Ransomware en PME : 7 mesures concrètes pour ne jamais payer la rançon

Tous les ans depuis 2020, le nombre d’attaques par ransomware ciblant les TPE-PME françaises augmente. L’ANSSI publie un panorama annuel des incidents de cybersécurité : en 2024, les rançongiciels étaient la principale menace traitée par l’agence, avec plus de 400 incidents déclarés et probablement dix fois plus dans la réalité (la majorité des PME ne déclarent pas).

Le scénario type est presque toujours le même : un poste compromis (souvent par une pièce jointe ouverte par erreur), des fichiers chiffrés sur tout le réseau accessible, une demande de rançon en cryptomonnaie, et un dirigeant qui découvre le matin que son entreprise est à l’arrêt. La rançon demandée est calibrée pour être plus chère qu’un week-end perdu mais moins chère qu’une faillite — souvent entre 20 000 € et 200 000 € pour une PME.

L’ANSSI, le FBI et la quasi-totalité des assureurs cyber déconseillent formellement de payer. Pas par principe moral, mais parce que les statistiques le montrent : moins de 60 % des paiements aboutissent à une récupération réelle, beaucoup d’attaquants reviennent quelques mois plus tard sachant qu’ils ont affaire à un client solvable, et le paiement finance la prochaine vague d’attaques.

La bonne nouvelle, c’est que la quasi-totalité des attaques absorbées sans payer ont suivi le même schéma : l’entreprise avait préparé sa résilience en amont. Voici les sept mesures qui font la différence.

1. Une sauvegarde immutable, hors site, et déconnectée

C’est la mesure n°1. Le ransomware moderne ne se contente plus de chiffrer les fichiers : il cherche activement les sauvegardes pour les chiffrer aussi, ou pour empêcher leur restauration. Les attaquants savent que sans cette étape, leur levier de négociation tombe.

Il vous faut donc des sauvegardes :

• hors site — pas accessibles depuis votre réseau local ;
• isolées — pas joignables avec les identifiants de votre infrastructure habituelle (sinon le ransomware peut les compromettre quand il aura volé vos credentials) ;
• versionnées sur une durée suffisante pour retrouver un état antérieur à l’infection (au moins 30 jours, idéalement plus) ;
• immutables quand c’est possible — c’est-à-dire qu’aucun acteur, pas même un administrateur compromis, ne peut les supprimer ou les modifier pendant la fenêtre de rétention.

Concrètement : un NAS local n’est pas suffisant. S’il est dans les mêmes locaux et joignable via SMB, le ransomware le chiffrera aussi. Il faut une copie qui sort réellement de votre périmètre technique. C’est exactement le rôle du cloud miroir que nous installons chez nos clients — il vit ailleurs, il est chiffré bout-en-bout, et les attaquants n’ont aucun moyen technique de l’atteindre depuis votre réseau infecté.

2. Une politique de mots de passe et l’authentification à deux facteurs partout

Une étude IBM de 2024 montre que dans plus de 80 % des compromissions de TPE-PME, l’accès initial vient d’identifiants volés (phishing, fuite de mot de passe, force brute sur des comptes mal protégés). La défense de base, c’est donc :

• un gestionnaire de mots de passe déployé pour tous les employés (Bitwarden, 1Password, ou équivalent), avec interdiction de réutiliser les mots de passe d’un service à l’autre ;
• l’authentification à deux facteurs (2FA) activée sur tous les comptes critiques : email, accès distant, comptes bancaires, services de gestion ;
• la rotation des mots de passe partagés quand un employé quitte l’entreprise.

Cette mesure ne coûte presque rien (les gestionnaires de mots de passe sont à quelques euros par utilisateur et par mois) et bloque une énorme proportion des attaques avant qu’elles ne commencent.

3. Un EDR ou un antivirus moderne sur tous les postes

L’antivirus traditionnel par signature ne suffit plus contre les ransomwares modernes, qui mutent en permanence. Ce qu’il vous faut, c’est un EDR (Endpoint Detection and Response) — un outil qui détecte les comportements suspects (chiffrement massif soudain, processus inhabituel, communications sortantes anormales) et arrête le programme avant qu’il ne fasse trop de dégâts.

Les options accessibles aux PME en 2026 : Microsoft Defender for Business (inclus dans la plupart des plans Microsoft 365 Business), Bitdefender GravityZone Business Security, Sentinel One Singularity Core, ou les solutions natives Apple si vous êtes 100 % Mac. Comptez 5 à 15 € par poste et par mois selon la solution.

4. La séparation des comptes administrateurs

Sur la plupart des postes que nous auditons en arrivant chez un nouveau client, l’utilisateur quotidien est administrateur local de sa machine. C’est confortable (on peut tout installer sans demander la permission), mais c’est aussi ce qui permet au ransomware, une fois qu’il a réussi à se lancer, de modifier toutes les protections du système.

La règle saine : un compte administrateur dédié, utilisé uniquement quand une élévation de privilèges est nécessaire, et un compte utilisateur pour tout le reste — y compris la consultation des mails et la navigation web. Cela complique sérieusement la tâche d’un ransomware, qui ne peut pas s’installer en profondeur sans demander d’élévation.

