Un cabinet comptable de douze salariés dans le Loiret, un sous-traitant automobile en Haute-Savoie, un laboratoire d’analyses en Gironde : ces trois structures ont vu leurs fichiers chiffrés en quelques heures, sans avoir détecté le moindre signal avant l’écran de rançon. Les ransomwares ne visent plus uniquement les grands groupes. Les petites entreprises françaises concentrent désormais une part massive des attaques, parce qu’elles combinent des accès mal protégés et une capacité de réponse limitée.
Identités compromises : le vecteur d’attaque que les PME sous-estiment
On pense souvent au phishing classique, l’e-mail piégé avec une pièce jointe douteuse. Ce vecteur existe toujours, mais il n’est plus le principal point d’entrée des ransomwares contre les entreprises.
A voir aussi : Les formations en cybersécurité gagnent du terrain chez les cadres informatiques
Selon le dernier rapport Sophos, 79 % des attaques par ransomware démarrent par la compromission d’identités : comptes utilisateurs volés, identifiants réutilisés sur plusieurs services, accès distants (VPN, bureau à distance) laissés ouverts avec un simple mot de passe. Dans une PME, on partage facilement un mot de passe entre collègues, on garde un accès RDP exposé pour le prestataire informatique, ou on réutilise le même identifiant sur la messagerie et l’outil de facturation.
Le problème n’est pas la sophistication de l’attaque. C’est la facilité d’accès. Un attaquant achète un lot d’identifiants volés sur un forum, teste les connexions, et tombe sur un compte actif sans authentification multifacteur. Une fois dans le réseau, il dispose de plusieurs jours pour cartographier les fichiers avant de lancer le chiffrement.
Lire également : L'authentification à double facteur devient la norme dans les entreprises
Pour une structure de dix ou vingt personnes, les réflexes à adopter sont concrets :
- Activer l’authentification multifacteur (MFA) sur tous les accès distants et la messagerie, même si cela ajoute une étape au quotidien
- Supprimer immédiatement les comptes d’anciens salariés ou prestataires, y compris les accès VPN temporaires oubliés
- Vérifier si les adresses e-mail de l’entreprise figurent dans des fuites de données connues (des outils gratuits comme Have I Been Pwned le permettent)
- Imposer un gestionnaire de mots de passe pour éviter la réutilisation d’identifiants entre services
Aucune de ces actions ne demande un budget cybersécurité conséquent. Elles demandent du temps et de la rigueur, ce qui manque souvent dans les petites structures où l’informatique est gérée « en plus » par quelqu’un dont ce n’est pas le métier.
Ransomware et double extorsion : payer ne règle rien
Le scénario classique du ransomware, chiffrer les données et demander une rançon pour les déverrouiller, a évolué. On parle désormais de double extorsion : les attaquants volent les données avant de les chiffrer, puis menacent de les publier si la rançon n’est pas versée.
Ce mécanisme change complètement la donne pour une petite entreprise. Même avec des sauvegardes fonctionnelles, la menace de voir des données clients, des contrats ou des informations financières exposées publiquement reste entière.
Les chiffres de Proofpoint confirment la tendance en France : plus de la moitié des victimes ont subi un vol de données sensibles en complément du chiffrement. Et parmi celles qui ont payé, 44 % ont fait face à une seconde demande de rançon. Payer n’éteint pas le risque, il le prolonge.
Ce que ça implique concrètement pour une TPE ou PME
La sauvegarde reste indispensable, mais elle ne suffit plus comme unique ligne de défense. On doit aussi se poser la question de la segmentation : est-ce que le poste de l’assistante commerciale a accès aux mêmes dossiers que le dirigeant ? Dans la majorité des petites structures, tout le monde accède à tout. Ce manque de cloisonnement facilite le travail des attaquants.
Limiter les droits d’accès fichier par fichier paraît fastidieux. En pratique, séparer les dossiers sensibles sur un espace restreint avec des droits spécifiques prend quelques heures de configuration et réduit considérablement la surface d’exposition.
PME françaises dans la chaîne d’approvisionnement : un maillon ciblé
Les concurrents abordent la vulnérabilité des PME comme un problème isolé, lié à leur taille ou à leur budget. On constate sur le terrain que la logique des attaquants est souvent différente : ils ne ciblent pas la PME pour elle-même, mais pour atteindre un client plus important via la chaîne d’approvisionnement.
Un sous-traitant qui échange des fichiers techniques avec un donneur d’ordres industriel devient une porte d’entrée. Si le prestataire informatique d’un réseau de franchises est compromis, c’est l’ensemble du réseau qui est exposé. Cette mécanique de rebond explique pourquoi des entreprises de cinq ou dix salariés, sans données apparemment stratégiques, se retrouvent visées.
La directive NIS2, en cours de transposition, élargit d’ailleurs les obligations de sécurité aux sous-traitants de secteurs critiques. On n’en est pas encore à des contrôles systématiques, mais les donneurs d’ordres commencent à exiger des engagements de cybersécurité contractuels. Ne pas s’y préparer, c’est risquer de perdre des marchés avant même d’être attaqué.
Premières 48 heures après une attaque ransomware : les réflexes qui comptent
Quand l’écran de rançon apparaît, la panique prend le dessus. On débranche des câbles au hasard, on éteint des serveurs, on appelle le prestataire informatique en espérant qu’il ait une solution immédiate. Les retours varient sur ce point, mais quelques réflexes font consensus.
- Isoler les machines touchées du réseau (débrancher le câble Ethernet, couper le Wi-Fi) sans les éteindre, car la mémoire vive peut contenir des éléments utiles à l’investigation
- Ne pas tenter de restaurer les sauvegardes immédiatement : si l’attaquant est encore dans le réseau, la restauration sera rechiffrée
- Déposer plainte et contacter la plateforme cybermalveillance.gouv.fr, qui oriente vers des prestataires référencés
- Prévenir les clients et partenaires dont les données ont pu être compromises, conformément aux obligations RGPD (notification dans les 72 heures à la CNIL)
La capacité à reprendre l’activité dépend souvent de décisions prises bien avant l’attaque. Une sauvegarde hors ligne testée régulièrement reste le filet de sécurité le plus fiable. « Testée » est le mot clé : trop de PME découvrent le jour de la crise que leur sauvegarde automatique ne fonctionnait plus depuis des mois.
Les petites entreprises françaises n’ont pas besoin d’un arsenal technologique pour réduire significativement leur exposition aux ransomwares. Authentification renforcée, droits d’accès segmentés, sauvegardes testées, sensibilisation régulière des équipes : ces quatre piliers couvrent la majorité des failles exploitées. Le coût de ces mesures se chiffre en heures de travail, pas en dizaines de milliers d’euros. Le coût d’une attaque, lui, se chiffre souvent en semaines d’arrêt d’activité.
