Ransomwares 2026 : comment protéger votre PME en 5 étapes concrètes

Le 14 février 2026, une PME de logistique basée à Lyon — 47 salariés, 8 millions d'euros de chiffre d'affaires — se réveille avec l'ensemble de ses serveurs chiffrés. Fichiers clients, bons de commande, données comptables, logiciels métier : tout est inaccessible. La note de rançon affiche 180 000 € en Bitcoin. Le groupe Play revendique l'attaque 48 heures plus tard en publiant un extrait de leur base de données sur le dark web.

Ce scénario, nos équipes l'ont vu se reproduire plus de 30 fois en 2025-2026 uniquement sur nos dossiers de réponse à incident. Ce n'est pas un problème réservé aux multinationales. En 2026, les PME et ETI françaises de 10 à 250 salariés représentent 60 % des victimes de ransomware sur le territoire, selon le panorama de la cybermenace publié par l'ANSSI en début d'année. Elles sont ciblées précisément parce qu'elles disposent de données de valeur (comptes bancaires, fichiers clients, données de production) mais investissent peu en cybersécurité.

Ce guide n'est pas un catalogue de bonnes intentions. C'est un plan d'action en 5 étapes avec des outils concrets, des budgets réalistes et des procédures testées sur le terrain. Vous pouvez commencer à le mettre en œuvre cette semaine.

1. Le Paysage Ransomware en 2026 : Groupes, Méthodes et Chiffres Clés

Pour se défendre efficacement, il faut comprendre à qui on a affaire. Les groupes ransomware de 2026 ne sont plus des hackers solitaires dans un garage. Ce sont des organisations criminelles structurées, avec des équipes RH, des portails de support client pour leurs victimes, et des partenaires d'affiliation.

Les groupes actifs qui ciblent les entreprises françaises

Les chiffres que tout dirigeant doit connaître

Le vecteur d'entrée numéro un reste le phishing (dans 68 % des cas selon le CERT-FR), suivi de l'exploitation de vulnérabilités dans des services exposés sur internet (VPN, RDP, Exchange) et de la compromission de prestataires informatiques tiers (attaques de type supply chain). La bonne nouvelle : ces trois vecteurs sont tous maîtrisables avec les mesures décrites dans ce guide.

2. Étape 1 — Sauvegardes Robustes : la Règle 3-2-1-1

Sans sauvegardes fonctionnelles, toutes les autres mesures de sécurité ne font que réduire la probabilité d'une attaque. En cas de compromission, elles ne permettent pas la récupération. C'est pourquoi les sauvegardes constituent la priorité absolue — et paradoxalement la mesure la plus souvent négligée ou mal implémentée dans les PME.

La règle 3-2-1-1 est le standard minimal recommandé par l'ANSSI et les experts en réponse à incident :

• 3 copies de vos données critiques au total
• 2 supports différents (par exemple : serveur local + NAS, ou serveur + cloud)
• 1 copie hors site physiquement distante (datacenter distant, cloud géographiquement séparé)
• 1 copie air-gappée — physiquement déconnectée du réseau, inaccessible depuis le système d'information en opération normale

Ce dernier point est crucial. De nombreux ransomwares modernes passent plusieurs semaines à cartographier le réseau avant de déclencher le chiffrement. Pendant ce temps, ils infectent aussi les sauvegardes accessibles depuis le réseau. Une copie air-gappée sur bandes LTO, disques durs hors ligne ou stockage cloud immuable est la seule garantie absolue d'une copie propre.

Outils recommandés pour les PME

Point critique souvent oublié : testez vos restaurations régulièrement. Une sauvegarde non testée est une fausse assurance. Nous recommandons un test de restauration complet trimestriel sur un environnement isolé, avec mesure du RTO (Recovery Time Objective) réel. La plupart des PME que nous accompagnons après un incident découvrent que leurs sauvegardes étaient soit incomplètes, soit corrompues, soit impossibles à restaurer dans un délai acceptable.

Définissez également vos objectifs de reprise avant de choisir une solution : combien d'heures de données êtes-vous prêt à perdre (RPO — Recovery Point Objective) ? En combien de temps devez-vous être opérationnel (RTO) ? Ces chiffres guident le choix de la fréquence de sauvegarde et de la technologie.

