Ransomware PME 2026 : comment survivre à une attaque en 72h
En 2026, une PME française sur cinq a été victime d'un ransomware. Le coût moyen d'un incident non préparé : 157 000 € (CESIN). Voici le plan concret que nos experts OSCP mettent en œuvre dans les 72 premières heures — heure par heure.
Mathieu Renard
Expert Réponse à Incident · OSCP, CEH · WebGuard Agency
1. Anatomie d'une attaque ransomware moderne
Les ransomwares de 2026 ne chiffrent plus en quelques minutes — ils se déploient lentement, parfois sur plusieurs semaines, pour maximiser les dégâts avant que la victime ne les détecte. Le groupe LockBit 4.0 (actif jusqu'en début 2026) et ses successeurs établissent une présence furtive de 14 à 60 jours en moyenne avant de déclencher le chiffrement.
La chronologie typique d'une attaque moderne :
- Accès initial : phishing ciblé (83%), exploitation d'un VPN vulnérable (12%), ou credential stuffing sur une interface RDP exposée (5%)
- Persistence : création de comptes administrateurs dormants, installation d'un RAT (Remote Access Trojan)
- Mouvement latéral : exploration du réseau, élévation de privilèges, identification des sauvegardes
- Exfiltration (souvent ignorée) : copie des données sensibles avant le chiffrement — pour la double extorsion
- Détonation : chiffrement simultané de tous les systèmes accessibles, dépôt de la note de rançon
Chiffres 2026 (sources ANSSI, CESIN)
- • PME françaises victimes de ransomware en 2025 : 1 sur 5
- • Coût moyen d'un incident non préparé : 157 000 €
- • Délai moyen de reprise complète sans PRA : 22 jours
- • Part des attaques avec double extorsion (données + chiffrement) : 71%
2. H+0 à H+4 : confinement d'urgence
Les 4 premières heures déterminent l'amplitude des dégâts. Chaque minute où les systèmes infectés restent connectés au réseau élargit la surface de chiffrement.
⚡ H+0 à H+30 min — Isolation immédiate
- Débranchez les câbles réseau des postes et serveurs infectés — ne les éteignez pas (la mémoire vive contient des traces forensiques précieuses)
- Désactivez les interfaces WiFi sur tous les appareils du réseau
- Isolez les sauvegardes connectées du réseau (NAS, serveur de backup)
- Coupez les VPN actifs et les connexions RDP exposées
- Ne partagez aucun fichier ou lien jusqu'à la fin de la phase de confinement
📞 H+30 min à H+2h — Alertes et mobilisation
- Alertez la direction, le DPO et la DSI
- Contactez votre prestataire cybersécurité (numéro d'urgence 24/7 si votre contrat l'inclut)
- Signalez l'incident à l'ANSSI-CERT via cert.ssi.gouv.fr
- Contactez votre assurance cyber si vous avez une couverture
- Déposez plainte auprès de la Police Nationale ou de la Gendarmerie (indispensable pour l'assurance et la CNIL)
🔍 H+2h à H+4h — Évaluation de l'étendue
- Cartographiez les systèmes touchés vs. non touchés
- Vérifiez l'état des sauvegardes hors ligne — sont-elles intactes et récentes ?
- Identifiez le vecteur d'accès initial si possible (logs firewall, EDR)
- Documentez tout : captures d'écran des messages de rançon, liste des fichiers chiffrés, journaux d'événements
3. H+4 à H+24 : investigation et obligations légales
Investigation forensique
L'investigation ne se fait pas en effaçant les disques et en réinstallant. Elle consiste à comprendre le vecteur d'entrée, l'étendue de la compromission, et à confirmer que les sauvegardes sont propres. Sans cette étape, vous risquez de restaurer une infrastructure déjà compromise.
Actions clés de cette phase :
- Analyse des logs système et réseau sur la période J-30 à J-0
- Identification du ransomware (via ID Ransomware de MalwareHunterTeam ou l'ANSSI)
- Vérification de l'intégrité des sauvegardes hors ligne sur un réseau isolé
- Détection des comptes compromis et des backdoors laissées par les attaquants
Obligations légales RGPD — 72h pour notifier la CNIL
Si des données personnelles sont exposées (clients, salariés, fournisseurs), le RGPD impose une notification à la CNIL dans les 72 heures. Ne pas le faire expose l'entreprise à des sanctions allant jusqu'à 4% du chiffre d'affaires mondial. Préparez :
- La nature de la violation et les catégories de données concernées
- Le nombre approximatif de personnes affectées
- Les conséquences probables et les mesures prises ou envisagées
Urgence cyber — réponse en 2h
Votre PME est sous attaque ransomware ?
Nos experts OSCP interviennent en 2h pour le confinement, l'investigation et le plan de reprise. Disponibles 24h/24, 7j/7.
Contacter nos experts d'urgence →4. H+24 à H+72 : reprise d'activité
La reprise se fait par priorité de criticité métier — jamais en masse. Reconstruire tout simultanément sur des bases potentiellement compromises est l'erreur la plus courante.
