Cas réel d’attaque par rançongiciel en PME

Un lundi à 7 h 42, les employés d’une PME de services professionnels constatent que leurs fichiers partagés ne s’ouvrent plus. Quelques minutes plus tard, une note de rançon apparaît sur plusieurs postes. Ce cas réel d’attaque par rançongiciel en PME montre une réalité souvent sous-estimée : le chiffrement visible n’est que la dernière étape d’une intrusion qui a parfois commencé plusieurs jours auparavant.

L’entreprise concernée compte une soixantaine de collaborateurs, utilise Microsoft 365, des postes Windows, un serveur de fichiers local et des applications métiers accessibles à distance. Son activité dépend de la disponibilité immédiate des dossiers clients, des devis et de la facturation. L’incident a été anonymisé, mais les mécanismes, les décisions et les enseignements sont directement applicables à de nombreuses PME.

Cas réel d’attaque par rançongiciel en PME : le scénario

L’accès initial ne vient pas d’une faille spectaculaire. Un salarié reçoit un e-mail qui semble provenir d’un partenaire connu. Le message demande de consulter un document partagé et renvoie vers une page de connexion Microsoft 365 imitée avec soin. L’utilisateur saisit ses identifiants. Les attaquants les récupèrent immédiatement.

Le compte est protégé par une authentification multifacteur, mais celle-ci repose sur des notifications à valider. Après plusieurs demandes envoyées en dehors des heures de bureau, l’utilisateur accepte une notification, pensant corriger un problème de connexion. Les cybercriminels disposent alors d’un accès à la messagerie et aux outils collaboratifs.

Pendant les jours suivants, ils observent l’environnement. Ils recherchent les comptes à privilèges, les partages réseau, les sauvegardes accessibles et les solutions de sécurité en place. Ils utilisent des règles de messagerie pour dissimuler certains échanges, puis tentent d’étendre leurs droits. Cette phase est discrète. Aucun fichier n’est encore chiffré, mais le risque est déjà majeur.

Le vendredi soir, les attaquants se connectent avec un compte administrateur compromis. Ils désactivent plusieurs protections sur des postes, suppriment des copies accessibles et déploient leur programme de chiffrement. Le lundi matin, les équipes trouvent des répertoires inutilisables, des noms de fichiers modifiés et un message exigeant un paiement en cryptomonnaie sous menace de divulgation des données exfiltrées.

Les premières heures déterminent l’ampleur de l’arrêt

Face à une rançon affichée à l’écran, le premier réflexe peut être de vouloir remettre les systèmes en marche au plus vite. C’est compréhensible, mais reconnecter un poste sans investigation ou restaurer des données sur un réseau encore compromis peut offrir une seconde occasion aux attaquants.

Dans ce cas, le responsable informatique a fait isoler les postes touchés et coupé l’accès aux partages concernés. Les connexions distantes ont été suspendues, les sessions administratives révoquées et les mots de passe des comptes sensibles réinitialisés depuis un environnement sain. Cette décision a ralenti le travail pendant quelques heures, mais elle a empêché la propagation vers d’autres segments du réseau.

L’entreprise a ensuite séparé deux sujets qui sont souvent confondus : la continuité d’activité et l’enquête technique. D’un côté, elle a identifié les fonctions indispensables à reprendre en priorité - relation client, réception des demandes, facturation et accès aux dossiers urgents. De l’autre, elle a conservé les preuves nécessaires pour comprendre le point d’entrée, l’étendue de l’accès et la possible exfiltration de données.

Les sauvegardes hors ligne ou immuables ont fait la différence. Une copie récente des données critiques était disponible, mais elle devait être vérifiée avant restauration. Les équipes ont d’abord reconstruit les comptes, renforcé les accès et contrôlé les postes. Elles ont ensuite restauré les données dans un environnement nettoyé, par vagues, en commençant par les services les plus essentiels.

La PME n’a pas repris toutes ses opérations le jour même. En revanche, elle a évité un arrêt prolongé et n’a pas payé la rançon. Payer ne garantit ni la restitution complète des données, ni la suppression des informations volées, ni l’absence de nouvelle extorsion. Cette option peut être étudiée avec des conseils juridiques, l’assureur et les autorités compétentes, mais elle ne remplace jamais une réponse structurée.

