Rançongiciel en entreprise : prévenir, réagir, ne pas payer

Rançongiciel : comment l'attaque se déroule

Un rançongiciel compromet un équipement ou un système pour en bloquer l'accès, chiffrer ou copier les données, puis réclame une rançon, décrit la fiche publiée le 3 juin 2025 et mise à jour le 7 mai 2026. L'intrusion passe souvent par une faille non corrigée, un accès à distance mal protégé, « NAS, RDP, VPN », ou un compte compromis après un hameçonnage.

Pendant l'attaque, les cybercriminels cherchent souvent à détruire les sauvegardes et à exfiltrer les données pour menacer de les publier. Ils déclenchent l'attaque pendant une période de moindre activité, « la nuit, le week-end », et peuvent ajouter d'autres pressions : revendication publique, attaque par déni de service du site, messages aux clients.

Les premières mesures de prévention

La fiche liste douze mesures. Les plus accessibles à une petite entreprise : des sauvegardes régulières « en gardant des copies déconnectées » et en testant leur restauration ; les mises à jour de sécurité, surtout sur les équipements exposés à Internet ; un antivirus sur tous les postes et serveurs ; un pare-feu, dont les premières fonctions de filtrage peuvent être réglées dans la « box » Internet ; un VPN avec double authentification pour les accès distants ; des droits limités au strict nécessaire ; pas de logiciels piratés ; et la sensibilisation des collaborateurs.

Pour la fréquence des sauvegardes, la fiche propose une question simple : quel serait l'impact de la perte d'un jour, d'une semaine ou d'un mois de commandes, de factures ou de rendez-vous ? Le détail est dans notre page sur la sauvegarde et celle sur le VPN.

Si l'entreprise est touchée

Premier geste : couper les connexions à Internet du réseau attaqué, par exemple en éteignant la box. Ensuite, identifier et déconnecter les machines touchées, câble ou wifi, et débrancher les sauvegardes encore connectées. La fiche demande de ne pas éteindre les machines touchées, pour préserver les preuves en mémoire, sauf si le chiffrement est encore en cours, et de ne pas démarrer les machines éteintes épargnées. Il faut alerter le prestataire informatique ou suivre un parcours d'assistance sur 17cyber.gouv.fr.

« Ne payez pas la rançon réclamée » : rien ne garantit la récupération des données ni leur non-divulgation, et le paiement encourage de nouvelles attaques. Il faut conserver les preuves, journaux, copies des disques, message de rançon, quelques fichiers chiffrés, et porter plainte avant de réinstaller les appareils. Avec une assurance cyber, la loi du 24 janvier 2023 impose de déposer plainte dans les 72 heures suivant la connaissance de l'attaque pour être indemnisé.

Ce que cette page ne dit pas

Cette page ne détaille pas les mesures « avancées » de la fiche, supervision, proxy, segmentation du réseau, ni la gestion de crise, traitée dans notre page sur la cyberattaque. Fiche lue le 14 septembre 2026.