Ransomware : comprendre et se protéger du rançongiciel

Un ransomware (rançongiciel) chiffre vos données, ou menace de les publier, et exige une rançon. C'est aujourd'hui l'une des menaces les plus coûteuses pour les organisations, parce qu'elle frappe au coeur : la disponibilité de vos fichiers et de vos services. Cette page explique comment fonctionne une attaque par rançongiciel, pourquoi elle a muté vers la double extorsion, ce qu'est le modèle RaaS, la question du paiement, et surtout les défenses qui tiennent, avec les chiffres de l'ENISA pour 2025. Elle s'adresse à toute personne qui veut comprendre cette menace, sans prérequis.

Ce que vous allez apprendre

Le rançongiciel n'est pas qu'un virus qui chiffre : c'est devenu une industrie criminelle structurée. Concrètement, vous saurez :

• Définir un ransomware et décrire le déroulé d'une attaque, de l'accès initial au chiffrement.
• Replacer chaque étape d'une attaque sur les phases de la kill chain.
• Distinguer chiffrement simple, double et triple extorsion.
• Comprendre le modèle Ransomware-as-a-Service (RaaS) et son écosystème d'affiliés, puis lire les chiffres de l'ENISA pour 2025.
• Décider face à la question du paiement de la rançon.
• Déployer les défenses efficaces : sauvegardes 3-2-1 immuables, MFA, segmentation, plan de réponse.
• Relier cette menace au modèle de menaces SOCLE (vecteur de rançongiciel cloud) et à la tactique Impact de MITRE ATT&CK (T1486).

Qu'est-ce qu'un ransomware

Un ransomware est un logiciel malveillant qui prend vos données en otage : il les rend inaccessibles, le plus souvent en les chiffrant avec une clé que seul l'attaquant détient, et/ou il menace de les publier. Un message réclame ensuite une rançon, généralement en cryptomonnaie, en échange de la clé de déchiffrement ou de la non-divulgation. Le nom vient de l'anglais ransom, la rançon.

Un ransomware ne cherche pas à effacer vos données : il les chiffre sur place et retient la clé. Le contenu reste sur les disques, mais parfaitement inutilisable sans la clé, et les attaquants s'en prennent aussi aux copies de sauvegarde pour que vous ne puissiez pas restaurer. Pour une entreprise, la conséquence est immédiate, production à l'arrêt et coût qui s'accumule à chaque heure d'indisponibilité. Les groupes actuels ajoutent le plus souvent une seconde pression : ils copient les données avant de chiffrer et menacent de les publier, c'est la double extorsion décrite plus bas.

Dans le référentiel MITRE ATT&CK, le chiffrement destructeur porte l'identifiant T1486 (Data Encrypted for Impact), rangé dans la tactique Impact, celle des attaques qui visent à détruire ou perturber plutôt qu'à voler discrètement.

Comment se déroule une attaque

Contrairement à l'image d'un clic malheureux suivi d'un chiffrement immédiat, une attaque par rançongiciel moderne est une intrusion complète qui suit la kill chain. Le chiffrement n'est que la dernière étape, celle des actions sur objectifs.

Le schéma typique enchaîne un accès initial (souvent par hameçonnage ou exploitation d'un service exposé), une reconnaissance interne, une élévation de privilèges, un déplacement latéral pour toucher un maximum de machines, l'exfiltration des données sensibles, puis le chiffrement massif déclenché au pire moment (nuit, week-end). Cette phase de préparation peut durer des jours ou des semaines avant que la victime ne voie quoi que ce soit.

Le chiffrement n'arrive qu'à la fin. L'exfiltration, en rouge, a lieu avant : la menace de publication ne dépend donc pas de la clé de déchiffrement. Source · SVG

Échap pour fermer, + et − pour zoomer, défilement pour se déplacer. 100 % − Ajuster + Fermer

Le chiffrement arrive en dernier

Quand la demande de rançon s'affiche, l'attaquant est déjà profondément installé depuis longtemps et a souvent déjà exfiltré vos données. La détection précoce, dans les phases amont, vaut toutes les défenses de dernière minute.

Où le rançongiciel se place-t-il dans la kill chain ?

Chaque étape d'une attaque par rançongiciel correspond à une phase de la kill chain, et chaque phase offre une chance de l'arrêter. Le tableau suit l'ordre des phases et indique ce que les groupes y font, d'après l'ENISA pour 2025.

