Qu’est-ce qu’un rançongiciel ? Le déroulement des attaques, qui paie et comment se protéger

Qu’est-ce qu’un rançongiciel ?

La Cybersecurity and Infrastructure Security Agency (CISA) américaine définit le rançongiciel comme un logiciel malveillant conçu pour chiffrer les fichiers d’un appareil, les rendant inutilisables ainsi que les systèmes qui en dépendent, après quoi des criminels exigent une rançon en échange du déchiffrement ^[1]. Le chiffrement consiste ici à brouiller les fichiers avec une clé que seul l’attaquant détient. Le National Cyber Security Centre (NCSC) britannique note que l’ordinateur lui-même peut être verrouillé, ou que des données peuvent être volées, supprimées ou chiffrées, et que certains rançongiciels se propagent à d’autres machines du réseau, comme WannaCry lorsqu’il a frappé le NHS en mai 2017 ^[3].

Les victimes sont généralement invitées à contacter l’attaquant via une adresse e-mail ou une page web anonyme et à payer dans une cryptomonnaie comme le Bitcoin ^[2]. Microsoft souligne qu’une infection ne se manifeste généralement pas avant qu’une fenêtre, une application ou un message plein écran n’exige de l’argent, souvent alors que les fichiers sont déjà chiffrés ^[7].

Qu’est-ce que la double extorsion ?

Avec le temps, les attaquants se sont mis à copier aussi les données des victimes et à menacer de les publier pour les pousser à payer ; le recours simultané au chiffrement et à la menace de fuite est appelé double extorsion ^[1]. Dans certains cas, les criminels renoncent entièrement au chiffrement et utilisent les données volées comme unique moyen de pression ^[1].

Comment se déroule une attaque par rançongiciel ?

Le NCSC décrit un enchaînement type ^[2] :

1. Les attaquants accèdent au réseau, en prennent le contrôle et y installent un logiciel de chiffrement malveillant ; ils peuvent aussi copier des données pour menacer de les divulguer ^[2].
2. Le logiciel malveillant est activé, verrouillant les appareils et chiffrant les données sur l’ensemble du réseau ^[2].
3. Un avis affiché à l’écran expose la rançon et les modalités de paiement, généralement via une page web anonyme et en cryptomonnaie ^[2].

Comment les attaquants entrent-ils ?

La CISA classe parmi les vecteurs d’accès initial les plus courants les vulnérabilités et erreurs de configuration des systèmes exposés à Internet, les identifiants compromis, le phishing, des infections antérieures par des logiciels malveillants, l’ingénierie sociale avancée, ainsi que les tiers ou les prestataires de services gérés ^[1]. Le NCSC indique que les rançongiciels sont de plus en plus déployés par des attaquants qui obtiennent un accès à distance via des services exposés comme le Remote Desktop Protocol (RDP) ou des équipements d’accès à distance non corrigés ^[3]. Pour les particuliers, Microsoft cite comme voies courantes l’ouverture de pièces jointes inattendues et de liens malveillants dans les e-mails, les réseaux sociaux, les applications de messagerie ou les SMS ^[7].

Qui se cache derrière ?

Selon la société d’analyse de blockchain Chainalysis, le rançongiciel fonctionne désormais comme un marché interconnecté de services d’accès, d’infrastructure et de paiement ^[5]. Les grandes opérations de « rançongiciel en tant que service » (RaaS) se sont fragmentées en 2025 en de nombreux acteurs plus petits et indépendants, certaines analyses suivant jusqu’à 85 groupes d’extorsion actifs ^[5]. Les courtiers en accès initial (IAB) facilitent l’entrée dans des réseaux compromis afin que les affiliés, les criminels qui déploient effectivement le rançongiciel, puissent attaquer relativement facilement ; Chainalysis a constaté que les pics d’activité des IAB précèdent généralement d’environ 30 jours les hausses de paiements de rançons et de fuites ^[5].

Quelle est l’ampleur du problème des rançongiciels ?

L’Internet Crime Complaint Center (IC3) du FBI a reçu 3.611 plaintes pour rançongiciel en 2025, contre 3.156 en 2024, pour des pertes déclarées de 32.320.105 dollars américains ^[4]. Le FBI précise que ce chiffre n’inclut normalement pas les pertes d’activité, de temps, de salaires, de fichiers ou d’équipements, ni les frais de remédiation engagés auprès de tiers, que certaines victimes ne déclarent aucune perte, et qu’il en résulte un niveau de pertes artificiellement bas ^[4]. Les variantes les plus signalées en 2025 étaient Akira, Qilin, INC./Lynx/Sinobi, BianLian et Play, et les trois secteurs les plus touchés étaient l’industrie manufacturière critique, la santé et la santé publique, ainsi que les installations gouvernementales ^[4]. L’IC3 a recensé 63 nouvelles variantes au cours de l’année ^[4].

