Ransomware en PME : ce qui arrive vraiment

Le mot "ransomware" circule dans tous les articles de cybersécurité depuis des années. À force, beaucoup de dirigeants l'ont intégré comme un risque de fond — quelque chose qui arrive aux grandes entreprises, aux hôpitaux, aux collectivités. Une menace lointaine.

Ce que cet article cherche à faire, c'est décrire ce qui se passe concrètement quand une PME est touchée : le déroulement heure par heure, les coûts réels, et ce qui fait la différence entre une entreprise qui s'en sort et une qui ne s'en sort pas.

Les PME sont la première cible, pas une cible de remplacement

C'est le premier point que beaucoup de dirigeants sous-estiment. Les cybercriminels ne ciblent pas les PME faute de mieux. Ils les ciblent parce qu'elles offrent le meilleur ratio effort/résultat.

Selon le Panorama de la cybermenace 2025 de l'ANSSI (publié en mars 2026, référence CERTFR-2026-CTI-002), les PME, TPE et ETI représentent 48 % des victimes de rançongiciels recensées en France en 2025, contre 37 % en 2024. C'est la catégorie la plus touchée, devant les collectivités territoriales (11 %) et les établissements de santé (8 %).

"Si les PME/TPE/ETI restent la catégorie d'entités la plus affectée par des rançongiciels, la proportion d'incidents de ce type ayant touché des établissements de santé est de nouveau en hausse."
— ANSSI, Panorama de la cybermenace 2025

Ce déséquilibre s'explique par le modèle économique des attaquants. Le RaaS (Ransomware-as-a-Service) permet à des groupes peu qualifiés d'acheter des kits d'attaque clé en main. Les souches les plus représentées en France en 2025 sont Qilin (21 % des cas), Akira (9 %) et LockBit 3.0 (5 %), selon la même source. Qilin a revendiqué plus de 700 victimes sur l'année, dont 185 pour le seul mois d'octobre 2025.

Ce que recherchent ces groupes dans une PME : des données à forte valeur (fichiers clients, comptabilité, propriété intellectuelle), des défenses moins sophistiquées, et l'absence quasi systématique de plan de reprise testé.

Ce qui se passe vraiment : la chronologie d'une attaque

Une attaque ransomware ne commence pas le matin où les écrans s'affichent avec un message de rançon. Elle commence plusieurs semaines avant.

Phase 1 — L'entrée dans le système (silencieuse)

Le point d'entrée le plus fréquent sur les PME est un e-mail de phishing ouvert par un collaborateur, un accès RDP (bureau à distance) exposé sur Internet avec un mot de passe faible, ou une faille sur un équipement réseau non mis à jour.

Selon le Verizon Data Breach Investigations Report 2025, l'exploitation de vulnérabilités sur les équipements de périmètre réseau (VPN, pare-feu) a progressé de 34 % en un an. Les attaques ciblant les VPN ont été multipliées par huit par rapport à 2024.

L'ANSSI confirme cette tendance dans son Panorama 2025 : plusieurs compromissions ont débuté par l'exploitation de vulnérabilités sur des équipements Ivanti, avant que les attaquants ne se propagent latéralement sur le système d'information.

Phase 2 — La présence discrète (des jours, parfois des semaines)

Une fois entré, l'attaquant ne déclenche rien immédiatement. Il observe, cartographie le réseau, cherche les comptes avec des droits d'administration. Il identifie les données les plus critiques et — point crucial — repère les sauvegardes.

Les sauvegardes accessibles depuis le réseau principal sont une cible prioritaire. Les chiffrer en même temps que le reste du système d'information est l'une des premières actions des ransomwares modernes.

L'ANSSI a documenté en 2025 le cas d'une organisation dont la compromission avait été détectée avant le chiffrement — mais dont les mesures d'endiguement précipitées (débranchement électrique du data center) ont provoqué un arrêt total et des perturbations de l'activité sur le long cours. La préparation en amont d'un plan de continuité est présentée par l'ANSSI comme "indispensable" précisément pour éviter ce type d'effet de bord — source : ANSSI, Panorama de la cybermenace 2025.

Phase 3 — L'exfiltration

Avant de chiffrer, les attaquants copient les données sensibles vers l'extérieur. C'est ce qui permet la double extorsion : payer pour déchiffrer ne suffit plus. Les données sont détenues par les attaquants, qu'il y ait paiement ou non, et peuvent être publiées ou vendues.

En 2025, l'ANSSI a recensé 196 incidents liés à des exfiltrations de données, contre 130 en 2024 — soit une hausse de 51 % en un an — source : CERTFR-2026-CTI-002.

