Les bonnes pratiques contre les ransomwares qui sauvent vraiment

Les bonnes pratiques contre les ransomwares : ce qui marche vraiment en 2026

Un client m'appelle un vendredi soir. Sa comptabilité entière est chiffrée. Sur chaque écran, le même message : payer en bitcoin sous 72 heures. Sa première question n'est pas « comment je récupère mes données ». C'est « est-ce que je paie ». J'ai entendu cette question des dizaines de fois ces dernières années, et la réponse n'a rien d'évident quand on est en train de perdre son chiffre d'affaires heure par heure.

Ce qui m'a frappé, ce soir-là, c'est que cette entreprise avait un antivirus à jour. Elle se croyait protégée. Sauf qu'un antivirus seul n'arrête pas un rançongiciel moderne, et surtout : personne n'avait jamais testé la restauration des sauvegardes. Elles existaient. Elles étaient inutilisables. Voilà le vrai problème.

Ransomware : comment se protéger sans se ruiner

Avouons-le, la plupart des listes de « bonnes pratiques » qu'on trouve en ligne disent la même chose depuis dix ans : ne pas ouvrir les pièces jointes douteuses, faire attention aux clés USB. C'est vrai. C'est aussi complètement insuffisant. Une pièce jointe visible ne piège plus grand monde. Ce qui piège, c'est un accès RDP exposé sur internet avec le mot de passe « Entreprise2026 ».

Le vrai chantier tient en cinq piliers. Pas dix. Pas trois. Cinq, et ils se tiennent ensemble.

Fermer les accès distants et imposer le MFA

Le point d'entrée numéro un, en 2026, ce n'est plus le phishing. C'est l'accès distant mal protégé. Un serveur RDP (bureau à distance) ouvert sur internet, c'est une porte d'entrée qu'un attaquant trouve en quelques minutes avec un simple scan automatisé. Ensuite il essaie des identifiants volés dans des fuites de données, et ça marche plus souvent qu'on ne veut l'admettre.

La contre-mesure est simple à énoncer, plus pénible à déployer :

• placer tout accès distant derrière un VPN ou une passerelle, jamais en direct ;
• activer le MFA partout, sans exception pour les comptes de service ni pour le PDG ;
• supprimer les comptes dormants — j'ai vu une entreprise se faire ouvrir par le compte d'un stagiaire parti deux ans plus tôt ;
• limiter les tentatives de connexion et bannir les mots de passe réutilisés.

Franchement, si vous ne devez faire qu'une chose cette semaine, faites celle-là. J'ai suivi un dossier où l'attaque est entrée par un RDP sans MFA, alors que l'entreprise disposait d'un EDR parfaitement configuré. L'outil a vu l'intrusion. Personne n'a traité l'alerte. Un outil de détection qui hurle dans le vide ne sert à rien.

Le moindre privilège et la segmentation réseau

Parlons d'un chiffre qui m'a marqué : sur une intervention, un poste de comptable compromis avait suffi à chiffrer 340 serveurs en une nuit. Pourquoi ? Parce que le compte utilisateur disposait de droits administrateur sur le domaine. Un comptable administrateur. Le principe du moindre privilège n'est pas une théorie de manuel : c'est la différence entre perdre un poste et perdre l'entreprise.

Concrètement, un utilisateur doit avoir accès à ce dont il a besoin pour travailler. Rien de plus. Et le réseau doit être découpé en zones — un VLAN pour la comptabilité, un pour la production, un pour les postes de direction — de sorte qu'une machine infectée ne puisse pas atteindre tout le reste en quelques secondes. Les rançongiciels modernes se déplacent latéralement très vite, et ils adorent trouver un réseau plat.

Les correctifs, ce faux ami

Ici je vais probablement me faire des ennemis. La gestion des correctifs, c'est le conseil qu'on répète à l'infini, et c'est celui que les entreprises appliquent le plus mal. Un correctif installé trois mois après sa publication ne protège de presque rien. La fenêtre d'exposition critique se compte en jours, parfois en heures.

Mon avis, et j'assume : un système de gestion des correctifs automatisé avec redémarrage planifié vaut mieux qu'un plan de sécurité de trente pages qui dort dans un classeur. Les attaquants ne sont pas polis. Ils ne vous laissent pas le temps de planifier votre comité.

La sauvegarde : le seul filet qui compte vraiment

Un EDR peut rater. Le MFA peut être contourné par un utilisateur fatigué qui valide une notification. La segmentation réseau peut avoir un trou. La sauvegarde, elle, ne vous trahit pas — à condition qu'elle soit faite correctement. Et c'est là que presque tout le monde se trompe.

La règle historique est la 3-2-1 : trois copies des données, sur deux supports différents, dont une hors site. En 2026, on ajoute deux étages, parce que les rançongiciels attaquent désormais d'abord les sauvegardes, justement.