Chainalysis estime que les auteurs de rançongiciels ont perçu plus de 820 millions de dollars américains en paiements on-chain en 2025, soit environ 8 % de moins que son estimation actualisée de 892 millions pour 2024, alors même que le nombre de victimes revendiquées a augmenté de 50 %, faisant de 2025 l’année la plus active jamais enregistrée ^[5]. Elle suggère que la part des victimes qui paient est peut-être tombée à un plus bas historique de 28 % ^[5]. Dans le même temps, le paiement médian a bondi de 368 %, passant de 12.738 à 59.556 dollars américains ^[5]. Il s’agit d’estimations issues du traçage de la blockchain, susceptibles d’être révisées à mesure que d’autres paiements sont attribués ^[5].

Un seul incident peut coûter très cher. Chainalysis cite la cyberattaque de 2025 contre Jaguar Land Rover, qui a interrompu des chaînes de production et causé un préjudice économique estimé à 1,9 milliard de livres sterling, l’événement cyber le plus coûteux de l’histoire du Royaume-Uni ^[5].

Faut-il payer une rançon ?

Les recommandations officielles sont constantes : ne payez pas si vous pouvez l’éviter. La CISA et ses partenaires déconseillent de payer, car le paiement ne garantit ni le déchiffrement de vos données, ni que vos systèmes ne sont plus compromis, ni que vos données ne seront pas divulguées ^[1]. Le NCSC indique que les forces de l’ordre britanniques n’encouragent, n’approuvent ni ne cautionnent le paiement, et prévient que si vous payez, l’accès n’est pas garanti et vous risquez davantage d’être de nouveau ciblé ^[3]. Il ajoute que certains logiciels malveillants ne font que se faire passer pour des rançongiciels : il s’agit de logiciels destructeurs (wipers), et les fichiers ne sont pas déchiffrés après paiement ^[3].

Quels sont les risques juridiques ?

En septembre 2021, l’Office of Foreign Assets Control (OFAC) du Trésor américain a mis à jour un avis sur les risques de sanctions liés à la facilitation de paiements de rançons, soulignant que le gouvernement américain décourage fortement le paiement de rançons et encourageant les victimes à signaler les attaques ^[10]. Le guide de la CISA note également que le paiement de rançons peut exposer à des risques de sanctions ^[1].

Au Royaume-Uni, le gouvernement a annoncé le 22 juillet 2025, à l’issue d’une consultation publique, qu’il mettrait en œuvre des mesures interdisant aux organismes publics et aux opérateurs d’infrastructures nationales critiques, dont le NHS, les collectivités locales et les écoles, de payer des rançons ^[9]. Selon ces propositions, les autres entreprises devraient notifier au gouvernement leur intention de payer, et un régime de déclaration obligatoire est en cours d’élaboration ^[9]. Au 3 novembre 2026, les lecteurs doivent consulter GOV.UK pour savoir si ces mesures ont été adoptées.

Ces informations sont d’ordre général et ne constituent pas un conseil juridique ou financier. Une organisation confrontée à une demande de rançon doit faire appel aux forces de l’ordre, à un conseil juridique et à un prestataire de réponse aux incidents.

Comment se protéger des rançongiciels à domicile ?

1. Sauvegardez ce qui compte pour vous. Le NCSC définit une sauvegarde comme une copie de données importantes conservée dans un autre lieu sûr, comme un stockage cloud ou un support amovible, et range les logiciels malveillants tels que les rançongiciels parmi les raisons pour lesquelles vous pourriez perdre l’accès à vos données ^[8].
2. Gardez au moins une sauvegarde déconnectée. Le NCSC conseille de ne pas laisser les supports de sauvegarde, comme les disques externes et les clés USB, connectés en permanence, car les attaquants ciblent les sauvegardes connectées ^[3].
3. Utilisez l’historique des versions. Choisissez un service cloud qui conserve les versions précédentes, car les services cloud se synchronisent souvent juste après le remplacement des fichiers par des copies chiffrées ^[3]. Microsoft indique que OneDrive intègre la détection des rançongiciels et le versionnage des fichiers ^[7].
4. Mettez tout à jour. Maintenez Windows et vos autres logiciels à jour et laissez la Sécurité Windows activée ^[7] ; le NCSC recommande les mises à jour automatiques des systèmes d’exploitation, des applications et du firmware lorsque c’est possible ^[3].
5. Activez l’accès contrôlé aux dossiers sous Windows 10 ou 11 pour protéger les dossiers importants contre les programmes non autorisés ^[7].
6. Méfiez-vous des pièces jointes et des liens que vous n’attendiez pas, y compris dans les applications de messagerie et les SMS ^[7].

