Un cabinet comptable de douze salariés dans le Rhône, un sous-traitant automobile en Picardie, une clinique vétérinaire en Bretagne : ces trois structures ont vu leur activité paralysée pendant plusieurs jours par un ransomware au cours des derniers mois. Les PME françaises concentrent désormais la majorité des attaques par rançongiciel signalées sur Cybermalveillance.gouv.fr, avec une pression qui ne faiblit pas depuis 2024.
Ransomware contre PME : ce qui se passe dans les 48 premières heures
On imagine souvent une attaque informatique comme un événement ponctuel. Sur le terrain, un rançongiciel déclenche une cascade de blocages concrets qui s’enchaînent en moins de deux jours.
Le premier signe, c’est un poste qui ne répond plus, puis un serveur de fichiers inaccessible. En quelques heures, la totalité du système d’information peut être chiffrée. Les sauvegardes locales, si elles sont connectées au réseau, tombent avec le reste.
Au-delà du chiffrement des fichiers, la perte d’accès aux logiciels métier bloque la facturation, la paie et les commandes. Un atelier de production sans ERP ne sait plus quoi fabriquer ni pour qui. Un cabinet sans accès à sa base clients ne peut plus répondre au téléphone utilement.
Les premières décisions à prendre dans ces 48 heures sont critiques :
- Déconnecter physiquement les machines touchées du réseau pour limiter la propagation, sans les éteindre (les traces en mémoire servent à l’analyse).
- Contacter la plateforme Cybermalveillance.gouv.fr pour obtenir une assistance adaptée au type de rançongiciel identifié.
- Prévenir son assureur et, si des données personnelles sont compromises, notifier la CNIL dans un délai de 72 heures.
On constate que beaucoup de PME découvrent à ce moment-là que leur contrat d’assurance ne couvre pas les pertes d’exploitation liées à une cyberattaque. Le sujet de la couverture cyber reste flou pour une large part des dirigeants de petites structures.
Shadow IT et accès non maîtrisés : les portes d’entrée réelles des rançongiciels en PME
Le phishing et les mots de passe faibles restent des vecteurs d’attaque fréquents. Mais le shadow IT est devenu un facteur d’exposition majeur pour les petites structures, et il pèse lourd dans les incidents récents touchant les PME.
Le shadow IT, ce sont tous les outils, applications cloud ou services utilisés par les salariés sans validation du responsable informatique (quand il existe). Un comptable qui synchronise des fichiers via un compte personnel Dropbox. Un commercial qui utilise un outil de transfert de fichiers gratuit pour envoyer un devis volumineux.
Ces usages créent des points d’entrée invisibles pour l’équipe technique. Un compte personnel compromis donne accès à des documents internes sans qu’aucune alerte ne se déclenche côté entreprise.
Accès fournisseurs et prestataires
L’autre angle mort, ce sont les accès distants accordés aux prestataires. Un technicien de maintenance qui se connecte via un VPN partagé avec des identifiants génériques, c’est un scénario courant dans les PME industrielles. Si ce prestataire est lui-même compromis, l’attaquant entre par la porte de service.
La cartographie des accès tiers est rarement réalisée dans les entreprises de moins de 50 salariés. On ne sait pas toujours qui a accès à quoi, ni depuis quand. Ce flou facilite les mouvements latéraux une fois le réseau pénétré.
Coût réel d’un ransomware pour une PME française
Le montant de la rançon n’est jamais le coût principal. Dans la plupart des cas documentés par les prestataires de réponse à incident, la rançon représente moins d’un tiers du coût total subi par l’entreprise.
Les postes de dépense les plus lourds sont ailleurs :
- L’arrêt d’activité, qui peut durer d’une semaine à plusieurs semaines selon l’état des sauvegardes et la complexité du système d’information.
- La reconstruction des environnements (serveurs, postes, configurations), souvent facturée en urgence par des prestataires spécialisés.
- La perte de données définitive quand les sauvegardes étaient stockées sur le même réseau ou n’avaient pas été testées depuis des mois.
- L’atteinte à la réputation, difficile à chiffrer mais réelle : des clients qui changent de fournisseur, des appels d’offres perdus.
Les rançongiciels restent la première cause de demande d’assistance des professionnels français sur Cybermalveillance.gouv.fr, avec une concentration très nette sur les petites structures. Les retours varient sur le délai moyen de reprise, mais on observe qu’une PME sans plan de sauvegarde hors ligne met significativement plus de temps à reprendre son activité.
Sauvegarde hors ligne et segmentation réseau : deux mesures concrètes contre les ransomwares
Plutôt que de lister dix recommandations génériques, concentrons-nous sur les deux mesures qui changent réellement la donne quand on gère une PME avec des moyens limités.
La sauvegarde déconnectée du réseau
Une sauvegarde qui reste accessible depuis le réseau principal sera chiffrée en même temps que le reste. Seule une sauvegarde physiquement déconnectée ou immuable protège réellement contre un rançongiciel.
En pratique, cela peut prendre la forme d’un disque dur externe branché uniquement pendant la fenêtre de sauvegarde, ou d’un stockage cloud avec versioning et verrouillage des suppressions. Tester régulièrement la restauration reste indispensable : une sauvegarde dont on n’a jamais vérifié le fonctionnement n’offre aucune garantie le jour de l’incident.
Segmentation réseau : limiter la casse
Segmenter le réseau consiste à cloisonner les différentes zones (administration, production, invités, prestataires). Si un poste de la comptabilité est compromis, la segmentation empêche le rançongiciel d’atteindre les machines de production.
Pour une PME de vingt postes, un switch manageable et quelques règles de pare-feu suffisent à créer cette séparation. Le coût reste modeste comparé à une semaine d’arrêt complet.
Les très petites structures (moins de dix salariés) représentent désormais une part croissante des victimes identifiées sur les forums du dark web ciblant la France. La menace ne se limite plus aux ETI ou aux collectivités : elle descend dans le tissu économique jusqu’aux micro-entreprises. Ces deux mesures réduisent considérablement la surface d’attaque et le temps de reprise après incident.
