Un lundi matin, les employés arrivent et rien ne démarre. Les fichiers portent des noms illisibles, les logiciels métier refusent de s’ouvrir, et un message s’affiche sur les écrans : vos données sont chiffrées, voici comment nous contacter.
Ce scénario est le plus redouté des dirigeants de PME, et le plus mal compris. Parce que ce lundi matin n’est pas le début de l’attaque. C’est sa fin. Comprendre ce qui s’est passé avant change complètement la façon dont on s’en protège.
Qu’est-ce qu’un rançongiciel, exactement ?
Un rançongiciel est un logiciel malveillant qui rend vos données inutilisables en les chiffrant, puis monnaye la clé qui permettrait de les récupérer.
Techniquement, rien de mystérieux : le chiffrement est la même technologie qui protège vos paiements en ligne. La différence est simplement que la clé se trouve chez quelqu’un d’autre.
Ce qui a changé ces dernières années, ce n’est pas la technique, c’est l’organisation. Les groupes criminels fonctionnent comme des entreprises, avec des équipes spécialisées dans l’intrusion, d’autres dans la négociation, et des plateformes qui louent le logiciel à des affiliés. En Suisse, l’Office fédéral de la cybersécurité a reçu 57 annonces directes d’incidents liés à des rançongiciels au second semestre 2025, la variante Akira étant la plus répandue dans le pays.
Ces chiffres ne recensent que les cas signalés. Beaucoup de PME ne déclarent rien, par méconnaissance ou par crainte pour leur réputation. Le nombre réel est donc plus élevé. Ce que ces annonces mesurent exactement, et ce qu’elles ne mesurent pas, est détaillé dans notre panorama de la cybercriminalité en Suisse en chiffres.
Le déroulement d’une attaque, étape par étape
Une attaque par rançongiciel n’est pas un événement, c’est un processus. Voici les cinq phases que l’on retrouve dans la quasi-totalité des cas.
| Phase | Ce qui se passe | Durée typique | Ce que vous voyez |
|---|---|---|---|
| 1. Intrusion | L’attaquant obtient un premier accès : identifiant volé, courriel piégé, faille non corrigée sur un accès distant | Quelques minutes | Rien |
| 2. Reconnaissance | Il explore le réseau, identifie les serveurs, les sauvegardes et les comptes administrateurs | Plusieurs jours à plusieurs semaines | Rien, ou de rares lenteurs |
| 3. Vol de données | Il copie vers l’extérieur les documents les plus sensibles : contrats, comptabilité, dossiers clients, ressources humaines | Quelques heures à quelques jours | Rien |
| 4. Chiffrement | Il neutralise les sauvegardes accessibles, puis lance le chiffrement, souvent la nuit ou un week-end | Quelques heures | Tout, d’un coup |
| 5. Extorsion | Demande de rançon pour la clé, et menace de publication des données volées | Jours à semaines | La note de rançon |
Deux enseignements se dégagent de ce tableau.
Le premier : l’attaque est silencieuse pendant l’essentiel de sa durée. Entre l’intrusion et le chiffrement, l’attaquant est chez vous, et personne ne le sait. C’est aussi une bonne nouvelle : cette fenêtre est une occasion de détecter et d’arrêter l’attaque, à condition de surveiller un minimum ce qui se passe sur le réseau.
Le second : les sauvegardes sont une cible prioritaire. Un attaquant expérimenté ne lance jamais le chiffrement avant d’avoir cherché et détruit tout ce qui pourrait vous permettre de restaurer. C’est la raison pour laquelle une sauvegarde en permanence connectée au réseau ne vous protège pas.
La porte d’entrée est presque toujours la même
Il n’existe pas dix façons d’entrer. Trois voies dominent largement.
Les identifiants volés ou trop faibles. Un accès distant à un serveur, un webmail ou un VPN, protégé par un simple mot de passe, se retrouve tôt ou tard testé automatiquement. La double authentification supprime l’essentiel de ce risque.
Le courriel piégé. Une pièce jointe ou un lien qui installe un premier programme malveillant. C’est le domaine de l’hameçonnage, qui reste le point de départ le plus courant.
Les failles non corrigées. Un pare-feu, un serveur de fichiers ou un logiciel de gestion dont la mise à jour de sécurité n’a pas été appliquée. Les vulnérabilités publiées sont exploitées en masse dans les jours qui suivent leur annonce, d’où l’importance d’une politique de mises à jour régulières.
Vos données sont copiées avant d'être chiffrées. Même si vous restaurez tout depuis une sauvegarde parfaite, l'attaquant détient une copie de vos contrats, de votre comptabilité et de vos fichiers clients, et menace de les publier. Payer ne garantit pas leur effacement : vous n'avez aucun moyen de le vérifier. Une bonne sauvegarde reste indispensable, mais elle ne règle pas ce volet.
Combien coûte réellement une attaque à une PME ?