Sur Windows, cela se configure via la stratégie de groupe. Sur macOS, c’est natif si on respecte la séparation des comptes.

5. Une segmentation du réseau

Si tous les postes de l’entreprise sont dans le même sous-réseau, qu’ils voient tous le serveur de fichiers et qu’ils peuvent communiquer entre eux, un poste compromis peut propager le ransomware en quelques minutes. Si vous segmentez — par exemple : compta isolée des autres équipes, postes invités sur un VLAN séparé, IoT (imprimantes, caméras) sur un VLAN dédié — vous ralentissez ou bloquez la propagation.

Cette mesure demande un peu d’investissement réseau (un switch managé, ou un firewall correctement configuré) mais c’est l’une des plus efficaces contre la propagation. Pour une TPE-PME, c’est typiquement un projet de quelques jours avec un prestataire compétent. Si votre infrastructure est récente, il y a des chances que ce soit déjà partiellement en place sans que vous le sachiez.

6. Un plan de reprise documenté et testé

C’est la mesure que personne n’a, et qui change tout le jour J.

Un plan de reprise (parfois appelé “PRA” pour Plan de Reprise d’Activité) répond à des questions simples mais qu’on ne veut pas se poser sous pression :

• Qui contacter en premier en cas d’incident ? Dans quel ordre ?
• À quel moment isole-t-on quels équipements pour stopper la propagation ?
• Comment communique-t-on avec les employés (qui n’ont peut-être plus accès à leur mail) ?
• Quels processus métier sont prioritaires à remettre en route ?
• Quelle est la procédure de restauration depuis la sauvegarde ? Qui sait l’exécuter ?
• Comment communique-t-on avec les clients pendant l’incident ?

Ce document tient sur 5-10 pages. Le rédiger prend une journée. Le tester une fois par an — par un exercice de simulation — prend une autre journée. C’est l’investissement le plus rentable que vous pouvez faire sur la cybersécurité, parce qu’il évite que le jour de l’incident soit un jour de panique pure.

7. La conformité du sous-traitant et la déclaration CNIL

C’est moins une mesure technique qu’une discipline. Si vous traitez des données personnelles (et c’est le cas de quasiment toutes les PME), une attaque par ransomware est susceptible de constituer une violation de données au sens du RGPD, à déclarer à la CNIL dans les 72 heures.

Vous devez donc :

• savoir avec qui vous avez signé un DPA (votre prestataire de sauvegarde, votre prestataire IT, votre prestataire RH, votre prestataire marketing, etc.) ;
• avoir une fiche réflexe pour la déclaration CNIL — le formulaire est en ligne, mais il faut avoir préparé les éléments à fournir ;
• garder une trace écrite de votre démarche, y compris si vous décidez de ne pas notifier les personnes concernées en raison d’une absence d’impact significatif.

Une violation de données mal déclarée (ou pas déclarée du tout) peut entraîner une sanction CNIL qui peut faire mal — récemment, une PME française d’une cinquantaine de salariés a été sanctionnée à hauteur de 100 000 € pour ne pas avoir respecté ses obligations après une attaque par ransomware. Le ransomware coûte cher ; le silence administratif coûte parfois plus cher.

Nous avons écrit un article dédié sur le sujet : Sauvegarde et RGPD : la checklist du responsable de traitement.

Combien ça coûte de mettre tout ça en place ?

Voici un ordre de grandeur réaliste pour une TPE-PME de 10-20 postes :

• Sauvegarde managée avec cloud miroir : 200 à 400 € HT/mois ;
• Gestionnaire de mots de passe : 4 à 8 € par utilisateur et par mois ;
• EDR ou antivirus moderne : 5 à 15 € par poste et par mois ;
• Segmentation réseau : 1 500 à 5 000 € en projet ponctuel, selon le matériel existant ;
• Plan de reprise rédigé : un à deux jours d’un consultant, soit 800 à 2 000 € ponctuels ;
• Conformité DPA et fiche réflexe RGPD : intégré dans la mise en place du prestataire de sauvegarde.

Soit un budget de l’ordre de 400 à 800 € HT par mois en récurrent + quelques milliers d’euros une seule fois. À comparer aux 20 000 à 200 000 € demandés en rançon, et au temps d’arrêt typique d’une PME victime de ransomware non préparée (10 à 30 jours).

Pour aller plus loin

L’ANSSI publie un guide gratuit intitulé “Attaques par rançongiciels, tous concernés” qui détaille les mesures par profil d’organisation. Il est lisible, à jour, et constitue une excellente base d’audit.

Si vous voulez démarrer simple sans tout faire d’un coup, l’ordre de priorité que nous suggérons est : (1) la sauvegarde hors site versionnée, (2) le 2FA partout, (3) le gestionnaire de mots de passe, (4) l’EDR, puis le reste. Les trois premières mesures coûtent peu et bloquent l’essentiel.

---

Et concrètement chez vous ?

Haven prend en charge la première brique — la sauvegarde managée avec cloud miroir hors site, en datacenter européen ISO 27001. NAS local installé chez vous, supervision continue, tests trimestriels documentés. Forfaits Atelier, Maison ou Domaine pour les structures de 1 à 100 postes ; Solo pour les indépendants.

Demander un audit gratuit de votre exposition au ransomware →