3. Étape 2 — Segmentation Réseau pour Limiter la Propagation

La segmentation réseau est la mesure qui transforme un incident catastrophique en incident maîtrisable. Dans un réseau plat (flat network) où toutes les machines communiquent librement entre elles, un poste utilisateur compromis permet au ransomware de se propager à l'ensemble de l'infrastructure en quelques minutes via des protocoles comme SMB ou RPC. Dans un réseau segmenté, la propagation est bloquée au niveau du segment infecté.

Le protocole SMBv1 (vulnérable à EternalBlue, l'exploit utilisé par WannaCry) doit être désactivé immédiatement sur tous vos postes et serveurs si ce n'est pas déjà fait. Il n'a aucune utilité fonctionnelle pour les PME modernes et reste actif par défaut sur de nombreuses installations Windows Server 2012 et 2016.

Architecture de segmentation pour PME

Un découpage minimal en quatre zones suffit pour la grande majorité des PME :

• VLAN Utilisateurs (postes de travail) — accès filtré vers les serveurs de production, aucun accès direct aux équipements d'administration
• VLAN Serveurs (fichiers, ERP, base de données) — accès entrant uniquement depuis les VLANs autorisés, sur les ports strictement nécessaires
• VLAN Administration (accès aux interfaces d'admin, RDP, SSH) — réservé aux techniciens IT, accessible uniquement depuis des postes d'administration dédiés ou via VPN avec MFA
• VLAN IoT / Imprimantes — équipements périphériques souvent mal sécurisés, isolés du reste du réseau

Une fois la segmentation en place, activez la journalisation des connexions inter-segments. Ces logs sont précieux lors d'un incident pour reconstituer le chemin de propagation et identifier les systèmes à isoler en priorité. Des outils comme Graylog (open source) ou des solutions SIEM cloud comme Microsoft Sentinel (intégré à Microsoft 365 Business Premium) permettent de centraliser et d'alerter sur ces événements.

4. Étape 3 — Protection des Endpoints : au-delà de l'Antivirus

Windows Defender, activé par défaut sur Windows 10 et 11, offre une protection correcte contre les malwares connus. Mais il est insuffisant face aux techniques d'évasion des ransomwares modernes : living-off-the-land (utilisation d'outils légitimes Windows comme PowerShell ou WMI pour exécuter du code malveillant), chargement de DLL malveillantes, ou encryption en mémoire sans fichier sur disque. Ces techniques sont conçues précisément pour contourner les antivirus basés sur les signatures.

Les solutions EDR (Endpoint Detection and Response) combinent détection comportementale, télémétrie en temps réel et capacité de réponse automatisée (isolation d'un endpoint suspect, kill de processus malveillants, rollback de modifications). C'est le standard minimum pour tout système connecté à votre réseau d'entreprise en 2026.

Solutions EDR adaptées aux PME

Mesures complémentaires de durcissement des endpoints

• Désactiver PowerShell v2 et restreindre l'exécution de scripts PowerShell aux scripts signés uniquement (Set-ExecutionPolicy AllSigned) — PowerShell est l'outil living-off-the-land le plus utilisé dans les attaques ransomware
• Ne jamais exposer RDP directement sur internet — si l'accès distant est nécessaire, passez systématiquement par un VPN avec MFA. Le port 3389 exposé sur internet est scanné en permanence par des bots à la recherche de credentials faibles
• Gestion des patches automatisée avec des outils comme ManageEngine Patch Manager Plus (gratuit pour 25 endpoints) ou WSUS (intégré à Windows Server) — une CVE corrigée en moins de 48h sur les équipements exposés est l'objectif
• Principe du moindre privilège : aucun utilisateur ne doit travailler au quotidien avec des droits administrateur local. Créez des comptes standards pour l'usage quotidien et des comptes admin séparés pour les tâches d'administration

5. Étape 4 — Formation des Employés : le Maillon Humain

Selon le CERT-FR, 91 % des attaques ransomware commencent par un email de phishing. Un employé qui clique sur un lien malveillant ou ouvre une pièce jointe infectée peut déclencher une chaîne d'infection que vos défenses techniques ne parviendront pas à stopper si elles n'ont pas été mises en place correctement. L'inverse est aussi vrai : un employé formé qui signale un email suspect avant de cliquer peut empêcher l'ensemble de l'incident.

