Protection anti-ransomware
pour les PME
Préparez la prévention et la reprise avant l'incident. Les contrôles, responsabilités, tests, horaires de couverture et actions autorisées doivent être définis selon les risques et le contrat.
Les ransomwares sont la première menace cyber pour les PME françaises. En 2025, l'ANSSI a enregistré 128 compromissions par rançongiciel, avec Qilin (21 %), Akira (9 %) et LockBit 3.0 (5 %) comme souches dominantes. La rançon moyenne atteint 900 000 € (CESIN) et 60 % des PME victimes ferment dans les 6 mois. La solution n'est pas de payer — c'est de se protéger en amont : EDR, sauvegardes immuables, segmentation réseau, formation phishing et plan de reprise d'activité.
Qu'est-ce qu'un ransomware et comment ça fonctionne ?
Un ransomware — ou rançongiciel en français — est un logiciel malveillant conçu pour prendre vos données en otage. Le scénario est toujours le même : un collaborateur ouvre une pièce jointe piégée ou clique sur un lien de phishing. En quelques minutes, le logiciel chiffre l'ensemble des fichiers accessibles — documents, bases de données, sauvegardes réseau. Un message s'affiche : « Payez X bitcoins pour récupérer vos données. »
Les ransomwares modernes ne se contentent plus de chiffrer. La double extorsion est devenue la norme : avant de chiffrer, l'attaquant exfiltre vos données sensibles. Si vous ne payez pas, il menace de les publier. Certains groupes comme Qilin — responsable de 21 % des attaques en 2025 — pratiquent même la triple extorsion : chiffrement, publication et attaque DDoS simultanée pour accentuer la pression.
« En 2025, l'ANSSI a traité 128 compromissions par rançongiciel. Les PME, TPE et ETI restent les victimes les plus fréquentes, représentant 37 à 48 % des cas selon les années. »— ANSSI, Panorama de la cybermenace 2025
Le processus d'infection suit généralement trois phases. D'abord, l'intrusion initiale : phishing ciblé, exploitation d'une faille non corrigée (VPN, serveur Exchange, RDP exposé) ou compromission d'un prestataire (attaque supply chain). Ensuite, la propagation latérale : l'attaquant se déplace dans le réseau, élève ses privilèges, identifie les sauvegardes et les désactive. Enfin, le déploiement du ransomware : chiffrement simultané de tous les systèmes accessibles, destruction des copies shadow et demande de rançon.
Entre l'intrusion initiale et le déploiement du ransomware, il s'écoule en moyenne 5 à 14 jours. C'est pendant cette fenêtre qu'un EDR bien configuré peut détecter l'intrus et empêcher le chiffrement. Sans cette détection, le jour J est dévastateur.
Pourquoi les PME sont les cibles préférées des ransomwares
Si vous pensez que les ransomwares ne visent que les grands groupes et les hôpitaux, détrompez-vous. Les PME sont devenues le gibier de choix des cybercriminels — et ce n'est pas un hasard. Voici pourquoi votre entreprise est dans le viseur.
Pas de SOC, pas de surveillance
78 % des TPE/PME se déclarent insuffisamment préparées face aux cyberattaques (Neurark). Sans centre opérationnel de sécurité (SOC), personne ne surveille votre réseau la nuit, le week-end ou pendant les vacances — exactement quand les attaquants frappent.
Sauvegardes absentes ou non testées
Beaucoup de PME ont une sauvegarde — sur un disque USB branché en permanence au serveur. Le ransomware le chiffre en premier. Sans sauvegarde déconnectée (air-gap) et testée régulièrement, la restauration est impossible.
Collaborateurs non formés
90 % des ransomwares arrivent par email de phishing. Avec l'IA générative, les emails frauduleux sont désormais indiscernables des vrais. Sans formation régulière et simulations de phishing, un clic suffit.
Budget sécurité insuffisant
48 % des PME n'ont aucune stratégie cybersécurité formalisée (Konica Minolta 2025). L'investissement en sécurité est souvent repoussé « à plus tard » — jusqu'au jour où le ransomware frappe et que le « plus tard » coûte 100 000 €.
Les cybercriminels l'ont compris : attaquer 50 PME mal protégées rapporte plus qu'attaquer un grand groupe bardé de pare-feux. C'est industrialisé, automatisé, et les kits de ransomware sont vendus clé en main sur le dark web (Ransomware-as-a-Service). Votre taille ne vous protège pas — elle vous expose.
L'état de la menace ransomware en chiffres
| Indicateur | Chiffre | Source |
|---|---|---|
| PME dans les victimes de ransomware | 37 à 48 % | ANSSI 2024-2025 |
| Payeurs qui ne récupèrent pas tout | 47 % | Sophos 2025 |
| Coût moyen incident PME | 50 000 à 100 000 € | ANSSI |
| Souche dominante 2025 | Qilin (21 %) | ANSSI |
| Attaques supply chain | +100 %, 30 % des violations | Verizon DBIR 2025 |
| PME sans stratégie cyber formalisée | 48 % | Konica Minolta 2025 |
Les chiffres sont sans appel. Le coût de la cybercriminalité en France est passé de 5 milliards d'euros en 2016 à 100 milliards en 2024. La question n'est plus « si » votre PME sera ciblée, mais « quand ». La bonne nouvelle : 54 % des organisations dotées d'un plan de reprise récupèrent en moins d'une semaine, contre des mois pour les autres. La préparation fait toute la différence.
