C’est un lundi matin. Les fichiers ne s’ouvrent plus, un message affiche un montant et un compte à rebours. Quelqu’un pose alors la question que personne ne voulait entendre : est-ce qu’on paie ?
Cet article ne vous donnera pas de réponse toute faite, parce qu’il n’en existe pas. Il vous donne ce dont vous avez besoin pour ne pas décider mal : ce que le paiement achète réellement, ce qu’il n’achète pas, et pourquoi cette question se tranche bien avant qu’un écran de rançon s’affiche.
Que recommandent les autorités suisses, et pourquoi ?
L’Office fédéral de la cybersécurité (OFCS) déconseille le paiement. La plupart des autorités européennes tiennent la même position. Cette recommandation s’appuie sur trois raisons concrètes, qu’il vaut la peine de comprendre plutôt que de recevoir comme un principe.
Le paiement finance l’activité criminelle. Les groupes de rançongiciels sont des organisations avec des salaires, des outils achetés et des sous-traitants. Chaque rançon versée finance directement les attaques suivantes, y compris contre des entreprises comparables à la vôtre. C’est un raisonnement collectif, qui pèse peu face à une entreprise à l’arrêt, mais il est réel.
Le paiement vous désigne comme payeur. Les groupes échangent, revendent et documentent leurs cibles. Une entreprise qui a payé est une entreprise dont on sait qu’elle paie, qu’elle dispose des fonds, et qu’elle a une tolérance faible à l’interruption. Ce statut circule, et il attire.
Le paiement n’achète aucune garantie. C’est le point le plus important, et c’est celui que la section suivante détaille.
Que garantit réellement le paiement ?
Rien n’est contractuel dans une rançon. Vous versez des fonds à une organisation criminelle en échange d’une promesse, sans recours si elle n’est pas tenue.
Même quand la clé de déchiffrement fonctionne, vous récupérez des fichiers, pas un système d'information sain. Les accès de l'attaquant, les comptes créés et les portes dérobées installées restent en place tant qu'ils n'ont pas été cherchés et supprimés. Payer ne vous dispense d'aucune des étapes de reconstruction.
Trois écarts reviennent constamment entre ce qu’on croit acheter et ce qu’on obtient.
La clé peut être défectueuse ou très lente. Les outils de déchiffrement fournis par les attaquants sont souvent de qualité médiocre. Il arrive qu’ils échouent sur certains types de fichiers, qu’ils corrompent des bases de données, ou qu’ils fonctionnent à une vitesse telle que le déchiffrement complet d’un serveur demande plusieurs jours. Une entreprise qui espérait redémarrer le lendemain se retrouve à l’arrêt aussi longtemps qu’avec une restauration.
La suppression des données volées n’est pas vérifiable. Aucune preuve technique ne peut établir qu’une copie n’existe plus ailleurs.
Rien n’empêche une seconde attaque. Si la faille d’origine n’est pas corrigée, elle reste ouverte, pour le même groupe ou pour un autre. Une entreprise qui paie sans reconstruire proprement son système reste exactement aussi vulnérable qu’avant, avec en moins la trésorerie versée.
Ces trois écarts ont un point commun. Ils ne dépendent pas de votre habileté à négocier ni de la somme versée. Ils tiennent à la nature même de l’échange : vous ne signez pas un contrat, vous espérez qu’une organisation criminelle tienne parole.
La double extorsion change le calcul
Les rançongiciels modernes ne se contentent plus de chiffrer. Ils commencent par copier les données vers l’extérieur, puis chiffrent. L’attaquant dispose alors de deux leviers : vous empêcher de travailler, et menacer de publier ce qu’il a pris.
Cette évolution a une conséquence directe pour les dirigeants. Une entreprise bien sauvegardée peut restaurer et refuser de payer pour le déchiffrement, et recevoir malgré tout une seconde demande, portant cette fois sur le silence.
Payer pour une clé produit au moins un résultat observable : les fichiers s'ouvrent, ou ils ne s'ouvrent pas. Payer pour une suppression ne produit rien d'observable. Vous versez une somme et vous continuez d'espérer, sans jamais pouvoir vérifier, et vous avez signalé au passage que la menace fonctionne sur vous.
C’est aussi pourquoi la question du vol de données doit être traitée indépendamment de celle de la restauration. Le sujet est développé dans notre article sur le vol de données.
Pourquoi des dirigeants paient-ils quand même ?
Un article qui ignorerait cette réalité ne serait pas honnête. Des entreprises paient, y compris des entreprises bien conseillées, et leurs raisons ne sont ni irrationnelles ni méprisables.
