Un message annonce que les fichiers ont été chiffrés et qu’un paiement rendra l’accès aux documents. La scène se déroule le plus souvent le matin, à l’ouverture du poste, et la première réaction consiste à chercher un moyen de récupérer les photos ou la comptabilité au plus vite. C’est précisément le moment où les mauvaises décisions se prennent. Se protéger d’un rançongiciel suppose d’avoir agi avant, en réduisant les portes d’entrée et en organisant des copies hors d’atteinte, puis de savoir tenir une conduite précise pendant l’incident. Le premier principe ne souffre aucune exception : la rançon ne se paie pas, jamais, quel que soit le montant demandé et quelles que soient les promesses affichées à l’écran.
Rançongiciel : se protéger commence par comprendre le mécanisme
Un rançongiciel n’est pas un virus au sens ancien du terme. Il ne cherche ni à détruire ni à se montrer : il cherche à rendre les données illisibles tout en laissant la machine fonctionnelle, afin que la victime puisse lire la demande et effectuer un paiement.
Le déroulement suit presque toujours le même enchaînement. Une exécution initiale se produit, par une pièce jointe ouverte, un logiciel téléchargé hors circuit officiel ou une faille non corrigée. Le programme s’installe discrètement et prend le temps d’observer : dossiers de documents, disques externes branchés, lecteurs réseau accessibles, espaces de synchronisation montés comme des dossiers locaux. Il neutralise ensuite ce qui pourrait servir à restaurer, notamment les copies automatiques du système. Puis il chiffre les fichiers, souvent la nuit ou pendant une absence prolongée, et affiche enfin sa demande.
Deux conséquences pratiques découlent de ce fonctionnement. La première : tout support connecté au moment du chiffrement est concerné, y compris le disque externe laissé branché en permanence pour les sauvegardes. La seconde : le délai entre l’infection et le chiffrement laisse une fenêtre pendant laquelle une machine compromise se comporte normalement, ce qui explique qu’un poste puisse contaminer un environnement partagé avant que quiconque ne s’aperçoive de quoi que ce soit.
Payer ne règle rien, pour trois raisons cumulatives. Le paiement ne garantit aucune restitution, puisque rien n’oblige l’attaquant à fournir une clé fonctionnelle. Il désigne la victime comme solvable, ce qui expose à une seconde sollicitation. Il alimente enfin directement une activité criminelle organisée.
Les portes d’entrée les plus fréquentes
Quatre vecteurs concentrent la majorité des cas rencontrés chez les particuliers et les petites structures.
Le courriel piégé arrive largement en tête. La pièce jointe se présente comme une facture, un avis de livraison, un remboursement ou une convocation. Le fichier porte souvent une extension d’apparence anodine, parfois double, et déclenche l’installation à l’ouverture. Le message imite une administration ou une entreprise connue, avec un logo correct et un français désormais très propre.
Le logiciel téléchargé hors circuit officiel vient ensuite. Version modifiée d’un programme payant, utilitaire miracle promettant d’accélérer la machine, pilote récupéré sur un site de récupération : le paquet fonctionne parfois réellement, tout en installant sa charge en arrière-plan.
La faille non corrigée constitue le troisième vecteur. Un système ou un logiciel qui n’a pas reçu ses mises à jour depuis des mois expose des vulnérabilités connues et publiquement documentées, qu’aucune compétence particulière n’est nécessaire pour exploiter.
Le quatrième vecteur, en progression, passe par la manipulation directe. Un appel téléphonique annonce un problème sur le compte bancaire ou sur l’ordinateur, et demande d’installer un outil de prise en main à distance. La personne ouvre elle-même la porte, convaincue de résoudre un incident. Aucune administration, aucune banque, aucun service technique légitime ne procède ainsi.
Sept mesures de prévention réellement efficaces
Le tableau ci-dessous classe les mesures par rapport entre effort et protection obtenue.
| Mesure | Effort | Effet sur le risque |
|---|---|---|
| Mises à jour automatiques du système et des logiciels | Faible | Très élevé |
| Sauvegarde déconnectée après usage | Faible | Décisif en cas d’incident |
| Compte utilisateur sans droits d’administrateur | Faible | Élevé |
| Vérification de l’expéditeur avant toute pièce jointe | Faible | Très élevé |
| Téléchargement depuis les sources officielles uniquement | Faible | Élevé |
| Double authentification sur les comptes sensibles | Moyen | Élevé sur le vol de comptes |
| Affichage des extensions de fichiers | Faible | Utile au repérage |
Trois de ces lignes méritent un commentaire. Le compte sans administrateur reste la mesure la plus sous-estimée : travailler au quotidien avec un compte standard limite mécaniquement ce qu’un programme malveillant peut installer, puisqu’une élévation de privilèges demande une validation explicite. L’affichage des extensions, désactivé par défaut sur plusieurs systèmes, révèle immédiatement un fichier qui se présente comme un document alors qu’il s’agit d’un programme. La double authentification, enfin, ne protège pas du chiffrement mais empêche qu’un mot de passe dérobé donne accès à la messagerie, porte d’entrée vers tous les autres comptes.
