Rançongiciels : protéger une petite structure (association, TPE, commune)

Un matin, les fichiers sont illisibles, les ordinateurs affichent un message exigeant une rançon en cryptomonnaie. Les rançongiciels (ransomwares) ne visent pas que les grandes entreprises et les hôpitaux : associations, artisans, cabinets, petites communes sont régulièrement touchés, souvent parce qu’ils sont moins bien protégés.

Comment fonctionne un rançongiciel ?

1. L’intrusion : le plus souvent par un e-mail piégé, un mot de passe faible ou réutilisé, un accès à distance mal protégé ou une faille non corrigée.
2. La propagation : l’attaquant explore le réseau, cherche les serveurs, les sauvegardes et les comptes administrateurs.
3. Le chiffrement : les fichiers sont rendus illisibles, parfois après avoir été copiés pour exercer un chantage à la publication.
4. La demande de rançon.

Les mesures prioritaires

1. Des sauvegardes déconnectées

C’est la mesure qui sauve. Appliquez la règle 3-2-1, avec au moins une copie hors ligne ou non modifiable, inaccessible depuis le réseau. Testez régulièrement la restauration.

2. Des mises à jour systématiques

Systèmes, logiciels, équipements réseau, accès à distance : appliquez rapidement les correctifs, en particulier pour les équipements exposés sur internet. Remplacez les systèmes qui ne sont plus maintenus.

3. Des mots de passe solides et la double authentification

Imposez des mots de passe uniques et solides, un gestionnaire de mots de passe, et activez la double authentification sur la messagerie et tous les accès à distance.

4. Des droits limités

Chaque utilisateur travaille avec un compte sans droits d’administrateur. Les comptes administrateurs sont réservés à l’administration et protégés par des mots de passe distincts.

5. La sensibilisation

La plupart des attaques commencent par un message piégé. Formez régulièrement les salariés et bénévoles à reconnaître l’hameçonnage, et encouragez le signalement sans culpabilisation.

6. Un antivirus à jour

Les solutions de sécurité modernes, y compris celles intégrées aux systèmes récents, détectent de nombreux comportements suspects. Elles ne remplacent pas les autres mesures.

7. Un inventaire

On ne protège bien que ce que l’on connaît : tenez une liste des ordinateurs, serveurs, comptes, logiciels et prestataires ayant un accès.

En cas d’attaque : les bons réflexes

1. Isolez les appareils touchés : débranchez le câble réseau, coupez le Wi-Fi. Ne les éteignez pas forcément, certaines traces utiles à l’analyse sont en mémoire.
2. Ne payez pas la rançon : rien ne garantit la récupération des données, et le paiement finance les attaquants. C’est la recommandation constante des autorités.
3. Alertez : votre prestataire informatique, la direction, et faites-vous accompagner via cybermalveillance.gouv.fr, qui oriente vers des prestataires de proximité, ou le dispositif 17Cyber.
4. Portez plainte.
5. Notifiez la CNIL dans les 72 heures si des données personnelles ont pu être compromises, conformément au RGPD, et informez les personnes concernées si le risque est élevé.
6. Restaurez à partir de sauvegardes saines, après avoir identifié et corrigé la faille d’entrée.

Se préparer avant la crise

Rédigez une fiche réflexe d’une page : qui prévenir, numéros utiles, où sont les sauvegardes, comment continuer à fonctionner en mode dégradé (listes papier, téléphones). Gardez-la imprimée : en cas d’attaque, vos fichiers ne seront plus accessibles.

Des ressources gratuites

L’ANSSI et cybermalveillance.gouv.fr publient des guides adaptés aux petites structures, des fiches pratiques et des kits de sensibilisation, utilisables librement.

À retenir

Des sauvegardes déconnectées et testées, des mises à jour, des mots de passe solides avec double authentification, des droits limités et des équipes sensibilisées : ces mesures, accessibles même avec un petit budget, déjouent la grande majorité des attaques.