visées. En 2025, les rançongiciels représentaient 8,1 % des demandes d’assistance des entreprises et associations reçues par Cybermalveillance.gouv.fr, et 13,1 % de celles des collectivités, selon son bilan des menaces visant les professionnels.
Comment s’en protéger ?
Le guide de l’ANSSI Attaques par rançongiciels, tous concernés, publié en 2020 et préfacé conjointement avec la direction des Affaires criminelles et des grâces du ministère de la Justice, présente les sauvegardes comme la mesure prioritaire.
- Des sauvegardes déconnectées : au moins pour les données critiques, une copie hors ligne, sur disque externe débranché ou sur bande, que le rançongiciel ne peut pas atteindre. Une sauvegarde accessible depuis le réseau peut être chiffrée en même temps que le reste.
- Des restaurations testées : vérifiez régulièrement que vous savez remettre les données en service, et combien de temps cela prend.
- Les mises à jour de sécurité sans délai, en priorité sur les équipements exposés à internet.
- La double authentification sur les accès à distance et les messageries, et un VPN pour les connexions extérieures.
- Le moindre privilège : chaque compte n’a que les droits dont il a besoin, et les comptes administrateurs ne servent pas au travail courant.
- Un antivirus ou un outil de détection à jour, et la sensibilisation des équipes à l’hameçonnage.
Pour un particulier, l’essentiel tient en trois gestes : des mises à jour automatiques, une sauvegarde régulière sur un disque débranché après usage, et de la prudence face aux pièces jointes. Notre guide sur l’hygiène numérique les détaille. Nous recommandons aussi aux entreprises de préparer, avant tout incident, la liste des personnes à appeler : prestataire informatique, assureur, conseil juridique.
L’attaque est en cours : les premiers gestes
Les premières heures déterminent l’ampleur des dégâts. Cybermalveillance.gouv.fr et l’ANSSI recommandent :
- Isoler : débranchez du réseau les appareils touchés, câble et Wi-Fi compris, et coupez l’accès internet du réseau attaqué. Déconnectez aussi les sauvegardes, après vous être assuré qu’elles ne sont pas infectées.
- Ne pas éteindre : laissez allumées les machines touchées, car leur mémoire contient des traces utiles à l’enquête, et ne redémarrez pas celles déjà éteintes.
- Prévenir : en entreprise, alertez immédiatement le responsable ou le prestataire informatique.
- Tout noter : l’ANSSI conseille de tenir une main courante des constats et des actions, avec leur heure.
- Conserver les preuves : le message de rançon, les adresses de contact et de cryptomonnaie fournies par les attaquants, les fichiers chiffrés.
Faut-il payer la rançon ?
Non. C’est la position constante des autorités. Cybermalveillance.gouv.fr écrit « Ne payez pas la rançon » : rien ne garantit que les données seront restituées ni qu’elles ne seront pas divulguées. L’ANSSI ajoute que le paiement entretient cette activité criminelle et n’empêche pas l’organisation d’être visée de nouveau.
Avant d’envisager toute autre option, consultez No More Ransom. Ce site, qui associe notamment Europol et la police néerlandaise, recense des outils de déchiffrement pour plusieurs familles de rançongiciels et propose un outil d’aide aux victimes, Crypto Sheriff. Lui aussi conseille de ne pas payer. Ces outils ne fonctionnent que dans certains cas. Le dépôt de plainte peut aussi aider : selon l’ANSSI, l’enquête qui suit permet parfois de récupérer des clés de déchiffrement.
Plainte, assurance et CNIL : les démarches
La plainte. Elle se dépose au commissariat, à la gendarmerie ou par écrit au procureur de la République, avant de réinstaller les appareils, preuves à l’appui. Pour une entreprise, elle est faite au nom de la société par son représentant légal ou une personne munie d’une délégation. Les particuliers majeurs peuvent utiliser la plateforme en ligne THESEE, qui cite parmi ses exemples l’extorsion d’argent pour débloquer un ordinateur ; les professionnels doivent se déplacer.
L’assurance. Si votre entreprise est assurée contre les cyberattaques, l’article L12-10-1 du Code des assurances subordonne l’indemnisation des pertes causées par une atteinte à un système informatique au dépôt d’une plainte au plus tard 72 heures après que la victime en a eu connaissance. Cette règle vise les personnes morales et les personnes physiques dans le cadre de leur activité professionnelle. Déclarez aussi le sinistre à l’assureur selon les termes de votre contrat.
La CNIL. Si des données personnelles ont été consultées, copiées, modifiées ou détruites, l’organisation responsable doit notifier la violation à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque pour les personnes : c’est l’article 33 du RGPD. La notification se fait en ligne depuis la page Notifier une violation de données personnelles. Si le risque pour les personnes est élevé, l’article 34 impose de les informer elles aussi. Pour une situation précise, rapprochez-vous de votre délégué à la protection des données ou d’un avocat.
Pour être orienté, le service 17Cyber établit un diagnostic et indique les démarches adaptées ; Cybermalveillance.gouv.fr met aussi en relation avec des prestataires d’assistance.
Quand les données volées sont publiées
Lorsque les attaquants diffusent les données dérobées, l’incident devient aussi un sujet de réputation : fichiers de clients, échanges internes ou documents personnels peuvent apparaître sur des forums ou dans les résultats de recherche. Notre article sur la fuite de données en entreprise aborde cette dimension. Notre équipe assure la veille de ce qui circule et engage les démarches de retrait auprès des hébergeurs et des moteurs de recherche ; contactez-nous par la page Contact pour en parler.
Sources vérifiées le 5 novembre 2026. Les textes, démarches et plateformes cités peuvent évoluer.