Les discussions se focalisent sur le montant de la rançon. C’est rarement le poste le plus lourd. Pour une PME, la facture se compose de quatre éléments, dont trois sont indépendants de la décision de payer ou non.
L’arrêt d’activité. C’est le coût dominant. Plus de facturation, plus d’accès aux dossiers clients, plus de production si vos machines dépendent du système d’information. Une entreprise de services qui ne peut plus accéder à ses dossiers ne facture plus, mais continue de payer ses salaires et ses loyers.
La reconstruction technique. Il ne suffit pas de restaurer les fichiers. Il faut s’assurer que l’attaquant n’est plus présent, ce qui implique souvent de réinstaller les serveurs et les postes depuis zéro, de renouveler tous les mots de passe et de revoir les accès distants. Cette phase mobilise des prestataires externes pendant plusieurs jours.
Les conséquences commerciales et juridiques. Des clients apprennent que leurs données sont dans la nature. Certains partent, d’autres exigent des garanties. S’il s’agit de données personnelles, vos obligations légales s’appliquent, comme le détaille notre article sur vos obligations nLPD. La manière dont vous annoncez la situation à vos clients pèse d’ailleurs autant que les faits eux-mêmes, un sujet que nous traitons dans communiquer pendant une cyberattaque.
La charge humaine. Elle ne figure sur aucune facture, mais les semaines qui suivent une attaque épuisent une petite structure. Les dirigeants gèrent la crise, les équipes travaillent en mode dégradé, et la ressaisie manuelle des données perdues occupe parfois des mois.
Un point encourageant : dans ce panorama, une variable pèse plus que toutes les autres. Une PME dont les sauvegardes sont récentes, déconnectées et testées redémarre. Une PME sans sauvegarde exploitable subit l’intégralité de la liste ci-dessus.
Faut-il payer ?
La question se pose toujours, souvent sous une pression considérable et avec un délai imposé par les attaquants.
Les autorités suisses déconseillent le paiement, pour des raisons concrètes. Rien ne garantit que la clé fournie fonctionne, ni qu’elle permette de tout récupérer. Le paiement finance directement une activité criminelle et signale que votre entreprise paie, ce qui augmente le risque d’une seconde attaque. Enfin, dans un cas de double extorsion, vous n’avez aucun moyen de vérifier que les données volées ont été détruites.
Cela dit, la décision appartient au dirigeant, qui la prend dans un contexte particulier. Nous examinons les critères, les alternatives et les questions à poser à son assurance dans payer ou ne pas payer une rançon. Si vous êtes en train de subir une attaque, commencez plutôt par les premières heures.
Comment s’en protéger concrètement ?
Il n’existe pas de solution unique, mais une succession de couches, chacune éliminant une partie des scénarios.
La sauvegarde hors ligne, en premier. C’est la mesure qui décide de tout le reste, parce qu’elle vous rend la liberté de refuser de payer. Trois copies, deux supports, une hors site et déconnectée : c’est la règle 3-2-1 des sauvegardes, et c’est la seule protection qui fonctionne encore une fois l’attaque réussie. Une sauvegarde jamais testée ne compte pas.
La double authentification sur tous les accès externes. Webmail, VPN, accès distant, outils en ligne. Elle neutralise la voie d’entrée la plus fréquente.
Les mises à jour appliquées rapidement, en particulier sur les équipements exposés à internet.
La limitation des droits. Un utilisateur qui travaille au quotidien avec un compte administrateur offre à un attaquant l’ensemble du réseau dès la première erreur.
Un plan de réaction écrit. Qui appelle qui, dans quel ordre, avec quels numéros. Ce document doit exister sur papier, puisque le jour venu vos systèmes seront indisponibles.
Posez-vous une seule question : si tous vos serveurs et tous vos postes étaient illisibles demain matin, à partir de quelle copie repartiriez-vous, et où se trouve-t-elle physiquement ? Si la réponse ne vient pas immédiatement, ou si la copie est branchée au réseau, vous connaissez votre priorité. Une cyberassurance peut compléter le dispositif, mais elle ne remplace jamais une sauvegarde.
Ce qu’il faut retenir
Un rançongiciel n’est pas un coup de foudre imprévisible. C’est une intrusion qui a duré, une reconnaissance méthodique, un vol de données, puis un chiffrement. Chacune de ces étapes offre une occasion de rompre la chaîne.
Le contexte suisse invite à s’y mettre sans attendre. L’OFCS a reçu 64 733 déclarations volontaires de cyberincidents en 2025, contre 62 954 en 2024. Et dans le même temps, la confiance des PME recule : 42 % d’entre elles estiment leur protection suffisante, contre 55 % un an plus tôt. Cette lucidité nouvelle est une bonne chose, à condition qu’elle se traduise en actes.
Pour savoir où vous en êtes, le check-up cyber fait le tour de vos points d’exposition en quelques minutes. Les autres menaces courantes sont détaillées dans le pilier Menaces.