Ransomware et PME en 2025 : comment protéger votre entreprise avant qu’il soit trop tard

— Pourquoi les PME sont-elles devenues la cible principale des ransomwares ?

La perception populaire voudrait que les ransomwares soient réservés aux grandes entreprises et aux hôpitaux. Les chiffres contredisent complètement cette idée. En 2024, les groupes ransomware comme LockBit 3.0, BlackBasta, Play et Cl0p ont massivement recentré leurs opérations vers les PME, pour une raison simple : le rapport effort/gain y est bien meilleur.

Une PME de 50 salariés dispose rarement d’un SOC, d’un EDR sur tous les postes, ou d’un RSSI à plein temps. Elle possède pourtant des données clients, des informations comptables, des PI (propriété intellectuelle) et souvent des accès privilégiés à des grands comptes en tant que sous-traitant. C’est exactement ce qu’un attaquant cherche.

— Les 3 principaux vecteurs d’attaque contre les PME

1. Le phishing et le spear phishing

Le phishing reste de loin le vecteur numéro un. L’email contient soit une pièce jointe piégée (PDF, Word avec macros, archive ZIP), soit un lien vers un faux portail de connexion. Une fois les identifiants volés ou le loader exécuté, l’attaquant dépose un RAT (Remote Access Trojan) qui lui permet d’explorer le réseau pendant plusieurs semaines avant de déclencher le ransomware.

En 2025, les LLM permettent de générer des emails de spear phishing en français parfait, ciblés sur le secteur d’activité et la région de l’entreprise. Certains groupes comme TA577 utilisent des conversations email hi-jackées (répondant à des vraies conversations d’entreprise) pour maximiser le taux d’infection.

2. L’exploitation du RDP et des accès distants non sécurisés

Le protocole RDP (Remote Desktop Protocol) exposé directement sur Internet est une porte d’entrée massive. Les attaquants utilisent des scanners automatiques (Shodan, Masscan) pour identifier les serveurs RDP exposés sur le port 3389, puis testent des listes de credentials volés (credential stuffing) ou réalisent des attaques par force brute sur des comptes avec des mots de passe faibles.

En France, le rapport de l’ANSSI 2024 signale que l’exploitation de services distants exposés (RDP, VPN, Citrix) représente 28 % des vecteurs initiaux d’accès dans les incidents ransomware traités. Les VPN d’entreprise non patchés (Fortinet, Pulse Secure, Cisco ASA) sont également très exploités.

3. Les logiciels non patchés et les chaînes d’approvisionnement

Les vulnérabilités connues et non corrigées restent un vecteur d’infection majeur. En 2024, la CVE-2024-3400 (PAN-OS), la CVE-2024-21762 (Fortinet SSL VPN) et les failles ProxyLogon/ProxyShell sur Exchange ont été massivement exploitées contre des PME dont les systèmes n’étaient pas à jour.

Les attaques supply chain ciblent également les PME via leurs logiciels métiers ou leurs prestataires IT. L’attaque NotPetya (2017) a démontré à grande échelle comment un logiciel comptable compromis peut paralyser des milliers d’entreprises. En 2024-2025, des variantes de cette technique (via des outils de monitoring ou des solutions RMM compromis) continuent de causer des dégâts.

Votre PME est-elle protégée contre les ransomwares ?

Nos experts réalisent un audit de sécurité complet : exposition RDP, patch management, politique de sauvegardes, MFA. Résultats et plan de remédiation en 48h.

Faire auditer ma sécurité gratuitement →

— Les 5 mesures de prévention prioritaires

1. Activer le MFA sur tous les accès critiques

L’authentification multi-facteurs (MFA) est la mesure la plus simple et la plus efficace contre le credential stuffing et le phishing. Microsoft affirme que le MFA bloque 99,9 % des attaques automatisées de compromission de compte. Priorités absolues : Microsoft 365 / Google Workspace, VPN d’entreprise, portail de sauvegarde, portail bancaire et accès RDP.

Attention : le MFA par SMS est vulnérable aux attaques SIM swapping. Préférez une application d’authentification (Microsoft Authenticator, Google Authenticator) ou une clé hardware (YubiKey) pour les comptes à plus hauts privilèges.

2. Appliquer la règle de sauvegarde 3-2-1 avec des copies hors ligne

C’est votre assurance-vie en cas d’attaque ransomware. La règle 3-2-1 préconise : 3 copies de vos données, sur 2 supports différents, dont 1 hors site ou hors ligne.

3. Déployer un EDR sur tous les postes de travail

Les antivirus traditionnels basés sur des signatures ne détectent pas les ransomwares modernes qui utilisent des techniques sans fichier (fileless malware), du chiffrement légitime (abus de BitLocker) ou des outils système natifs (LOLBins). Un EDR (Endpoint Detection and Response) analyse les comportements en temps réel et peut bloquer une attaque avant que le chiffrement ne se propage.

Solutions adaptées aux PME : Microsoft Defender for Business (intégré dans Microsoft 365 Business Premium, environ 20€/utilisateur/mois), SentinelOne Singularity Commercial, Crowdstrike Falcon Go. La plupart offrent une protection ransomware spécifique avec retour arrière automatique des fichiers chiffrés.

4. Fermer les accès RDP exposés et patcher les VPN

Vérifiez immédiatement si votre serveur RDP est accessible depuis Internet sans VPN. Commande : depuis un réseau extérieur, testez la connexion sur votre-ip-publique:3389. Si elle répond, c’est une urgence.

