Ransomware : comprendre les attaques, prévenir le risque, organiser la réponse

Un ransomware est un logiciel malveillant qui chiffre les données d’une organisation pour en bloquer l’accès et exiger le paiement d’une rançon en échange de leur restitution. Le terme recouvre aujourd’hui une chaîne d’attaque complète : intrusion, reconnaissance interne, vol de données, puis chiffrement. La menace s’est industrialisée autour d’un modèle de franchise criminelle, le Ransomware-as-a-Service, qui a démultiplié le nombre d’acteurs capables de conduire une attaque. Cette page réunit les mécanismes, les leviers de prévention et la conduite à tenir en cas d’incident, ainsi que l’ensemble des analyses ITPro rattachées au sujet. Elle s’inscrit dans notre couverture de la cybersécurité en entreprise.

Qu’est-ce qu’un ransomware ?

Définition. Un ransomware, ou rançongiciel, est un programme malveillant qui rend les données d’un système inaccessibles par chiffrement et subordonne leur restitution au versement d’une rançon. Depuis 2019, la majorité des opérations combinent ce chiffrement avec le vol préalable des données, afin de maintenir la pression même sur une victime capable de restaurer ses sauvegardes.

Rançongiciel, malware, virus : la distinction

Les trois termes ne désignent pas le même niveau de réalité. Confondre les catégories conduit à mal calibrer les défenses.

Le ransomware appartient donc à la famille des logiciels malveillants, dont il constitue la déclinaison la plus directement rentable pour ses opérateurs.

Pourquoi la menace s’est professionnalisée

Le rançongiciel des années 2013 relevait de l’infection opportuniste : CryptoLocker chiffrait un poste, réclamait quelques centaines de dollars, et passait au suivant. Le modèle a changé de nature vers 2019. Les groupes ont cessé de viser le volume pour viser la valeur, en ciblant des organisations capables de payer des montants à six ou sept chiffres.

Cette bascule s’accompagne d’une division du travail. Un acteur vend l’accès initial, un autre fournit le code de chiffrement, un troisième conduit l’intrusion, un quatrième négocie. L’ANSSI documente chaque année cette structuration dans son Panorama de la cybermenace, où le rançongiciel figure parmi les finalités les plus fréquemment observées sur les incidents traités.

Les cinq phases d’une attaque ransomware

Le chiffrement est la dernière étape, jamais la première. Entre l’intrusion initiale et l’affichage de la demande de rançon, il s’écoule généralement plusieurs jours, parfois plusieurs semaines. Cette fenêtre est celle où une détection reste possible.

Phase 1 : reconnaissance et acquisition de l’accès

Les opérateurs de ransomware conduisent rarement eux-mêmes l’intrusion. Ils achètent l’accès à des Initial Access Brokers, courtiers spécialisés qui compromettent des organisations en amont et revendent les identifiants ou les points d’entrée sur des forums criminels. La cible est choisie sur des critères économiques : chiffre d’affaires, secteur, niveau d’assurance cyber présumé.

Phase 2 : compromission initiale

Trois vecteurs concentrent l’essentiel des intrusions observées : l’exploitation d’une vulnérabilité sur un équipement exposé (concentrateur VPN, pare-feu, serveur de fichiers), l’usage d’identifiants valides obtenus par infostealer ou par phishing, et l’accès distant mal protégé, notamment un RDP exposé sans authentification multifacteur. Le rapport annuel Data Breach Investigations Report de Verizon confirme la prééminence de ces trois portes d’entrée.

Phase 3 : élévation de privilèges et déplacement latéral

Une fois dans le réseau, l’attaquant cherche le contrôle de l’annuaire. Il utilise pour cela des outils légitimes déjà présents dans l’environnement : PsExec, PowerShell, WMI, outils d’administration à distance. Cette technique, désignée sous le terme Living off the Land, réduit fortement la surface de détection puisqu’aucun binaire étranger n’est déposé. Les techniques employées sont cataloguées dans le référentiel MITRE ATT&CK.