Étape 1 — Reconstruction d'un ilôt sécurisé
Partez de zéro sur un segment réseau isolé : nouveaux postes ou images fraîches, credentials entièrement régénérés. C'est votre base de reprise propre.
Étape 2 — Restauration par ordre de criticité
1. Messagerie et communication, 2. ERP/CRM/facturation, 3. Site web et canal de vente, 4. Postes utilisateurs, 5. Archivage et BI. Validez l'intégrité de chaque restauration avant de passer à la suivante.
Étape 3 — Sécurisation avant reconnexion
Avant de reconnecter chaque système : changez tous les mots de passe, activez la MFA, patchez les vulnérabilités identifiées, déployez un EDR, et fermez les accès RDP/VPN qui ont servi de vecteur d'entrée.
Étape 4 — Communication parties prenantes
Informez vos clients, fournisseurs et partenaires si leurs données sont potentiellement exposées. Un message maîtrisé vaut mieux qu'une fuite qui sort de façon incontrôlée. Votre assurance cyber peut vous accompagner sur la gestion de crise communication.
5. Les 5 erreurs qui doublent les dommages
❌ Erreur 1 — Éteindre les machines immédiatement
La mémoire vive contient des clés de chiffrement, des traces de l'attaquant, et des indicateurs de compromission (IOC). Les éteindre les efface définitivement. Isolez du réseau, mais laissez allumé pour la forensique.
❌ Erreur 2 — Restaurer sans investigation préalable
Restaurer les données sans avoir identifié et éradiqué la présence de l'attaquant revient à reconstruire sur des fondations minées. Le ransomware redéclenchera en quelques heures ou jours.
❌ Erreur 3 — Tenter de déchiffrer les fichiers sans expertise
Les outils de déchiffrement non validés peuvent corrompre définitivement les données. Contactez d'abord le projet No More Ransom (nomoreransom.org) qui recense les déchiffreurs officiels validés par Europol.
❌ Erreur 4 — Gérer l'incident en interne sans expertise externe
Les ransomwares modernes utilisent des techniques d'évasion que seuls des outils forensiques spécialisés peuvent détecter. Une équipe interne sans expérience de réponse à incident manquera des backdoors et compromettra la reprise.
❌ Erreur 5 — Ne pas notifier la CNIL dans les 72h
L'omission de notification RGPD est une infraction distincte de l'incident lui-même. Elle peut entraîner des sanctions lourdes, indépendamment de votre bonne foi. Notifiez même si vous n'êtes pas encore certain de l'étendue de la violation.
6. Faut-il payer la rançon ?
La position de l'ANSSI, de la CNIL et d'Europol est claire : ne pas payer. Les raisons :
- Seulement 65% des victimes qui payent récupèrent réellement leurs données (Sophos Ransomware Report 2026)
- Payer signale aux groupes criminels que vous êtes une cible solvable — 38% des entreprises qui payent sont reciblées dans les 12 mois
- Les paiements en cryptomonnaies alimentent directement le financement de groupes criminels, parfois sous sanctions internationales (OFAC)
- En France, payer une rançon à un groupe sanctionné peut exposer l'entreprise à des poursuites légales
Si les sauvegardes sont inaccessibles et les données critiques (contrats signés, propriété intellectuelle), la pression de payer est forte. Consultez un expert légal et votre assurance avant toute décision. La négociation avec les attaquants nécessite une expertise spécifique.
FAQ
L'ANSSI et la CNIL déconseillent fortement de payer. Seulement 65% des victimes qui payent récupèrent leurs données (Sophos 2026), et payer signale aux attaquants que vous êtes une cible solvable — 38% des entreprises sont reciblées dans les 12 mois. La priorité doit être la restauration depuis des sauvegardes hors ligne propres.
Dans les 30 premières minutes : isoler les systèmes infectés du réseau (débrancher les câbles, désactiver le WiFi), ne pas éteindre les machines, alerter la direction et le DPO, contacter votre prestataire cybersécurité et signaler à l'ANSSI (cert.ssi.gouv.fr). Ne tentez pas de déchiffrer vous-même — cela peut aggraver la situation.
Sans PRA préparé : 15 à 45 jours de reprise complète. Avec un PRA bien préparé, des sauvegardes hors ligne testées et un prestataire mobilisé : 3 à 7 jours pour les fonctions critiques. Le coût total sans préparation dépasse 157 000 € en moyenne (CESIN 2025).
Oui, si des données personnelles sont compromises. Le RGPD impose une notification à la CNIL dans les 72 heures. Si des personnes sont à risque élevé, elles doivent également être notifiées directement. Ne pas notifier expose l'entreprise à des sanctions allant jusqu'à 4% du CA mondial.
Articles connexes
Protégez-vous avant l'attaque
Audit de sécurité gratuit pour votre PME — réponse en 24h
Nos experts OSCP identifient vos vulnérabilités avant que les attaquants ne le fassent. Un audit complet vaut mieux que 157 000 € de dommages. Sans engagement.
Obtenir mon audit gratuit →Sans engagement · Expert OSCP dédié · Résultats en 48h