Solution : mettre le RDP derrière un VPN avec MFA, ou utiliser des solutions de type Bastion (Guacamole, BeyondTrust). Pour les VPN, appliquez les correctifs dans les 48h suivant une CVE critique — les attaquants exploitent activement les failles VPN dans les 2 à 7 jours suivant la publication.

5. Former les équipes et tester leur résistance

La technologie seule ne suffit pas. 78 % des infections ransomware commencent par une action humaine (clic sur un lien, ouverture d’une pièce jointe). Une formation annuelle de sensibilisation cybersécurité réduit significativement le risque, mais rien ne vaut une simulation réelle : un test de phishing sur vos propres équipes mesure concrètement votre exposition et identifie les profils à risque.

WebGuard Agency réalise des campagnes de phishing simulé ciblées sur votre secteur, avec un rapport détaillé par département et un parcours de formation adapté pour les collaborateurs les plus exposés.

— Que faire si votre PME est attaquée ?

Vous découvrez que vos fichiers sont chiffrés et une note de rançon apparaît sur les écrans. Voici les étapes à suivre dans l’ordre, sans paniquer :

1. 1
   Isoler immédiatement le réseau

   Déconnectez physiquement les câbles réseau et désactivez le Wi-Fi sur toutes les machines. L’objectif est d’arrêter la propagation latérale. Ne rallumez pas les machines éteintes : la mémoire vive contient des artefacts forensiques précieux pour l’analyse.

2. 2
   Ne payez pas la rançon

   L’ANSSI, Europol et le FBI déconseillent unanimement le paiement. 30 % des victimes ne récupèrent jamais leurs données même après paiement. Payer finance les groupes criminels et signale votre volonté de payer — vous serez ciblé à nouveau.

3. 3
   Appeler un prestataire PRIS et/ou l’ANSSI

   Les prestataires qualifiés PRIS (Prestataire de Réponse aux Incidents de Sécurité) par l’ANSSI peuvent intervenir en urgence. WebGuard Agency répond aux incidents dans les 4 heures. Pour les structures publiques ou les opérateurs essentiels, contactez le CERT-FR : +33 1 77 44 83 46

4. 4
   Déposer plainte et signaler

   Dépôt de plainte auprès de la gendarmerie ou du commissariat. Signalement sur cybermalveillance.gouv.fr. Si des données personnelles ont été exfiltrées, notification obligatoire à la CNIL sous 72 heures (RGPD, article 33). Prévenez également votre assurance cyber si vous en avez une.

5. 5
   Identifier le ransomware et chercher une clé de déchiffrement

   Le projet NoMoreRansom (europol.europa.eu/ransomware) met à disposition des clés de déchiffrement gratuites pour de nombreux ransomwares démantelés par les forces de l’ordre. Avant toute restauration, vérifiez si votre ransomware est concerné.

6. 6
   Restaurer depuis les sauvegardes hors ligne

   Une fois le vecteur d’infection identifié et l’infrastructure nettoyée, procédez à la restauration depuis vos sauvegardes hors ligne. Attention : ne restaurez pas sur l’infrastructure compromis avant remise en état complet, au risque de réinfecter immédiatement.

— Coûts réels d’un incident ransomware pour une PME

Beaucoup de dirigeants sous-estiment le coût réel d’un incident ransomware en ne comptant que la rançon éventuelle. La réalité est bien plus lourde :

— Assurance cyber : une protection complémentaire indispensable

L’assurance cyber n’est pas un substitut à la sécurité technique, mais un filet de sécurité complémentaire. En France, le marché de l’assurance cyber PME se développe rapidement, avec des contrats proposés par Hiscox, AXA, Chubb, Allianz ou Marsh à partir de 1 000 à 3 000 € par an pour les PME de moins de 50 salariés.

Points clés à vérifier dans votre contrat :

• ▶La couverture de la rançon est-elle incluse ? (de moins en moins proposée, et conditionnée à l’approbation préalable de l’assureur)
• ▶La perte d’exploitation est-elle couverte, et pour quelle durée d’interruption ?
• ▶Les frais de notification CNIL et de gestion de crise sont-ils pris en charge ?
• ▶L’assureur exige-t-il des prérequis techniques (MFA, sauvegardes) sous peine de refus de couverture ? De plus en plus fréquent depuis 2023.

Note importante : depuis 2023, plusieurs assureurs ont exclu ou limité la couverture si les bases de sécurité (MFA, sauvegardes hors ligne) ne sont pas en place. Un audit technique préalable à la souscription est devenu pratique courante.

— NIS2 et ransomware : ce que cela change pour votre PME

La directive NIS2, transposée en droit français en 2025 (loi du 1er août 2024, décrets d’application attendus), étend considérablement le périmètre des entités concernées. Contrairement à NIS1 qui visait principalement les OIV, NIS2 intègre de nombreuses PME via deux catégories :

• ▶Entités essentielles : secteurs énergie, transports, santé, eau, infrastructure numérique. Amendes jusqu’à 10 M€ ou 2 % du CA.
• ▶Entités importantes : services postaux, gestion des déchets, industrie manufacturière critique, fournisseurs de services numériques (>50 employés ou >10 M€ CA). Amendes jusqu’à 7 M€ ou 1,4 % du CA.

Les obligations NIS2 incluent notamment :

— Checklist anti-ransomware pour PME (2025)

— Questions fréquentes