Niveau	Ce que ça veut dire	Pourquoi c'est indispensable
3 copies	La donnée de production + deux sauvegardes	Une seule sauvegarde peut être corrompue ou chiffrée
2 supports	Sur deux technologies distinctes (NAS + bande, par exemple)	Une faille sur un type de support ne touche pas l'autre
1 hors site	Une copie physiquement ailleurs	Un incendie ou un vol ne doit pas tout emporter
1 hors ligne ou immuable	Une copie qui ne peut pas être modifiée ni supprimée	Le rançongiciel ne peut pas la chiffrer
0 erreur	Une restauration réellement testée	Une sauvegarde jamais restaurée n'existe pas

Ce dernier point est celui que tout le monde saute. J'ai testé des restaurations sur cinq environnements différents cette année. Deux sur cinq ont échoué au premier essai : comptes de sauvegarde expirés, volume cible trop petit, chaîne de sauvegarde incrémentale cassée. Découvrir ça un vendredi soir d'attaque, c'est découvrir qu'on n'avait rien.

Ransomware : comment s'en débarrasser ?

S'en débarrasser, au sens propre, veut dire une seule chose : repartir d'une sauvegarde saine et reconstruire un environnement propre. Il n'existe pas de remède miracle qui « déchiffre » un système infecté. Les outils de déchiffrement gratuits existent pour certaines anciennes familles, mais ils ne couvrent pas les variantes récentes, et il ne faut jamais compter dessus.

La marche à suivre, dans l'ordre :

1. Isoler les machines touchées du réseau. Immédiatement.
2. Ne pas éteindre brutalement — les clés de chiffrement peuvent encore être en mémoire, et un spécialiste saura les exploiter.
3. Faire appel à un prestataire en réponse à incident. Ce n'est pas un aveu de faiblesse, c'est du bon sens.
4. Identifier le point d'entrée avant de restaurer, sinon vous serez rechiffré dans la semaine.
5. Restaurer depuis une sauvegarde antérieure à l'intrusion, pas à l'attaque.

C'est ce dernier détail qui coince souvent. L'intrusion précède le chiffrement de plusieurs jours, parfois de plusieurs semaines. Restaurer une sauvegarde trop récente, c'est réinstaller le cheval de Troie avec les données.

Faut-il payer la rançon ?

Non. Enfin, presque jamais. Et je sais que cette réponse est facile à donner de l'extérieur, quand ce ne sont pas vos données et votre trésorerie qui sont en jeu. Mais les faits sont têtus : payer ne garantit pas la récupération, finance directement le crime organisé, et vous désigne comme une victime rentable pour la prochaine fois.

J'ai vu une entreprise payer environ 40 000 euros. Elle a reçu une clé de déchiffrement qui fonctionnait sur deux serveurs sur cinq. Les trois autres étaient irrécupérables. Résultat : elle a payé et restauré. Le pire des deux mondes.

Protection contre les ransomwares sous Windows : les réglages qui changent tout

Beaucoup d'organisations tournent encore sur Windows 10. Le support étendu prend fin, et avec lui, une partie des correctifs de sécurité. Si c'est votre cas, décidez maintenant : migrer ou isoler. Rester sur un système qui ne reçoit plus ses mises à jour de sécurité, c'est choisir de ne plus se défendre.

Sur les postes Windows, quelques réglages font une différence réelle :

• activer la protection contre les rançongiciels dans Sécurité Windows (contrôle d'accès aux dossiers) ;
• désactiver les macros Office venues d'internet — c'est encore un vecteur classique ;
• activer la protection de la mémoire contre les exploits ;
• bloquer l'exécution depuis les dossiers temporaires via une politique de restriction logicielle ;
• ne jamais laisser un compte utilisateur dans le groupe administrateurs « pour la commodité ».

Aucun de ces réglages ne coûte un centime. Leur absence, si.

Rançongiciel ou ransomware : quelle différence ?

Aucune. Ce sont deux mots pour la même chose. « Ransomware » est le terme anglais, « rançongiciel » la traduction française recommandée. Si vous voyez écrit « ransomware virus », c'est un abus de langage : un rançongiciel est un logiciel malveillant, mais ce n'est pas un virus au sens strict, car il ne se propage pas en infectant des fichiers exécutables. La distinction est technique, mais elle compte quand on parle de détection.

Que faire, concrètement, quand l'attaque est là

On m'a souvent demandé « une demande de rançon, ça ressemble à quoi ? ». La réponse tient en une phrase : un écran plein, un compte à rebours, un montant en cryptomonnaie et un portefeuille à créditer. Certains groupes ajoutent la menace de publier vos données, ce qu'on appelle la double extorsion. Elle est devenue la norme.

La réaction, elle, doit être préparée avant. Un plan de réponse à incident écrit, imprimé, accessible hors du réseau, avec les numéros à appeler. Parce que le jour J, votre annuaire d'entreprise sera inaccessible. Sur le plan juridique, en France, porter plainte est indispensable pour activer les assurances et permettre les investigations.

Réunissez votre direction, votre prestataire technique, votre assureur et votre avocat. Ne communiquez rien publiquement avant d'avoir compris l'ampleur. Et respirez : une attaque se gère, elle ne se subit pas si elle est anticipée.

La vraie leçon de toutes ces années, c'est qu'aucune entreprise n'est trop petite pour intéresser un attaquant. Les groupes ne ciblent plus la fortune, ils ciblent la facilité. Rendez-vous difficile, et ils iront voir ailleurs. C'est brutal, mais c'est exactement comme ça que ça marche.