Un vendredi après-midi. Une ligne qui disparaît sur l’écran de supervision. Pas d’alerte. Pas de message d’erreur. Juste le silence d’un serveur qui ne répond plus.
Pour beaucoup de dirigeants de PME, une cyberattaque reste un scénario lointain — quelque chose qui arrive aux grandes entreprises, aux banques, aux hôpitaux. Pourtant, les PME et ETI industrielles représentent aujourd’hui une cible prioritaire pour les groupes de ransomware. Pas parce qu’elles ont plus d’argent que les grands groupes. Parce qu’elles ont moins de défenses.
Cet article n’est pas un article technique. C’est une mise en perspective pour les dirigeants qui veulent comprendre ce qui se passe réellement quand un cryptolocker frappe une entreprise — et ce qu’on peut faire pour l’éviter.
Un cryptolocker : de quoi parle-t-on exactement ?
Un cryptolocker — ou ransomware — est un logiciel malveillant conçu pour chiffrer les données d’une organisation et les rendre inaccessibles. L’objectif est simple : forcer la victime à payer une rançon en échange de la clé permettant de déchiffrer ses données.
Ce qui rend ce type d’attaque particulièrement dévastateur, c’est sa mécanique de propagation. Un cryptolocker ne frappe pas en une nuit. Les attaquants s’introduisent dans le réseau — parfois des semaines avant le déclenchement — cartographient l’infrastructure, identifient les serveurs critiques, localisent les sauvegardes, et escaladent leurs privilèges jusqu’aux comptes administrateurs. Quand ils déclenchent le chiffrement, c’est de manière coordonnée, simultanée, et maximalement destructrice.
En quelques heures, un SI complet peut être chiffré — ERP, données de production, comptabilité, messagerie, fichiers partagés. Et si les sauvegardes sont connectées au même réseau que les systèmes de production, elles sont chiffrées avec le reste.
Pourquoi les PME industrielles sont des cibles prioritaires
Les groupes de ransomware fonctionnent comme des entreprises criminelles. Ils optimisent leur retour sur investissement. Et pour eux, une PME industrielle coche plusieurs cases simultanément :
- Une dépendance forte à l’informatique : dans une usine, un arrêt du SI signifie un arrêt de la production. La pression sur la direction pour retrouver une activité normale est immédiate — et les attaquants le savent.
- Une maturité cybersécurité souvent insuffisante : pas de RSSI, pas d’EDR, des sauvegardes non isolées, des systèmes anciens non patchés. L’entrée est plus facile que dans un grand groupe.
- Une capacité financière à payer : les PME ont moins de ressources qu’un CAC40, mais suffisamment pour que la rançon représente un montant significatif pour les attaquants.
Selon le Panorama de la cybermenace 2025 publié par l’ANSSI en mars 2026, les PME, TPE et ETI représentent 48% des victimes de ransomware recensées en France. Ce n’est pas un chiffre marginal — c’est la réalité du risque pour votre secteur.
Comment les attaquants entrent dans un réseau d’entreprise
La plupart des attaques n’exploitent pas des failles inconnues ou des techniques dignes d’un film d’espionnage. Elles exploitent des vulnérabilités bien documentées, souvent simples, que personne n’a eu le mandat ou les ressources pour corriger.
Les vecteurs d’entrée les plus fréquents en PME :
- Les accès distants non protégés par MFA : un identifiant et un mot de passe compromis suffisent. Sans authentification multifacteur, l’attaquant est à l’intérieur du réseau en quelques minutes.
- Le phishing : un email qui semble légitime, une pièce jointe ouverte par un collaborateur — et c’est l’entrée. Le facteur humain reste le premier vecteur d’attaque.
- Les systèmes non patchés : des vulnérabilités corrigées par les éditeurs depuis des mois, mais non appliquées en interne. Les attaquants scannent internet en permanence à la recherche de ces systèmes exposés.
- Les comptes à privilèges mal gérés : mots de passe faibles, comptes partagés entre utilisateurs, comptes administrateurs utilisés au quotidien pour des tâches courantes. Une fois un compte compromis, l’escalade de privilèges devient triviale.
Une fois à l’intérieur, sur un réseau non segmenté, rien ne limite la propagation latérale. L’attaquant explore librement, prend le temps qu’il faut, et choisit le moment le plus défavorable pour frapper — souvent un vendredi soir, un jour férié, ou à la veille d’une période critique pour l’activité.
L’impact réel d’un ransomware sur une PME industrielle
Quand un cryptolocker frappe une PME industrielle, les conséquences sont immédiates, multiples et s’accumulent rapidement.