Phase de la kill chain	Ce que fait l'attaquant	Un contrôle qui l'arrête
Livraison	Hameçonnage, ClickFix, faux support informatique	Sensibilisation, filtrage, MFA résistante au phishing
Exploitation	Faille d'un VPN (accès distant au réseau de l'entreprise) ou d'un pare-feu exposé	Correctifs rapides sur les services exposés
Installation	Persistance : outil d'accès à distance légitime détourné, pour rester dans le réseau	Liste d'applications autorisées, détection
Commande et contrôle	Services légitimes utilisés comme canal	Filtrage des sorties, surveillance du trafic
Entre les deux, l'après-intrusion (leçon complémentaire, pas une des sept phases)	Vol d'identifiants, déplacement latéral	Segmentation, moindre privilège
Actions sur les objectifs	Exfiltration, suppression des sauvegardes, chiffrement	Sauvegardes isolées, alerte sur l'exfiltration

Glissez pour voir

Ce découpage montre pourquoi une seule défense ne suffit pas : les deux premières lignes sont des portes d'entrée (humaine, logicielle) ; les suivantes décrivent ce qui se joue une fois dans le réseau : persistance, propagation, vol et destruction des sauvegardes. Plus on coupe tôt, moins il y a de données à protéger à la fin.

De l'extorsion simple à la triple extorsion

Le modèle économique du rançongiciel s'est durci pour augmenter la pression.

• Extorsion simple : les données sont chiffrées, vous payez pour la clé. Une sauvegarde saine suffit alors à s'en sortir sans payer.
• Double extorsion : avant de chiffrer, l'attaquant exfiltre les données et menace de les publier. Même avec une bonne sauvegarde, la victime subit le chantage à la fuite. C'est aujourd'hui la norme.
• Triple extorsion : la pression s'étend aux clients, aux partenaires ou à l'opinion (contact direct des victimes, attaque par déni de service, signalement aux régulateurs). L'objectif est de rendre le non-paiement le plus douloureux possible.

Cette évolution change la parade : une sauvegarde ne protège plus contre la fuite de données. Il faut empêcher l'exfiltration en amont, pas seulement pouvoir restaurer.

Le modèle Ransomware-as-a-Service (RaaS)

Le rançongiciel s'est professionnalisé en une chaîne de sous-traitance. Le Ransomware-as-a-Service (RaaS), décrit dans la phase d'armement, fonctionne comme un logiciel en location : un groupe développe le rançongiciel, le panneau de gestion et l'infrastructure de paiement, puis les loue à des affiliés qui se chargent de l'intrusion. Les gains se partagent entre les deux.

Cette division du travail abaisse la barrière d'entrée : un attaquant n'a plus besoin de savoir coder un chiffreur, seulement d'obtenir un accès. Elle explique aussi la multiplication des campagnes et la difficulté à attribuer une attaque à un groupe précis, puisque plusieurs affiliés utilisent le même outil.

Que montre l'ENISA sur les rançongiciels en 2025 ?

L'ENISA Threat Landscape 2026 (publié le 22 septembre 2026, période 2025) classe parmi les groupes les plus actifs dans l'Union européenne Qilin, SafePay, Akira, INC Ransom et Hunters International. D'après les revendications recensées, les pays les plus touchés sont l'Allemagne (26,5 %), la France (14,7 %), l'Italie (13,6 %) et l'Espagne (12,2 %). Ces parts mesurent les victimes revendiquées sur des sites de fuite, pas toutes les attaques.

Le rapport décrit un glissement : parmi les techniques publiquement documentées de ces groupes, l'exfiltration de données arrive en tête (73,3 %), loin devant le chiffrement (13,7 %). Ces parts comptent des techniques ATT&CK documentées (l'exfiltration, par exemple T1041, contre le chiffrement T1486), pas des attaques : elles ne disent pas que 73,3 % des attaques ont volé des données. L'ENISA y voit un déplacement du chiffrement vers l'extorsion par la fuite de données. Les points d'entrée cités sont les failles de VPN et de pare-feu (Fortinet, SonicWall, Cisco), ClickFix, les identifiants volés et les faux appels du support informatique, qui font installer un outil de contrôle à distance.

Avant de chiffrer, ces groupes préparent un chantier difficile à réparer : suppression des copies de volumes Windows (Volume Shadow Copy, les instantanés que le système garde pour restaurer d'anciennes versions de fichiers), attaque de l'infrastructure de machines virtuelles, et arrêt de l'EDR (l'outil de détection installé sur les postes, présenté dans la leçon sur les logiciels malveillants) avec des outils dédiés. Qilin a aussi ajouté une fonction d'« appel d'avocat » qui imite une escalade juridique pour presser la victime. Côté organisation, le rapport note que des codes sources divulgués ou des constructeurs de chiffreurs réutilisés abaissent encore la barrière d'entrée du modèle RaaS.

