Un cabinet comptable de huit salariés voit tous ses fichiers clients devenir illisibles un lundi matin. Un message s’affiche : payer une rançon en cryptomonnaie pour récupérer l’accès. Ce scénario concerne aujourd’hui un nombre croissant de petites structures françaises. Les ransomwares, ces logiciels qui chiffrent les données et exigent un paiement, concentrent désormais leur pression sur les TPE et PME.
Ransomwares en 2024 : pourquoi les PME françaises sont devenues la cible principale
Les TPE et PME françaises subissent une part croissante des attaques par rançongiciel. Selon l’ANSSI, les TPE, PME et ETI représentent désormais près de la moitié des victimes de rançongiciels, alors que le volume total de compromissions reste globalement stable.
Ce basculement s’explique par un calcul simple du côté des attaquants. Les grandes organisations ont durci leurs défenses : équipes dédiées, segmentation réseau, sauvegardes hors ligne testées. Les petites entreprises, elles, cumulent des failles que les cybercriminels exploitent en série.
Vous utilisez un seul mot de passe pour plusieurs services professionnels ? C’est exactement le type de faille qui ouvre la porte. Les attaquants automatisent leurs campagnes de phishing et testent des milliers de combinaisons. Une PME sans double authentification représente une cible accessible en quelques heures.
Double extorsion : le mécanisme qui change la donne pour les petites entreprises
Le ransomware classique chiffrait les fichiers et demandait une rançon pour la clé de déchiffrement. Depuis 2023-2024, la majorité des groupes actifs en France (RansomHub, Akira, Qilin) pratiquent la double extorsion. Avant de chiffrer, ils copient les données sur leurs propres serveurs.
Si l’entreprise refuse de payer, les attaquants menacent de publier les informations volées : fichiers clients, données comptables, contrats, échanges internes. Pour une PME, cette menace est redoutable.
La pression réglementaire comme levier de chantage
Les cybercriminels savent que la publication de données personnelles déclenche des obligations légales. Le RGPD impose de notifier la CNIL en cas de fuite de données personnelles. La crainte d’une sanction CNIL et d’une atteinte à la réputation pousse certaines PME à payer plutôt qu’à gérer une crise publique.
C’est un piège. Payer ne garantit ni la suppression des données volées, ni l’absence de nouvelle attaque. Les groupes de ransomware partagent leurs listes de victimes coopératives, ce qui en fait des cibles récurrentes.
NIS2 et sous-traitance : de nouvelles obligations pour les PME françaises
La directive européenne NIS2, en cours de transposition en droit français, ne concerne pas uniquement les grands opérateurs. Elle impose des exigences de cybersécurité aux entreprises qui interviennent comme prestataires ou sous-traitants d’entités régulées.
Concrètement, une PME qui fournit un service informatique, logistique ou administratif à une collectivité ou à un groupe industriel devra démontrer un niveau de sécurité minimal. Un sous-traitant PME non conforme risque de perdre ses contrats, indépendamment de toute attaque.
La mise en conformité demande un audit des pratiques, une politique de sauvegarde documentée et une procédure de gestion d’incident. Toute PME sous-traitante d’une entité régulée a intérêt à vérifier dès maintenant si elle entre dans le périmètre de NIS2.
Protéger une petite entreprise contre les ransomwares : les mesures qui comptent vraiment
Les recommandations génériques (« faites des sauvegardes », « formez vos employés ») sont connues. Le problème, c’est leur mise en pratique dans une structure de cinq à cinquante personnes, sans responsable informatique dédié.
Sauvegardes : la règle 3-2-1 appliquée aux TPE
La règle 3-2-1 consiste à conserver trois copies des données, sur deux supports différents, dont un hors site. Pour une petite entreprise, cela peut se traduire ainsi :
- Une copie sur le serveur local ou le poste de travail principal, utilisée au quotidien
- Une copie sur un disque externe ou un NAS, déconnecté du réseau après chaque sauvegarde pour empêcher le ransomware de l’atteindre
- Une copie externalisée (cloud souverain ou hébergeur français), chiffrée et testée au moins une fois par trimestre pour vérifier qu’elle est réellement restaurable
Une sauvegarde jamais testée équivaut à pas de sauvegarde du tout. Plusieurs PME victimes de ransomware ont découvert au moment de la crise que leurs fichiers de sauvegarde étaient corrompus ou incomplets.
Phishing et accès : les deux portes d’entrée à verrouiller
La majorité des ransomwares pénètrent par un email de phishing ou par un accès distant mal protégé. Deux actions réduisent considérablement le risque :
- Activer l’authentification multifacteur (MFA) sur tous les accès critiques : messagerie, logiciel de comptabilité, accès distant au réseau. Un mot de passe volé ne suffit plus pour entrer
- Sensibiliser les équipes avec des exercices concrets, pas des présentations théoriques. Un test de phishing interne par trimestre, où l’on envoie un faux email piégé, permet d’identifier les réflexes à corriger
- Mettre à jour les logiciels et systèmes d’exploitation dès la publication des correctifs de sécurité. Les attaquants exploitent des failles connues, parfois corrigées depuis des semaines
Cyber-assurance : un filet, pas un bouclier
Les offres d’assurance cyber se multiplient pour les PME. Elles couvrent généralement les frais de gestion de crise, la perte d’exploitation et parfois l’accompagnement juridique en cas de notification CNIL. L’assurance cyber ne remplace pas les mesures techniques, mais elle limite l’impact financier d’un incident.
Avant de souscrire, vérifiez les exclusions. Certaines polices refusent la prise en charge si l’entreprise ne peut pas prouver qu’elle appliquait des mesures de sécurité élémentaires au moment de l’attaque.
Ransomware et continuité d’activité : le temps de reprise que personne n’anticipe
Le coût d’un ransomware ne se limite pas à la rançon. Pour une petite entreprise, le temps d’arrêt d’activité représente souvent le poste le plus coûteux. Reconstituer un système d’information, même modeste, prend plusieurs jours à plusieurs semaines.
Sans plan de reprise documenté, chaque décision se prend dans l’urgence. Qui appeler en premier ? Quels systèmes restaurer en priorité ? Comment communiquer avec les clients dont les données ont potentiellement fuité ? Un document d’une page répondant à ces trois questions, mis à jour une fois par an, change le déroulement d’une crise.
Les ransomwares ne vont pas épargner les petites entreprises françaises dans les années à venir. La directive NIS2, la généralisation de la double extorsion et l’automatisation des attaques renforcent la pression sur les structures les moins préparées. Tester ses sauvegardes, activer la double authentification et documenter un plan de reprise minimal restent les trois leviers les plus accessibles pour une PME qui veut réduire concrètement son exposition.
