Dans les épisodes précédents, nous avons parlé du piratage de votre boîte mail et du vol de mot de passe. Ces deux menaces ont quelque chose en commun : elles se jouent dans l’ombre, discrètement, sur la durée.
Aujourd’hui, je veux vous parler d’une menace différente. Celle qui frappe fort. Vite. Et qui ne laisse aucun doute sur ce qui vient de se passer.
Ce qui se passe un vendredi à 17h
Imaginez la situation : vendredi, 17h03. Votre équipe commence à ranger ses affaires. Un collaborateur essaie d’ouvrir un fichier. Il ne s’ouvre pas. Il essaie un autre. Même résultat. Il appelle sa collègue. Elle a le même problème. En quelques minutes, c’est toute l’entreprise qui constate la même chose. Les fichiers sont là ; mais ils sont illisibles. Sur chaque dossier, un message s’affiche : « Vos données ont été chiffrées. Pour récupérer l’accès, contactez-nous. » Vous appelez votre contact informatique. Il vous demande si vous avez des sauvegardes. Vous lui répondez que oui, vous en êtes presque sûr.
Il cherche. Les sauvegardes sont là. Mais elles aussi ont été chiffrées. Ce week-end, personne ne travaille. Lundi matin, vous ne savez pas encore si vous pourrez rouvrir normalement.
Pourquoi le vendredi soir n’est pas un hasard
Les cybercriminels ne lancent pas leurs attaques au hasard. Ils choisissent délibérément le vendredi soir ou le dimanche matin. La raison est simple : ils veulent maximiser le temps qui s’écoule avant qu’une équipe technique soit opérationnelle pour réagir. Le week-end, les appels restent sans réponse. Les décisions tardent. Et pendant ce temps, le ransomware continue de se propager. C’est un calcul froid. Et il fonctionne.
Ce qu’est un ransomware, concrètement
Ransomware vient de l’anglais ransom – rançon. C’est un logiciel malveillant qui s’introduit dans votre système, se propage discrètement, puis chiffre vos fichiers pour les rendre inaccessibles.
L’objectif : vous forcer à payer pour récupérer vos données. Ce qui rend ce type d’attaque particulièrement redoutable, c’est sa méthode. Avant de chiffrer quoi que ce soit, l’attaquant passe du temps dans votre système. Il cartographie votre réseau. Il identifie vos sauvegardes. Il les neutralise. Puis il déclenche le chiffrement sur l’ensemble des postes et serveurs accessibles, en même temps. En quelques heures, tout est bloqué.
Faut-il payer la rançon ?
C’est la première question que se pose un dirigeant dans cette situation. La réponse des autorités ANSSI, Cybermalveillance.gouv.fr est claire : non. Pas parce que c’est interdit. Mais parce que ça ne fonctionne pas vraiment. Selon Sophos, 47 % des entreprises qui paient ne récupèrent pas l’intégralité de leurs données. Et payer envoie un signal : cette entreprise est prête à payer. Ce qui en fait une cible pour la prochaine attaque. Le seul vrai filet de sécurité, c’est une sauvegarde propre, isolée, et testée.
Le chiffre qui doit vous alerter
En 2025, l’ANSSI a recensé 128 attaques par ransomware en France. 48 % des victimes sont des PME. Ce n’est pas parce que les PME sont plus intéressantes financièrement. C’est parce qu’elles sont moins protégées. Pas de supervision continue. Des sauvegardes non testées. Peu de procédures en cas de crise. Et ce détail qui change tout : 67 % des PME touchées par un ransomware échouent à restaurer leurs données depuis leurs sauvegardes. Pas parce qu’elles n’en avaient pas. Mais parce que leurs sauvegardes n’avaient jamais été testées ou avaient elles aussi été chiffrées.
Les trois mesures qui auraient tout changé
Mettre en place une sauvegarde immuable et isolée
Une sauvegarde connectée au même réseau que le reste du système peut être chiffrée par le ransomware. Ce n’est plus une sauvegarde c’est une illusion de protection. Une sauvegarde immuable, c’est une sauvegarde que personne ne peut modifier ni supprimer pas même l’attaquant. Elle doit être physiquement ou logiquement isolée du reste du système.
Tester ses sauvegardes régulièrement
Une sauvegarde qu’on n’a jamais restaurée peut très bien ne pas fonctionner le jour où on en a besoin. Tester une sauvegarde, ce n’est pas vérifier qu’elle existe. C’est vérifier qu’on peut réellement repartir depuis elle en combien de temps, avec quelles données. Ce test devrait être fait au minimum une fois par trimestre.
Avoir un plan de reprise d’activité (PRA) écrit
Vendredi soir, 17h30, tout est chiffré. Qui appelle-t-on en premier ? Qui prend les décisions ? Que dit-on aux clients ? Ces réponses ne s’improvisent pas sous pression. Un plan de reprise d’activité même simple permet de réagir vite et bien, plutôt que de subir la crise en tâtonnant.
Ce que je retiens
Un ransomware ne distingue pas les grandes entreprises des petites. Il cherche la faille la plus accessible. Et trop souvent, dans une PME, cette faille c’est une sauvegarde non testée, ou un plan de reprise qui n’existe pas. La vraie question n’est pas : « Est-ce que mes données sont sauvegardées ? » Mais plutôt : « Si tout était chiffré ce soir, en combien de temps serais-je de nouveau opérationnel ? »
Le prochain épisode – et le dernier de cette série – mettra en scène une PME dont le prestataire informatique était lui-même la faille. Même principe : un scénario réaliste et trois mesures qui changent tout.
Ce que nous faisons chez Koesio Managed Services
Beaucoup de dirigeants pensent être protégés parce qu’ils ont une sauvegarde.
La réalité, c’est qu’une sauvegarde non testée et non isolée ne protège pas vraiment.
Chez Koesio Managed Services, nous accompagnons nos clients pour mettre en place une stratégie de sauvegarde solide : des copies isolées et immuables, testées régulièrement, avec des délais de restauration connus à l’avance.
Et surtout – un plan de reprise d’activité clair, adapté à la taille et aux besoins réels de votre entreprise.
Parce que la résilience, ça ne s’improvise pas un vendredi soir. Ça se prépare bien avant.
Série pédagogique #Cybermois : rdv pour l’épisode 4 : Votre collaborateur vient de donner les clés sans le savoir.