Le ransomware reste en 2026 la première menace cyber pesant sur les PME françaises et luxembourgeoises. L'ANSSI relève une hausse continue des incidents touchant le segment 50-250 salariés, considéré comme cible préférentielle des groupes criminels structurés. Ce guide synthétise ce qu'un dirigeant doit comprendre, mesurer et décider.
État de la menace ransomware en 2026
Le paysage du ransomware s'est profondément transformé depuis 2022. Trois tendances structurent l'année 2026 : la double extorsion généralisée (chiffrement + fuite de données), la professionnalisation des groupes via le modèle RaaS (Ransomware-as-a-Service), et le ciblage massif des PME considérées comme cibles « faciles ».
Les groupes actifs en 2026 — LockBit (variant 5.0), BlackCat, Royal, Play, Akira, RansomHub — opèrent comme des entreprises criminelles structurées : programmes affiliés, support client aux victimes, négociateurs professionnels. Le ticket d'entrée pour devenir affilié est tombé sous 1 000 $ avec certaines plateformes RaaS, démocratisant l'activité.
En France, le rapport CERT-FR 2025 identifie le segment PME 50-250 salariés comme cible préférentielle (38 % des incidents signalés), devant les collectivités (27 %) et les ETI (19 %). Le Grand Est figure parmi les régions les plus touchées avec un nombre élevé d'incidents signalés en 2025.
Anatomie d'une attaque ransomware moderne
L'époque du « clic sur pièce jointe → chiffrement immédiat » est révolue. Une attaque 2026 suit typiquement un schéma en 7 phases sur 7 à 45 jours.
- Reconnaissance — OSINT sur LinkedIn, identification des dirigeants, cartographie des prestataires IT, scan des ports exposés.
- Accès initial — phishing ciblé (60 %), exploitation de vulnérabilité VPN/RDP (22 %), achat d'accès auprès d'un Initial Access Broker (15 %), compte volé (3 %).
- Établissement persistant — déploiement de Cobalt Strike, AnyDesk caché, comptes administrateurs cachés. Durée moyenne avant détection : environ 21 jours.
- Élévation de privilèges — exploitation d'Active Directory, dump LSASS, Kerberoasting, exploits Zerologon ou PrintNightmare si non patché.
- Exfiltration — copie de 50 à 500 Go vers Mega.nz, RClone vers S3, transferts via HTTPS pour échapper aux IDS.
- Sabotage des sauvegardes — recherche systématique de Veeam, Synology, Acronis. Tentative de suppression via comptes administrateurs compromis.
- Déclenchement — chiffrement nocturne (souvent vendredi soir), dépôt de la note de rançon, démarrage du compte à rebours de fuite.
Coût réel d'une attaque pour une PME
Le coût direct de la rançon n'est qu'une partie de l'ardoise. Une PME de 80 salariés victime en 2025 a documenté avec BISPRO la répartition complète des coûts sur 90 jours post-incident.
- Arrêt d'activité 12 jours — environ 98 000 €
- Réponse à incident et forensic — 42 000 €
- Reconstruction de l'infrastructure — 38 000 €
- Accompagnement juridique et déclarations CNIL — 22 000 €
- Augmentation prime d'assurance cyber sur 3 ans — 18 000 €
- Communication de crise — 12 000 €
- Surcoût salarial heures sup équipe — 11 000 €
- Perte de clients identifiée à 6 mois — 9 000 €
- Total observé (rançon non payée) — environ 250 000 €
7 mesures techniques qui bloquent 95 % des attaques
L'analyse de plus de 200 rapports d'incident publics (ANSSI, CERT-FR, Verizon DBIR 2025) montre que la grande majorité des compromissions exploitent un nombre limité de faiblesses récurrentes. Les sept mesures ci-dessous, déployées ensemble, bloquent statistiquement la quasi-totalité des tentatives.