Ce qui a facilité l’attaque

L’incident ne résulte pas d’une seule erreur humaine. Il révèle un enchaînement de faiblesses fréquentes dans les PME : une authentification multifacteur trop facile à contourner, des droits administrateurs trop étendus, une visibilité insuffisante sur les activités inhabituelles et des sauvegardes dont la restauration n’avait pas été testée récemment.

La sensibilisation au phishing reste nécessaire, mais elle ne doit pas faire porter toute la défense sur les utilisateurs. Un salarié pressé peut cliquer sur un lien convaincant. La protection doit donc prévoir ce scénario : filtrage des e-mails, contrôle des domaines usurpés, détection des connexions anormales, authentification résistante au phishing et limitation stricte des privilèges.

Le réseau a également joué un rôle. Le serveur de fichiers, plusieurs postes et certains services critiques étaient trop directement accessibles les uns aux autres. Une segmentation mieux conçue aurait réduit la capacité des attaquants à se déplacer. Le principe est simple : un compte compromis ou un poste infecté ne doit pas automatiquement ouvrir la porte à l’ensemble de l’entreprise.

Les protections qui auraient réduit le risque

Une PME n’a pas besoin de multiplier les outils sans cohérence. Elle a besoin d’une défense organisée, surveillée et adaptée à ses activités. Dans ce cas, plusieurs mesures auraient réduit la probabilité de compromission ou limité ses conséquences.

D’abord, l’authentification multifacteur doit être renforcée pour les comptes Microsoft 365, les accès VPN, les administrateurs et les applications sensibles. Les clés de sécurité ou les méthodes fondées sur le numéro de connexion sont généralement préférables aux simples notifications à accepter. Les accès conditionnels doivent aussi bloquer ou vérifier davantage les connexions à risque.

Ensuite, une protection endpoint avec détection et réponse permet d’identifier des comportements suspects avant le chiffrement : désactivation d’un antivirus, création d’outils d’administration inhabituels, extraction massive de fichiers ou tentatives de mouvement latéral. Sa valeur ne réside pas uniquement dans l’agent installé sur le poste, mais dans la capacité à analyser les alertes et à intervenir rapidement.

La gestion des correctifs est tout aussi décisive. Les systèmes d’exploitation, équipements réseau, applications métiers et accès distants doivent être maintenus à jour selon une priorité liée au risque. Il faut aussi supprimer les comptes inutilisés, revoir régulièrement les droits d’administration et journaliser les actions à privilèges.

Enfin, les sauvegardes doivent être conçues comme une capacité de reprise, non comme une simple copie de fichiers. Elles doivent être isolées du réseau de production, protégées contre la suppression, contrôlées et restaurées lors de tests planifiés. Une sauvegarde inutilisable lors d’un incident ne protège rien.

Préparer la réponse avant que la rançon apparaisse

Chaque PME devrait disposer d’un plan de réponse compréhensible par les équipes techniques et la direction. Il doit préciser qui peut isoler un système, qui contacte les prestataires, qui valide les communications clients et qui décide des priorités de reprise. Dans une crise, l’ambiguïté coûte du temps et peut aggraver les pertes.

Ce plan mérite d’être exercé. Un scénario court, fondé sur la compromission d’une messagerie ou le chiffrement d’un serveur, permet de vérifier les numéros d’urgence, les accès aux sauvegardes, les responsabilités et les solutions de travail temporaire. L’objectif n’est pas de prédire chaque attaque, mais de réduire le délai entre la détection et l’action.

SentriCorp accompagne les PME dans cette logique de défense proactive : surveiller les signaux faibles, réduire la surface d’attaque, protéger les postes et les identités, puis intervenir avec méthode lorsqu’un événement exige une réponse immédiate. La sécurité ne se limite pas à empêcher l’incident. Elle protège surtout la capacité de l’entreprise à continuer d’opérer quand un incident survient.

La bonne question n’est donc pas seulement : « Sommes-nous protégés contre les rançongiciels ? » Elle est aussi : « Si un compte était compromis ce soir, saurions-nous l’identifier, le contenir et reprendre nos activités sans céder au chaos ? » La réponse se construit avant l’alerte, par des contrôles concrets, des responsabilités claires et une vigilance continue.