L’arrêt de la production
Dans une entreprise dont les processus de fabrication dépendent de l’informatique — GPAO, supervision, traçabilité, commandes numériques — l’arrêt du SI signifie l’arrêt de la production. Immédiatement. Sans délai. Les équipes sont présentes, les machines tournent peut-être encore, mais personne ne peut travailler correctement.
La perte de données
Si les sauvegardes sont compromises ou insuffisamment isolées, des données peuvent être définitivement perdues — données de production, historiques comptables, fichiers clients, documentation technique. La reconstruction partielle à partir de supports non connectés au réseau au moment de l’attaque est possible, mais longue, coûteuse et jamais garantie à 100%.
L’impact client et commercial
Des commandes non traitées. Des délais non tenus. Des clients qui ne comprennent pas pourquoi leur fournisseur ne répond plus. Dans un contexte industriel avec des engagements contractuels et des pénalités de retard, l’impact commercial d’un arrêt de plusieurs semaines peut être considérable — et durable.
Le coût de la reconstruction
Prestataires de cybersécurité, experts forensiques, sociétés de récupération de données, redéploiement de l’infrastructure, licences, heures supplémentaires des équipes internes — le coût total d’une reconstruction complète dépasse systématiquement les estimations initiales. Et s’y ajoutent les coûts indirects : perte de chiffre d’affaires, atteinte à la réputation, mobilisation des équipes de direction pendant plusieurs semaines.
Les obligations légales
Une cyberattaque avec compromission de données personnelles déclenche une obligation de notification à la CNIL dans les 72 heures. Un dépôt de plainte auprès des autorités est nécessaire. Ces démarches ne sont pas optionnelles — leur absence peut aggraver la situation sur le plan légal et compliquer l’indemnisation par l’assureur cyber.
Faut-il payer la rançon ? La réponse est non.
La question se pose sous une pression extrême — production à l’arrêt, clients en attente, équipes mobilisées, direction exposée. Dans ce contexte, payer peut sembler la solution la plus rapide. Ce n’est généralement pas la bonne.
- Payer ne garantit pas la restauration. Les attaquants peuvent ne jamais fournir la clé de déchiffrement, ou fournir une clé incomplète ou défaillante. Il n’y a aucun recours contractuel face à un groupe criminel.
- Payer finance les attaques suivantes. Les rançons versées sont réinvesties dans le développement de nouvelles campagnes d’attaque contre d’autres entreprises.
- Payer fait de vous une cible identifiée. Les organisations qui ont payé sont répertoriées dans les bases de données des groupes criminels comme des cibles « payeuses » — augmentant significativement le risque d’une deuxième attaque.
- La recommandation des autorités est unanime. L’ANSSI, Cybermalveillance.gouv.fr et les forces de l’ordre déconseillent fermement le paiement — et cette recommandation s’appuie sur des milliers de cas documentés.
Ne pas payer implique de reconstruire. C’est plus long, plus coûteux à court terme — et infiniment plus sain sur le long terme. La reconstruction est aussi l’opportunité de corriger ce qui a permis l’attaque, et de remettre en service un SI plus solide que celui qui existait avant.
Les mesures de protection essentielles pour une PME industrielle
La bonne nouvelle : les mesures les plus efficaces contre le ransomware ne nécessitent pas des budgets de grand groupe. Elles nécessitent de la méthode, de la prioritisation, et un portage de la direction générale.
Le MFA sur tous les accès distants
L’authentification multifacteur est la mesure qui neutralise le vecteur d’entrée le plus fréquent. Un attaquant qui récupère un identifiant et un mot de passe ne peut rien faire face au MFA. C’est non négociable sur les accès distants et les comptes à privilèges — sans exception, sans dérogation pour « faciliter le travail ».
La règle 3-2-1 pour les sauvegardes
3 copies des données, sur 2 supports différents, dont 1 hors ligne ou dans un environnement totalement isolé du réseau de production. Une sauvegarde connectée en permanence au réseau sera chiffrée en même temps que le reste. Et une sauvegarde non testée régulièrement n’est pas une sauvegarde — c’est une illusion de protection.
La segmentation réseau
Sur un réseau plat non segmenté, un cryptolocker se propage sans obstacle à l’ensemble de l’infrastructure. Une architecture segmentée — zones de production, bureautique, administration clairement séparées — ne suffit pas à empêcher l’entrée, mais confine la propagation et réduit drastiquement les dégâts potentiels.
La gestion des mises à jour
Les attaquants n’exploitent pas des failles inconnues — ils exploitent des vulnérabilités corrigées par les éditeurs mais non appliquées. Un plan de gestion des mises à jour avec des délais définis et un inventaire permanent des versions en production réduit significativement la surface d’attaque.