C’est également durant cette phase que les attaquants neutralisent les défenses : désactivation des agents EDR, parfois par exploitation d’un pilote vulnérable signé (Bring Your Own Vulnerable Driver), et suppression des clichés instantanés Windows pour empêcher toute restauration locale.

Phase 4 : exfiltration des données

Avant de chiffrer, l’attaquant vole. Les données sensibles sont identifiées, compressées puis transférées vers une infrastructure contrôlée, souvent via des services de stockage cloud légitimes pour se fondre dans le trafic normal. Un pic de volumétrie sortante inhabituelle constitue à ce stade l’un des rares signaux exploitables.

Phase 5 : chiffrement et extorsion

Le déploiement s’effectue en une nuit ou un week-end, généralement via les stratégies de groupe Active Directory pour atteindre l’ensemble du parc simultanément. Les sauvegardes accessibles depuis le réseau sont chiffrées en priorité. La demande de rançon apparaît, assortie d’un délai et de la menace de publication sur un site de fuite.

Double extorsion, triple extorsion et modèle RaaS

Le Ransomware-as-a-Service

Définition. Le Ransomware-as-a-Service désigne un modèle criminel dans lequel un groupe développe et maintient le rançongiciel, puis le met à disposition d’affiliés qui conduisent les attaques et reversent une part de la rançon. L’opérateur fournit le code, l’infrastructure de paiement, le site de fuite et parfois le support à la négociation.

Ce modèle explique la prolifération observée depuis 2020. Il abaisse la barrière technique : un affilié n’a pas besoin de savoir écrire un chiffreur, seulement de savoir se déplacer dans un réseau. Il explique aussi la résilience de l’écosystème. Le démantèlement d’un opérateur, comme celui de LockBit lors de l’opération Cronos en février 2024, ne supprime pas les affiliés : ils basculent vers une autre franchise.

De la double à la triple extorsion

La double extorsion apparaît fin 2019 avec le groupe Maze. Le principe : chiffrer, mais aussi voler, puis menacer de publier. Une victime disposant de sauvegardes saines reste sous pression, car le risque n’est plus la perte de données mais leur divulgation.

La triple extorsion ajoute une couche : contacter directement les clients, les patients ou les partenaires de la victime pour les informer de la fuite, ou lancer une attaque en déni de service pendant la négociation. Certains groupes vont jusqu’à signaler eux-mêmes l’incident aux régulateurs sectoriels.

Les groupes actifs

Le paysage se recompose vite. Après la neutralisation de LockBit et la disparition d’ALPHV/BlackCat début 2024, l’activité s’est redistribuée vers RansomHub, Akira, Qilin, Play, BlackSuit et Medusa, entre autres. Suivre ces recompositions présente un intérêt opérationnel : identifier la souche permet d’anticiper les techniques employées et d’orienter l’investigation.

Les impacts pour l’entreprise, du blocage à l’obligation de notifier

Un incident ransomware n’est pas seulement un problème technique. Il déclenche simultanément plusieurs compteurs réglementaires, dont le point de départ est la connaissance de l’incident, pas sa résolution.

Fuite de données et exposition RGPD

Dès lors que des données à caractère personnel ont été exfiltrées, l’article 33 du RGPD impose une notification à la CNIL dans les 72 heures suivant la prise de connaissance de la violation. Le délai court même si le périmètre exact n’est pas encore établi : une notification initiale peut être complétée ultérieurement.

Assurance cyber et dépôt de plainte

La loi d’orientation et de programmation du ministère de l’Intérieur du 24 janvier 2023 a introduit l’article L.12-10-1 du code des assurances. Il conditionne l’indemnisation des pertes d’exploitation consécutives à une atteinte à un système d’information au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’atteinte. Ce délai doit figurer dans le plan de crise, pas être découvert le jour de l’incident.