La formation ne se résume pas à un PowerPoint annuel sur "faites attention aux emails suspects". Les programmes de sensibilisation efficaces combinent formation théorique, simulations de phishing régulières et procédures claires de signalement.

Programmes de sensibilisation pour PME

Ce que vos employés doivent apprendre à repérer

• Les signaux d'alerte dans un email : ton d'urgence artificiel ("votre compte sera suspendu dans 24h"), expéditeur dont le domaine ne correspond pas à l'organisation, liens dont l'URL réelle diffère du texte affiché (vérifier au survol)
• Les faux portails de connexion : les attaques par credential harvesting redirigent vers des copies quasi-parfaites de portails Microsoft 365, Google Workspace ou VPN. Former les employés à vérifier systématiquement l'URL avant de saisir des identifiants
• Les appels téléphoniques d'urgence (vishing) : le "prétendu technicien informatique" qui demande un accès à distance ou des identifiants par téléphone est un vecteur d'attaque en forte croissance
• La procédure de signalement : chaque employé doit savoir exactement à qui et comment signaler un email suspect — sans crainte de jugement. Un signalement même "faux positif" est toujours préférable à l'absence de signalement

Organisez des simulations de phishing au moins trimestriellement. Le taux de clic sur les simulations est votre indicateur clé : il doit baisser dans le temps à mesure que la formation produit ses effets. Un taux de clic persistant au-dessus de 15 % après 6 mois de programme indique que la formation n'est pas adaptée ou pas suffisamment fréquente.

6. Étape 5 — Plan de Réponse aux Incidents (PRI)

Le pire moment pour décider de la marche à suivre en cas de ransomware, c'est quand vous êtes en plein dedans. La panique, la pression des employés qui ne peuvent plus travailler, les appels des clients, les notifications des partenaires : tout cela crée un environnement de prise de décision profondément défavorable. Un Plan de Réponse aux Incidents (PRI) documente à l'avance les décisions, contacts et procédures — il transforme le chaos en processus.

Les éléments indispensables d'un PRI ransomware

Cyber-assurance : ce qu'elle couvre (et ce qu'elle ne couvre pas)

La cyber-assurance couvre généralement les frais de réponse à incident (forensique, remédiation), les pertes d'exploitation pendant l'indisponibilité, les frais de notification des personnes concernées (RGPD), et parfois le montant de la rançon. Elle exclut presque toujours les sinistres résultant d'une négligence avérée (absence de mises à jour, utilisation de logiciels en fin de vie, absence de sauvegardes) et les dommages à des tiers liés à des données que vous étiez censé protéger.

Le marché de la cyber-assurance pour PME en France propose des polices à partir de 2 000 à 5 000 €/an pour des TPE, et 5 000 à 20 000 €/an pour des PME de 50 à 250 salariés selon le secteur et le niveau de couverture. Les assureurs exigent désormais systématiquement un questionnaire de maturité cybersécurité avant souscription et peuvent refuser ou augmenter significativement la prime si les mesures de base (MFA, sauvegardes, EDR) ne sont pas en place.

7. Que Faire si Vous Êtes Déjà Infecté ?

Malgré toutes les précautions, un incident peut survenir. Voici la marche à suivre dans les premières heures critiques, par ordre de priorité absolue.

La phase de reconstruction post-incident doit s'effectuer sur des systèmes réinstallés depuis zéro — jamais en "nettoyant" les systèmes infectés. Le ransomware peut avoir déposé des backdoors, des webshells ou des implants persistants que les outils de suppression standard ne détecteront pas. Restaurez vos données depuis la sauvegarde air-gappée sur une infrastructure neuve, puis faites réaliser un audit de sécurité complet avant de retourner en production pour identifier et corriger le vecteur d'entrée initial.

FAQ — Ransomware & PME