Faut-il payer la rançon ?

La recommandation des autorités, dont l'ANSSI en France, est claire : ne pas payer. Plusieurs raisons solides la fondent.

• Aucune garantie : payer n'assure ni la récupération des données, ni la suppression des copies exfiltrées. Vous dépendez de la parole de criminels.
• Financement du crime : chaque rançon finance les campagnes suivantes et entretient l'écosystème RaaS.
• Cible désignée : une victime qui paie signale qu'elle est solvable et se réexpose à de futures attaques.

Payer reste parfois envisagé en dernier recours face à un risque vital, mais c'est un pari perdant qui ne remplace jamais une capacité de restauration propre. La vraie réponse se prépare avant l'incident.

Comment se protéger

Aucune mesure isolée ne suffit. La défense empile prévention, limitation de la propagation et capacité de reprise.

Pouvoir restaurer sans payer

• Sauvegardes selon la règle 3-2-1 : trois copies, sur deux supports différents, dont une hors site. C'est le socle de la reprise.
• Sauvegardes immuables ou hors-ligne : une copie que le rançongiciel ne peut ni chiffrer ni supprimer (stockage en écriture unique, coffre déconnecté), avec des identifiants distincts de ceux de l'administration courante. Voir la sauvegarde hors du compte, le plan de reprise et la sauvegarde chiffrée avec plakar.
• Restauration testée : une sauvegarde jamais restaurée n'est pas une sauvegarde. L'exercice de restauration doit être régulier et chronométré.

Empêcher l'entrée et la propagation

• MFA résistante au phishing sur les accès distants et privilégiés, car l'hameçonnage reste l'une des portes d'entrée courantes, avec les failles des accès distants. Les passkeys et WebAuthn sont la forme de MFA qui résiste à ce piège.
• Correctifs à jour sur les services exposés (VPN, bureau à distance), portes d'entrée classiques des affiliés.
• Segmentation réseau et moindre privilège pour freiner le déplacement latéral : un poste compromis ne doit pas donner accès à tout le parc.
• EDR et détection pour repérer la reconnaissance interne et le chiffrement de masse avant qu'il ne se propage.

Se préparer à l'incident

• Un plan de réponse écrit et répété : qui isole, qui communique, qui restaure, sous quel délai.
• Des sauvegardes des systèmes critiques identifiées et priorisées pour la reprise.

Ransomware, cloud et supply chain

Le rançongiciel ne touche plus seulement les postes : il vise le cloud et la chaîne logicielle. Le modèle de menaces SOCLE recense un vecteur dédié de rançongiciel cloud (destruction ou chiffrement des données et des sauvegardes hébergées), car un attaquant qui obtient des droits cloud peut détruire les sauvegardes en même temps que les données.

L'attaque Kaseya VSA illustre le croisement avec la supply chain : en exploitant un outil d'administration, les attaquants ont diffusé un rançongiciel à un grand nombre d'organisations d'un coup. Compromettre un fournisseur démultiplie la portée d'une seule intrusion.

À retenir

1. Un ransomware chiffre vos données contre une rançon, frappant la disponibilité au coeur de votre activité.

2. Le chiffrement arrive en dernier : c'est l'aboutissement d'une intrusion complète, souvent précédée d'une exfiltration.

3. La double extorsion est la norme : la fuite de données rend la seule sauvegarde insuffisante, il faut aussi empêcher l'exfiltration.

4. Le modèle RaaS a industrialisé la menace en séparant développeurs et affiliés, abaissant la barrière d'entrée.

5. Ne pas payer : aucune garantie, financement du crime, cible désignée. La vraie réponse est la capacité de restauration.

6. L'ENISA observe un glissement vers l'exfiltration : 73,3 % des techniques ATT&CK documentées contre 13,7 % pour le chiffrement (des techniques, pas des attaques).

7. La défense empile 3-2-1 immuable, MFA, segmentation et plan de réponse, et le modèle de menaces SOCLE relie le rançongiciel cloud aux contrôles qui le neutralisent.

Contrôle de connaissances

Six questions tirées sur huit : chiffrement, double extorsion, modèle RaaS et ce qui protège vraiment.

Contrôle de connaissances

Validez vos connaissances avec ce quiz interactif

6 questions

6 min.

70% requis

Informations

• Le chronomètre démarre au clic sur Démarrer
• Questions à choix multiples, vrai/faux et réponses courtes
• Vous pouvez naviguer entre les questions
• Les résultats détaillés sont affichés à la fin

Démarrer le quiz

Lance le quiz et démarre le chronomètre

×

📖 Voir la documentation →