NIS2

La directive NIS2 étend le périmètre des entités soumises à des obligations de sécurité et de notification, avec une alerte précoce sous 24 heures et une notification circonstanciée sous 72 heures.

Comment réduire le risque ransomware

Aucune mesure ne supprime le risque. L’objectif est d’allonger la durée de l’intrusion, de multiplier les points de détection et de garantir la capacité à repartir sans payer.

Sauvegardes immuables

La règle 3-2-1 (trois copies, deux supports, une hors site) ne suffit plus face à des attaquants qui ciblent explicitement les sauvegardes. Son extension 3-2-1-1-0 ajoute une copie immuable ou hors ligne, et zéro erreur de restauration vérifiée. Le point critique n’est pas la sauvegarde mais la restauration : un plan de reprise qui n’a jamais été testé en conditions réelles est une hypothèse, pas une garantie. Le sujet est traité en détail dans notre section sauvegarde, PRA et PCA.

Durcissement des identités

L’authentification multifacteur sur l’ensemble des accès distants et des comptes à privilèges élimine la majorité des scénarios d’entrée par identifiants volés. Elle doit s’accompagner d’une gestion des comptes à privilèges (PAM), d’une réduction du nombre d’administrateurs de domaine et d’une rotation des secrets.

Segmentation réseau

La segmentation ne prévient pas l’intrusion, elle en limite la portée. Isoler les environnements de sauvegarde, les systèmes industriels et les périmètres métier critiques transforme une compromission totale en incident circonscrit. C’est le levier au meilleur rapport effet sur coût une fois l’architecture réseau maîtrisée.

Gestion des vulnérabilités et exposition externe

Les équipements de bordure concentrent les intrusions : concentrateurs VPN, pare-feu, passerelles de messagerie, serveurs de transfert de fichiers. Un inventaire à jour de la surface exposée et un délai de correctif contractualisé sur les vulnérabilités critiques valent mieux qu’un programme de patch management théorique.

Détection

L’EDR reste le socle, mais son efficacité dépend de sa couverture réelle et de la capacité à réagir aux alertes. Une console EDR non supervisée hors heures ouvrées laisse passer les déploiements de nuit. Le sujet de la détection étendue est développé dans notre section EDR et XDR.

Que faire dans les 48 heures qui suivent une attaque

Les premières décisions conditionnent la suite. Les erreurs les plus coûteuses se prennent dans les deux premières heures.

1. Isoler sans détruire. Déconnecter les systèmes du réseau, mais ne pas éteindre les machines : la mémoire vive contient des éléments d’investigation qui disparaissent à l’extinction. Ne pas réinstaller avant qualification.

2. Déclencher la cellule de crise. Direction générale, RSSI, DSI, juridique, communication, DPO. Basculer sur un canal de communication hors du système d’information compromis.

3. Qualifier le périmètre. Identifier la souche, l’étendue du chiffrement, la trace d’exfiltration. Cette qualification détermine les obligations déclaratives.

4. Déclarer. Plainte sous 72 heures pour l’assurance, signalement au CERT-FR, notification CNIL sous 72 heures si des données personnelles sont concernées, information de l’assureur. Cybermalveillance.gouv.fr oriente les organisations qui ne disposent pas d’un dispositif interne.

5. Restaurer depuis des sauvegardes vérifiées. Reconstruire sur un environnement sain, dans un ordre de priorité métier défini à l’avance. Rechercher les persistances résiduelles avant toute reconnexion.

6. Ne pas payer. La position de l’ANSSI est constante : le paiement ne garantit ni la restitution complète des données, ni leur non-publication, finance directement l’écosystème criminel et désigne la victime comme cible solvable pour une seconde attaque.

Explorer le cluster Cybersécurité

Cette page fait partie de notre couverture de la cybersécurité en entreprise : menaces, architectures de défense, conformité et gestion de crise.

iTPro+ : recevez chaque semaine l’analyse des menaces et les décisions d’architecture qui comptent pour les équipes IT.