Un mot sur l’antivirus. Un outil de protection à jour reste utile et intercepte une part des menaces connues, mais aucun ne garantit une immunité. La protection intégrée aux systèmes récents suffit pour un usage domestique, à condition qu’elle soit active et à jour. Empiler deux solutions de protection dégrade les performances sans améliorer la sécurité.
La règle de sauvegarde 3-2-1
Cette règle, largement reprise par les professionnels de la sécurité, tient en trois chiffres : trois copies des données, sur deux supports de nature différente, dont une conservée hors du lieu principal.
Trois copies signifient l’original plus deux sauvegardes distinctes. Deux supports différents évitent qu’une même défaillance emporte tout : un disque interne et un disque externe, ou un disque externe et un espace en ligne. Une copie hors site protège du vol, de l’incendie et du dégât des eaux, autant que du chiffrement.
Le point critique porte sur la déconnexion physique. Un rançongiciel chiffre tout ce qu’il atteint au moment de son exécution. Un disque externe branché en permanence subit exactement le même sort que le disque interne. La sauvegarde ne protège donc qu’à une condition : le support est débranché entre deux utilisations et rangé ailleurs.
Les espaces de synchronisation demandent une lecture attentive sur ce point. Ils ne constituent pas une sauvegarde au sens strict, puisqu’ils reproduisent les modifications, y compris malveillantes. Leur historique des versions offre néanmoins un recours réel, en permettant de restaurer un état antérieur au chiffrement, dans la limite de la fenêtre de conservation prévue par le service. Ce mécanisme et ses limites sont détaillés dans notre repère sur le stockage en ligne et ses usages.
Une sauvegarde jamais testée reste une hypothèse. Restaurer un fichier au hasard une fois par trimestre prend cinq minutes et transforme cette hypothèse en certitude.
Que faire pendant une attaque
La conduite à tenir se résume à six gestes, dans cet ordre.
Isoler d’abord la machine : débrancher le câble réseau, couper le wifi, retirer tout support externe encore connecté. Ce geste stoppe la propagation vers les autres appareils du foyer ou de la structure.
Ne pas éteindre brutalement ensuite. Certains éléments utiles à l’analyse résident en mémoire vive, et un arrêt sauvage peut aggraver l’état de fichiers en cours de traitement. Mettre en veille prolongée ou laisser en l’état constitue un meilleur réflexe.
Photographier l’écran en troisième lieu, avec un téléphone. Le message affiché, les adresses mentionnées et l’extension ajoutée aux fichiers documentent l’incident et facilitent son identification.
Ne rien payer, quatrième point, et ne contacter aucune des adresses figurant dans le message. Toute communication avec l’attaquant renforce sa position.
Chercher ensuite si une solution de déchiffrement existe. Des outils gratuits ont été publiés pour certaines familles de rançongiciels dont les clés ont été récupérées ou dont l’implémentation était défaillante. Ces outils se trouvent auprès d’initiatives publiques et associatives reconnues dans le domaine, jamais sur un site généraliste proposant un utilitaire miracle contre paiement.
Faire appel enfin à un intervenant qualifié plutôt que de multiplier les manipulations. Les critères de choix d’un professionnel et les fourchettes de tarif figurent dans notre article sur le dépannage informatique et ses repères de prix.
Un dernier point concerne la remise en service. Nettoyer un poste chiffré ne suffit pas : la seule méthode fiable consiste à repartir d’une installation neuve du système, puis à restaurer les documents depuis une sauvegarde antérieure à l’incident. Réintroduire un dossier récupéré tel quel sur un système conservé revient à prendre le risque de réactiver ce qui dormait encore. La restauration des documents se fait fichier par fichier quand le volume le permet, en écartant les exécutables et les archives d’origine incertaine.
Signalement et suites
Deux démarches se mènent en parallèle, sans se remplacer l’une l’autre.
Le dépôt de plainte constitue la première. Un rançongiciel relève d’infractions pénales caractérisées, et la plainte se dépose auprès des services de police ou de gendarmerie. Les éléments rassemblés pendant l’incident, captures d’écran, courriel d’origine, horodatage, y trouvent leur utilité. Pour une structure professionnelle, ce dépôt conditionne souvent la prise en charge par une assurance.
Le signalement auprès du dispositif public national d’assistance aux victimes d’actes de cybermalveillance constitue la seconde. Ce service, accessible sous le nom cybermalveillance.gouv.fr, oriente les victimes, publie des fiches de conduite à tenir et met en relation avec des prestataires référencés. Le signalement alimente également la connaissance collective des campagnes en cours.
Une étape est régulièrement oubliée : le changement des mots de passe, depuis un appareil sain et non depuis la machine compromise. Messagerie en priorité, puis comptes bancaires et espaces administratifs. Un poste infecté ayant pu enregistrer des saisies, tout identifiant utilisé avant l’incident doit être considéré comme exposé. D’autres repères de protection au quotidien sont rassemblés dans notre rubrique sécurité informatique.