Un cabinet comptable de six salariés perd l’accès à tous ses dossiers clients un lundi matin. Le message affiché sur les écrans réclame plusieurs milliers d’euros en cryptomonnaie. Ce scénario, encore rare pour les petites structures il y a quelques années, se banalise. Les ransomwares, ces logiciels qui chiffrent vos fichiers et exigent une rançon, frappent désormais les TPE et PME avec une régularité documentée par les autorités françaises.
Ransomware contre TPE et PME : ce que montrent les chiffres de l’ANSSI
Le Panorama de la cybermenace 2025 publié par l’ANSSI fournit un repère parlant. Les TPE, PME et ETI représentaient 48 % des victimes de rançongiciel signalées en 2025, contre 37 % l’année précédente. Cette progression en un an place les petites et moyennes structures devant les collectivités territoriales et le secteur de la santé dans la répartition des victimes.
A lire également : Le chiffrement des e-mails gagne du terrain en entreprise
Ce basculement ne traduit pas un désintérêt des attaquants pour les grandes entreprises. Il reflète un changement de méthode. Les campagnes de ransomware sont aujourd’hui largement automatisées : les cybercriminels scannent des milliers de réseaux à la recherche de failles connues, sans se soucier de la taille de l’organisation derrière l’adresse IP.
Concrètement, un serveur de messagerie mal mis à jour dans une TPE est aussi facile à exploiter qu’un serveur identique dans un grand groupe. La différence, c’est que la TPE n’a généralement ni équipe de sécurité ni outil de détection pour repérer l’intrusion avant le chiffrement des données.
A lire aussi : Comment guide-du-numerique.fr vous aide à sécuriser votre accès en entreprise ?
Phishing et accès à distance : les portes d’entrée les plus exploitées
Vous recevez un courriel qui ressemble à une facture fournisseur. Le fichier joint contient en réalité un programme malveillant. Ce mécanisme, le phishing, reste le vecteur d’infection principal pour les ransomwares visant les petites entreprises.
L’autre point d’entrée fréquent est l’accès à distance au réseau de l’entreprise. Depuis la généralisation du télétravail, beaucoup de PME ont ouvert des connexions RDP (Remote Desktop Protocol) ou installé des outils de prise en main à distance. Quand ces accès sont protégés par un mot de passe faible ou réutilisé, ils deviennent une porte ouverte.
Les attaquants achètent des identifiants volés sur des places de marché spécialisées. Le prix d’un accès RDP fonctionnel vers une petite entreprise se négocie pour quelques dizaines d’euros. Un seul identifiant compromis suffit à déclencher toute la chaîne d’attaque.
Le rôle des correctifs de sécurité
Un logiciel non mis à jour présente des vulnérabilités connues, référencées publiquement. Les outils automatisés des cybercriminels comparent les versions détectées sur un réseau avec ces listes de failles. Appliquer les correctifs dès leur publication ferme ces brèches avant qu’elles ne soient exploitées.
Pour une PME sans service informatique dédié, cette tâche paraît secondaire. Elle constitue pourtant l’une des protections les plus efficaces, et ne nécessite pas de budget supplémentaire.
Cyber-assurance et ransomware : des conditions d’accès qui changent pour les PME
Jusqu’à récemment, souscrire une assurance cyber était simple : quelques questions, une prime, un contrat. Ce marché s’est durci. Les assureurs imposent désormais des prérequis techniques vérifiables avant d’accepter de couvrir une entreprise.
Parmi les exigences qui reviennent fréquemment chez les assureurs :
- L’activation de l’authentification multifacteur (MFA) sur tous les accès distants et les comptes à privilèges, pas uniquement sur la messagerie
- La réalisation de sauvegardes régulières, testées, et stockées hors du réseau principal (sauvegarde dite « hors ligne » ou « air-gapped »)
- La tenue d’un inventaire à jour des systèmes et logiciels utilisés, avec preuve d’application des correctifs de sécurité
- L’existence d’un plan de réponse aux incidents, même sommaire, décrivant qui fait quoi dans les premières heures suivant une attaque
Une PME qui ne remplit pas ces critères se voit refuser la couverture, ou se retrouve face à une prime très élevée. La cyber-assurance n’est plus un filet de secours passif mais un levier qui pousse à structurer sa sécurité.
Ransomware en PME : les réflexes concrets dans les 48 premières heures
Quand le chiffrement a commencé, la vitesse de réaction détermine l’ampleur des dégâts. Payer la rançon ne garantit pas la récupération des données, et finance directement l’écosystème criminel.
Isoler avant tout
Le premier geste consiste à déconnecter physiquement les machines touchées du réseau. Débrancher le câble Ethernet, couper le Wi-Fi. L’objectif est d’empêcher le ransomware de se propager aux autres postes, aux serveurs de fichiers ou aux sauvegardes connectées.
Alerter les bons interlocuteurs
L’ANSSI recommande de signaler l’incident sur la plateforme cybermalveillance.gouv.fr, qui oriente vers des prestataires référencés. Déposer plainte auprès de la police ou de la gendarmerie est nécessaire, notamment pour activer une éventuelle couverture d’assurance cyber.
Un prestataire spécialisé en réponse à incident peut identifier la souche du ransomware utilisée. Certaines souches disposent de clés de déchiffrement publiques, rendues disponibles par des projets comme No More Ransom.
Restaurer à partir de sauvegardes saines
Si les sauvegardes sont intactes et stockées hors du réseau compromis, la restauration peut démarrer rapidement. Si elles étaient connectées au même réseau, elles ont probablement été chiffrées aussi. C’est le scénario le plus coûteux pour une petite entreprise.
La question de la sauvegarde se pose donc bien avant l’attaque. Tester la restauration d’une sauvegarde une fois par trimestre permet de vérifier qu’elle fonctionne réellement le jour où elle devient indispensable.
Protection des données et cybersécurité : par où commencer quand on est une petite entreprise
Les mesures de protection les plus efficaces contre les ransomwares ne sont pas les plus coûteuses. Elles reposent sur des pratiques régulières plutôt que sur des outils sophistiqués.
- Former chaque salarié à repérer un courriel de phishing, avec des exemples concrets tirés de campagnes réelles, et renouveler cette sensibilisation au moins une fois par an
- Activer l’authentification multifacteur sur la messagerie, les outils de gestion et tout accès à distance au réseau
- Maintenir une sauvegarde automatique quotidienne sur un support déconnecté du réseau, et vérifier périodiquement que la restauration fonctionne
Ces trois actions couvrent les vecteurs d’attaque les plus courants. Elles ne demandent pas de recruter un responsable informatique ni d’investir dans des solutions onéreuses. La difficulté réside dans la régularité : appliquer ces gestes chaque semaine, chaque mois, sans relâchement après quelques semaines sans incident. C’est cette constance qui sépare les entreprises qui résistent d’une attaque de celles qui perdent leurs données.