La détection et réponse aux menaces (EDR)
Un antivirus traditionnel ne suffit plus. Les solutions EDR permettent de détecter des comportements suspects en temps réel — y compris des activités de reconnaissance ou d’escalade de privilèges — avant que le chiffrement ne soit déclenché. Déployées sur l’ensemble des postes et serveurs, elles sont un filet de sécurité déterminant.
La sensibilisation des collaborateurs
Le facteur humain reste le premier vecteur d’entrée. Des simulations de phishing régulières, couplées à une sensibilisation concrète des équipes, réduisent significativement le risque d’ouverture d’une pièce jointe ou d’un lien malveillant. Ce n’est pas une formation ponctuelle — c’est une pratique régulière.
Le rôle de la direction générale : la cyber n’est pas un sujet IT
Dans beaucoup de PME, la cybersécurité est perçue comme un sujet technique — la responsabilité du responsable informatique. C’est une erreur de cadrage qui a des conséquences concrètes.
Le responsable informatique peut alerter, recommander, mettre en place des outils. Mais c’est la direction générale qui décide du niveau de risque acceptable, du budget alloué, des priorités entre la performance opérationnelle et la sécurité. Les alertes existent souvent avant les incidents. Les ressources pour y répondre ne sont pas toujours allouées.
Un cryptolocker n’est pas une défaillance technique — c’est une défaillance de gouvernance. Il s’inscrit dans un historique de décisions non prises, de risques acceptés implicitement, de budgets non alloués. Comprendre ça, c’est comprendre pourquoi la cyber doit être portée en comité de direction, avec des indicateurs de risque, un budget dédié et un responsable clairement identifié.
5 questions à vous poser cette semaine
- Avez-vous un MFA sur vos accès distants et vos comptes administrateurs ? Si non, c’est votre exposition la plus immédiate.
- Vos sauvegardes sont-elles physiquement ou logiquement isolées du réseau de production ? Une sauvegarde connectée en permanence ne vous protégera pas d’un cryptolocker.
- Vos sauvegardes ont-elles été testées en conditions réelles dans les 12 derniers mois ? Une sauvegarde non testée est une sauvegarde dont vous ne savez pas si elle fonctionne.
- Savez-vous qui appeler en premier si votre SI tombe un vendredi à 17h ? Cette réponse doit exister avant la crise — pas pendant.
- Vos systèmes sont-ils à jour — serveurs, postes, applications ? Les systèmes non patchés sont des portes d’entrée documentées que les attaquants exploitent en priorité.
Si vous répondez non à 2 de ces 5 questions, votre exposition est réelle et immédiate.
Vous voulez évaluer votre exposition réelle au risque cyber ?
Un premier échange de 30 minutes suffit à identifier les priorités. Sans jargon, sans engagement.
Questions fréquentes — Ransomware et cybersécurité en PME
Mon entreprise est trop petite pour intéresser des hackers. Est-ce vrai ?
Non. C’est l’idée reçue la plus dangereuse en cybersécurité. Les groupes de ransomware ciblent précisément les PME parce qu’elles ont moins de défenses que les grands groupes, une forte dépendance à l’informatique, et une capacité suffisante à payer. La taille ne vous protège pas — elle vous expose différemment.
Faut-il payer la rançon pour récupérer ses données rapidement ?
Non. Payer ne garantit pas la restauration des données. Les attaquants peuvent ne jamais fournir la clé de déchiffrement, ou fournir une clé incomplète. De plus, payer finance de nouvelles attaques et augmente le risque d’être à nouveau ciblé. La recommandation de l’ANSSI et de Cybermalveillance.gouv.fr est unanime : ne pas payer.
Mon antivirus me protège-t-il du ransomware ?
Partiellement. Un antivirus traditionnel détecte des signatures connues mais ne suffit plus face aux techniques d’attaque actuelles. Les solutions EDR (Endpoint Detection and Response) analysent les comportements en temps réel et peuvent détecter une activité suspecte avant le déclenchement du chiffrement. La protection efficace repose sur une combinaison de mesures — pas sur un seul outil.
Quelle est la première chose à faire si je détecte une attaque en cours ?
Isoler immédiatement les systèmes compromis — couper les connexions réseau, sans éteindre les machines (l’extinction peut détruire des preuves forensiques utiles pour les experts et les assureurs). Appeler votre prestataire de sécurité. Notifier votre assureur cyber. Déposer plainte. Et documenter chaque action dès le début — pour les autorités, pour les assureurs, pour le bilan post-incident.
Une assurance cyber couvre-t-elle les ransomware ?
Potentiellement — mais vérifiez les conditions avant d’en avoir besoin. Certains assureurs imposent des prérequis techniques (MFA, sauvegardes isolées, EDR) dont l’absence peut invalider la couverture au moment du sinistre. Consultez votre courtier et vérifiez que votre contrat correspond à votre niveau de maturité cyber réel.
AM Consulting 