Phase 4 — Le chiffrement et la demande de rançon

Le matin où tout s'arrête. Les postes ne démarrent plus, les fichiers sont illisibles. Un message indique le montant de la rançon, les instructions de paiement en cryptomonnaie, et un délai avant publication des données exfiltrées.

Ce que ça coûte réellement

La rançon est rarement ce qui coûte le plus cher. Selon le Sophos State of Ransomware 2024, le coût moyen de remédiation après une attaque ayant compromis les sauvegardes s'élève à 2,73 millions de dollars hors rançon pour les entreprises qui ont les moyens de reconstruire.

Pour les PME françaises, les estimations convergent entre 130 000 et 250 000 euros de coût global, interruption d'activité incluse (données Connect3S, 2026, basées sur des cas clients documentés). La rançon demandée aux PME dépasse régulièrement les 50 000 euros — mais ce n'est pas là que se trouve l'essentiel du coût.

Le coût réel se décompose ainsi :

L'interruption d'activité est le poste le plus lourd. L'exemple de Manutan, distributeur B2B français attaqué en 2021, est documenté : 10 jours pour un accès minimal aux commandes, plusieurs mois pour une reconstruction complète. Pour une PME sans plan de reprise préparé, la durée de remise en service est de 4 à 8 semaines selon les données compilant des cas français documentés.

La reconstruction du système d'information — réinstallation des serveurs, récupération ou reconstitution des données, rachat de licences, intervention d'experts en réponse à incident.

Les conséquences réglementaires. Si des données personnelles ont été exfiltrées, la CNIL doit être notifiée sous 72 heures. La négligence caractérisée (absence de MFA, sauvegardes non testées) peut entraîner des sanctions — et ces amendes ne sont pas assurables.

L'impact commercial. Selon le baromètre SFR Business / Cohesity (2024), 47 % des entreprises françaises victimes d'une cyberattaque déclarent avoir perdu des prospects et 43 % des clients existants dans les mois suivants.

Payer la rançon ne résout pas le problème

L'ANSSI est explicite sur ce point dans son guide TPE/PME : payer la rançon n'est pas recommandé. Les raisons sont pratiques.

Le paiement ne garantit pas la restauration des données. Une partie des groupes cybercriminels ne fournissent pas de clé de déchiffrement fonctionnelle après paiement, ou la clé ne restaure qu'une partie des fichiers. Payer signale également que la cible est solvable — ce qui augmente le risque d'une nouvelle attaque. Et les données exfiltrées restent dans les mains des attaquants, qu'il y ait paiement ou non.

Ce qui fait vraiment la différence

En croisant les cas documentés, deux éléments reviennent systématiquement chez les PME qui s'en sortent rapidement.

Des sauvegardes isolées et testées. Une copie déconnectée du réseau principal, testée régulièrement, est ce qui permet de reconstruire sans payer. Sans cette copie, la seule option est de payer ou de reconstruire depuis zéro. Pour les PME avec un plan de reprise testé et des sauvegardes déconnectées, la durée de remise en service peut se réduire à 3 à 5 jours. Ce sujet est traité en détail dans l'article sur les sauvegardes de cette série.

Un plan de reprise documenté et connu des équipes. Qui appelle-t-on en premier ? Qui prend les décisions ? Quels systèmes isole-t-on en priorité ? Ces questions, posées dans le calme avant la crise, évitent les décisions précipitées qui aggravent la situation — comme l'illustre le cas documenté par l'ANSSI dans son Panorama 2025.

Ce que vous pouvez vérifier cette semaine

Trois points concrets, sans investissement immédiat.

• Fermer les accès RDP exposés. Vérifier qu'aucun accès bureau à distance n'est accessible depuis Internet sans VPN ni double authentification. C'est le vecteur le plus exploité sur les PME selon le Verizon DBIR 2025.
• Vérifier l'état du filtrage de messagerie. Le phishing reste le premier point d'entrée selon l'ANSSI. Un filtrage anti-phishing actif réduit significativement la surface d'attaque.
• Confirmer l'existence d'une copie de sauvegarde hors ligne. Si toutes vos sauvegardes sont accessibles depuis votre réseau en temps réel, elles seront chiffrées en même temps que le reste. Demandez à votre prestataire de vous le confirmer par écrit.

Un doute sur votre exposition au risque ransomware ? On peut en parler. 45 minutes, sans engagement, sans présentation commerciale.

Sources :

• ANSSI — Panorama de la cybermenace 2025 (CERTFR-2026-CTI-002, mars 2026)
• Verizon — Data Breach Investigations Report 2025
• Sophos — State of Ransomware 2024
• ANSSI — La cybersécurité pour les TPE/PME en treize questions