Comment les organisations réduisent-elles le risque de rançongiciel ?

Les recommandations du FBI de 2025 aux entreprises comprennent des sauvegardes hors ligne ou hors site, chiffrées et immuables (impossibles à modifier ou à supprimer), la suppression des mots de passe par défaut, la désactivation des protocoles inutiles, la limitation des droits d’administrateur, l’authentification multifacteur (MFA) pour la messagerie web, les VPN et les systèmes critiques, la segmentation du réseau et l’application rapide des correctifs sur les systèmes exposés à Internet ^[4].

La CISA conseille de conserver des sauvegardes hors ligne et chiffrées et de les tester régulièrement, car la plupart des auteurs de rançongiciels cherchent à trouver puis à supprimer ou chiffrer les sauvegardes accessibles ^[1]. Elle recommande aussi de conserver des « images de référence » (golden images), des modèles de systèmes préconfigurés permettant de reconstruire rapidement des serveurs, et de ne pas exposer des services comme le RDP à Internet ^[1]. Le NCSC ajoute que les organisations doivent planifier et répéter leur réponse, notamment la manière de maintenir les services critiques si les systèmes sont indisponibles et la façon dont elles réagiront à une demande de rançon ^[3]. Le gouvernement britannique insiste lui aussi sur les sauvegardes hors ligne et sur des plans testés permettant de fonctionner sans informatique pendant une période prolongée ^[9].

Que faire en cas d’attaque par rançongiciel ?

1. Isolez les appareils touchés. La CISA conseille de les débrancher du réseau ou de les déconnecter du Wi-Fi ; si tout un réseau est touché, mettez-le hors ligne au niveau des commutateurs ^[1].
2. N’éteignez les appareils que si vous ne pouvez pas les déconnecter. La CISA souligne que l’extinction détruit les preuves présentes en mémoire ; c’est donc une solution de repli ^[1].
3. Communiquez hors bande. Les attaquants peuvent surveiller la messagerie et les discussions ; la CISA suggère donc les appels téléphoniques pour coordonner la réponse ^[1].
4. Nettoyez l’appareil avant toute restauration. Microsoft conseille de nettoyer entièrement le PC avec un logiciel de sécurité avant d’essayer de récupérer les fichiers ^[7] ; le NCSC recommande d’analyser les sauvegardes à la recherche de logiciels malveillants et de ne les connecter qu’à des appareils dont on sait qu’ils sont sains ^[3].
5. Cherchez un outil de déchiffrement gratuit. Le projet No More Ransom, cité par le NCSC, propose des outils de déchiffrement pour certaines familles de rançongiciels, même si tous les types n’ont pas de solution ^[6][3].
6. Signalez l’attaque. Au Royaume-Uni, les incidents peuvent être signalés au NCSC et à Report Fraud ^[3] ; aux États-Unis, le FBI demande aux victimes de déposer un signalement auprès de l’IC3 ^[4]. Microsoft indique que toute personne ayant déjà payé doit contacter immédiatement sa banque et les autorités locales ^[7].

Quel est le lien entre l’Iran et l’activité des rançongiciels ?

En août 2024, le FBI, la CISA et le Department of Defense Cyber Crime Center ont averti qu’un groupe de cyberacteurs basés en Iran, que le FBI estime associé au gouvernement iranien, obtenait des accès à des réseaux américains et étrangers et collaborait avec des affiliés de rançongiciels, dont NoEscape, Ransomhouse et ALPHV (BlackCat), en échange d’un pourcentage des rançons versées ^[12]. L’avis indique que ces acteurs pénétraient souvent dans les réseaux en exploitant des équipements réseau comme Citrix NetScaler et F5 BIG-IP ^[12].

En septembre 2022, le Trésor américain a sanctionné dix personnes et deux entités affiliées au Corps des gardiens de la révolution islamique pour des activités cyber malveillantes, notamment par rançongiciel ; il a indiqué que le groupe activait Microsoft BitLocker sur les réseaux des victimes sans autorisation et réclamait une rançon en échange des clés de déchiffrement ^[11]. Il s’agit de conclusions d’agences américaines. Les désignations de ce type au titre des sanctions sont l’une des raisons pour lesquelles l’OFAC prévient que payer une rançon peut exposer à un risque de sanctions ^[10].