L’activité s’arrête totalement. Les salariés arrivent le matin sans pouvoir travailler, tout en étant payés. Les commandes ne partent pas, les factures ne se font pas, la production s’immobilise. Les clients, eux, n’attendent pas indéfiniment : au bout de quelques jours, certains vont ailleurs, et ne reviennent pas.
À cela s’ajoute la pression du temps. Le dirigeant doit trancher en quelques heures, avec des informations incomplètes, souvent sans savoir encore quelles données ont été prises ni combien de temps prendrait une restauration.
Reconnaître cette pression n’est pas encourager le paiement. C’est comprendre pourquoi la seule protection efficace consiste à ne jamais se retrouver dans cette position.
Les questions à trancher avant de décider
Si la question se pose malgré tout, elle ne se répond pas par oui ou par non. Elle se répond en établissant d’abord des faits.
| Question | Pourquoi elle est décisive |
|---|---|
| Nos sauvegardes sont-elles intactes et exploitables ? | Une sauvegarde connectée au réseau a probablement été chiffrée avec le reste |
| En combien de temps peut-on restaurer ? | Trois jours d’arrêt et trois semaines ne conduisent pas à la même décision |
| Quelles données ont été volées ? | Détermine le risque réel de publication et les obligations d’annonce |
| Que dit notre contrat d’assurance ? | Certains contrats excluent le paiement, d’autres exigent leur accord préalable |
| Quelles obligations légales s’appliquent ? | L’annonce des violations et l’information des personnes concernées sont indépendantes du paiement |
Sur le plan juridique, restez prudent. Un paiement peut soulever des questions selon l’identité et la localisation du destinataire des fonds, notamment au regard des sanctions internationales. Ces questions ne s’improvisent pas : elles s’examinent avec un conseil juridique, et l’examen se documente. Vos obligations d’annonce, elles, sont détaillées dans notre article sur l’annonce d’une violation de données.
Une décision collective, documentée, jamais improvisée
Trois principes tiennent quel que soit le choix final.
La décision appartient à la direction. Jamais au responsable informatique seul, jamais à la personne qui découvre l’écran. Celui qui gère la crise technique n’est pas celui qui engage l’entreprise.
L’assurance et un conseil sont consultés avant, pas après. Un paiement effectué sans prévenir l’assureur peut faire tomber la couverture. Les clauses qui gouvernent ce point, ainsi que les exclusions les plus fréquentes, sont détaillées dans notre article sur ce que couvre vraiment une cyberassurance.
Tout se documente. Qui a décidé, quand, sur la base de quelles informations, avec quels avis. Ce dossier vous servira face à votre assurance, face aux autorités et, le cas échéant, face à vos propres associés.
Une entreprise capable de restaurer ses données en quelques jours n'a pas ce dilemme : elle refuse, elle repart, elle traite ensuite la question du vol. Cette capacité se construit aujourd'hui, pas le matin de l'attaque, et elle se vérifie en testant une restauration complète au moins une fois par an. Tout est expliqué dans notre article sur les sauvegardes et la règle 3-2-1.
Se préparer plutôt que d’avoir à choisir
Les rançongiciels restent une menace constante en Suisse : 57 incidents liés à des rançongiciels ont été annoncés à l’OFCS au second semestre 2025, et ces chiffres ne recensent que les cas signalés.
La conclusion pratique est courte. La question « faut-il payer ? » est le symptôme d’une préparation insuffisante, jamais un problème qu’on résout dans l’instant. Les entreprises qui n’ont pas eu à se la poser sont celles qui avaient des sauvegardes déconnectées, testées, et un plan écrit décrivant qui fait quoi. Pour la marche à suivre immédiate, voyez les premières heures après une attaque, et pour comprendre le fonctionnement de ces attaques, notre article sur les rançongiciels.
Ces repères constituent un socle, ils ne remplacent pas une analyse de votre situation. Savoir en combien de temps votre entreprise redémarrerait réellement, et quelles données un attaquant pourrait emporter, demande de regarder votre infrastructure précise. C’est un travail modeste comparé à l’enjeu : la somme en question le jour d’une attaque, additionnée aux jours d’arrêt, dépasse largement le coût d’un accompagnement préparé à froid. Le check-up cyber constitue un premier repérage, et le simulateur de coût d’une attaque permet de chiffrer ce que représenterait un arrêt dans votre cas. Les autres réflexes d’urgence sont regroupés dans le pilier Réagir.