1. MFA partout, sans exception
Authentification forte (idéalement clés FIDO2 type YubiKey) sur tous les accès distants : VPN, RDP, Microsoft 365, Google Workspace, comptes administrateurs. Bloque environ 99 % des attaques par credential stuffing.
2. EDR / XDR de nouvelle génération
Endpoint Detection & Response (Stormshield SES Evolution, SentinelOne, CrowdStrike Falcon, Microsoft Defender for Business). Détection comportementale et isolation automatique du poste compromis en quelques secondes.
3. Patch management mensuel discipliné
Windows Update mensuel et patches tiers (Chrome, Firefox, Adobe). Délai maximum 14 jours sur les patches critiques. Les vulnérabilités âgées de 30 jours représentent une part dominante des accès initiaux.
4. Segmentation réseau
VLAN distincts pour utilisateurs, serveurs, IoT, invités, OT/SCADA. Filtrage entre interfaces. Empêche la propagation latérale après une compromission initiale.
5. Filtrage email avec sandbox
Solution anti-phishing avec sandboxing des pièces jointes (Mailcleaner, Vade, Proofpoint, Microsoft Defender for Office 365 P2). Bloque une large majorité des emails malveillants avant qu'ils n'atteignent l'utilisateur.
6. Sensibilisation utilisateurs récurrente
Programme structuré combinant deux sessions par an, simulations de phishing mensuelles et onboarding des nouveaux entrants. La réduction du taux de clic phishing peut atteindre 70 à 80 % sur 12 mois.
7. Sauvegarde immutable testée
Voir la section dédiée 3-2-1-1-0 ci-dessous. La sauvegarde immutable et testée est le dernier filet de sécurité : si tout le reste échoue, elle garantit la reprise sans paiement de rançon.
La sauvegarde immutable 3-2-1-1-0
La règle 3-2-1 historique ne suffit plus face au ransomware moderne qui cible activement les sauvegardes. La nouvelle référence Veeam est 3-2-1-1-0 :
- 3 copies de chaque donnée
- 2 supports différents
- 1 copie hors-site
- 1 copie hors-ligne ou immutable (air-gap ou S3 Object Lock)
- 0 erreur lors du dernier test de restauration
L'immutable storage (verrou Object Lock S3, bandes LTO sorties, snapshots WORM) garantit qu'aucune action — même administrative — ne peut supprimer les données pendant la période de rétention. C'est la garantie ultime contre un attaquant qui aurait obtenu les droits domain admin.
Plan de réponse incident en 8 étapes
Quand l'incident survient, l'improvisation coûte cher. Un plan de réponse écrit, testé annuellement, divise le temps de retour à la normale par 3 à 5 en moyenne.
- Détection et qualification — confirmation de l'incident, périmètre initial.
- Activation cellule de crise — DG, DSI, juridique, communication, prestataire cyber.
- Confinement — isolement réseau, coupure VPN, désactivation comptes suspects.
- Notification réglementaire — CNIL si données personnelles, ANSSI si NIS2, assurance cyber.
- Forensic et éradication — analyse de la chaîne d'attaque, élimination de toutes les portes dérobées.
- Restauration depuis sauvegarde — reconstruction propre, restauration ordonnée par priorité métier.
- Retour à la normale — réouverture progressive, monitoring renforcé pendant 90 jours.
- Retour d'expérience — leçons, mise à jour du plan, ré-entraînement équipes.
Faut-il payer la rançon ?
Position officielle ANSSI, FBI et CERT-EU : non. Trois raisons principales.
- Financer l'écosystème criminel et la prochaine victime.
- Aucune garantie de récupération : selon l'étude Sophos 2024, environ 28 % des PME ayant payé n'ont pas récupéré l'intégralité de leurs données.
- Marquer l'entreprise comme cible « payante » — risque de ré-attaque dans les 18 mois pour près de 38 % des victimes.
Sur le plan légal en France, le paiement n'est pas interdit mais la loi LOPMI conditionne tout remboursement par l'assurance cyber à un dépôt de plainte préalable et au respect d'un délai de notification de 72 heures.