Les 7 mesures de protection anti-ransomware essentielles
La protection contre les ransomwares repose sur la défense en profondeur : plusieurs couches complémentaires à sélectionner, déployer et tester selon les risques de chaque PME.
MFA partout
Authentification multifacteur sur tous les accès critiques : messagerie, VPN, accès cloud. 99 % des attaques par mot de passe échouent face au MFA (Microsoft).
Sauvegarde 3-2-1 immuable
3 copies, 2 supports différents, 1 hors site. La copie hors site est immuable (air-gap ou write-once) — le ransomware ne peut pas la chiffrer.
EDR/XDR sur chaque poste
L'antivirus classique est mort. Un EDR (Endpoint Detection & Response) analyse les comportements suspects en temps réel et bloque le chiffrement avant qu'il ne se propage.
Segmentation réseau
Cloisonner le réseau pour empêcher la propagation latérale. Si un poste est infecté, le ransomware reste confiné à un segment isolé.
Patch management
Les ransomwares exploitent des failles connues. Un processus de mise à jour rigoureux (OS, logiciels, firmware) ferme les portes d'entrée.
Sensibilisation phishing
90 % des ransomwares arrivent par email. Des simulations de phishing régulières et une formation continue réduisent le risque humain.
Plan de reprise (PRA)
Quand les protections échouent, le PRA organise la reprise. RTO, RPO et fréquence des tests sont documentés selon le périmètre.
Ces 7 mesures sont alignées avec les recommandations de l'ANSSI et du guide « La cybersécurité pour les TPE/PME en 13 questions ». Aucune mesure isolée ne suffit — c'est leur combinaison qui crée une protection efficace.
Les solutions anti-ransomware que nous déployons
Nous ne vendons pas de la théorie — nous déployons des solutions concrètes, testées et maintenues. Chaque brique est sélectionnée pour sa capacité à stopper un ransomware à un stade précis de l'attaque.
Fortinet FortiEDR
Protection endpointDétection comportementale en temps réel, réponse automatisée, rollback des fichiers chiffrés. Protection pré et post-exécution du ransomware.
Veeam + sauvegarde air-gap
Sauvegarde immuableSauvegardes déconnectées du réseau (air-gap physique ou logique). Rétention, tests de restauration et objectif RPO à définir puis vérifier.
Fortinet FortiGate
Pare-feu nouvelle générationInspection SSL/TLS, filtrage DNS, sandboxing des pièces jointes suspectes, IPS. Bloque les communications avec les serveurs de commande (C2).
Microsoft Defender for Business
Protection Microsoft 365Protection de la messagerie Exchange Online, détection des pièces jointes malveillantes, Safe Links. Intégré à l'écosystème Microsoft.
Formation & simulation phishing
Facteur humainCampagnes de simulation trimestrielles, tableaux de bord par service, micro-formations ciblées pour les collaborateurs qui cliquent.
Déploiement, configuration, mises à jour, supervision et réponse aux alertes peuvent être inclus selon la proposition. Les horaires, exclusions, responsabilités et cibles d'escalade sont contractuels.
Que faire si vous êtes touché par un ransomware ?
Vous venez de découvrir un message de rançon sur vos écrans. Les premières minutes sont critiques. Voici exactement ce qu'il faut faire — et ce qu'il ne faut surtout pas faire.
Isoler immédiatement
Déconnectez la machine infectée du réseau (câble ET Wi-Fi). Ne l'éteignez pas — les clés de chiffrement peuvent être en mémoire.
Ne pas payer la rançon
Payer ne garantit rien : 47 % des payeurs ne récupèrent pas toutes leurs données (Sophos 2025). Vous financez les criminels et devenez une cible récurrente.
Contacter votre prestataire
Le délai et les actions applicables dépendent du contrat et de la criticité. Préservez les éléments utiles à l'investigation et suivez la procédure de crise validée.
Signaler l'attaque
Déposez plainte et signalez sur cybermalveillance.gouv.fr. Si des données personnelles sont compromises, notification CNIL obligatoire sous 72h.
Restaurer depuis les sauvegardes
Avec des sauvegardes immuables testées, la restauration complète est possible. Sans PRA, c'est la loterie.
Questions à traiter avant un incident
Accès : qui peut isoler les postes, les serveurs, les comptes cloud et les accès distants ? Les contacts et droits d'urgence doivent être disponibles sans dépendre d'un système compromis.
Sauvegardes : quelles copies sont séparées des identifiants de production, quand ont-elles été testées et quels objectifs RPO/RTO ont réellement été mesurés ?
Décision : qui qualifie l'incident, préserve les éléments d'investigation, contacte les parties compétentes et décide l'ordre de restauration des services ?
Validation : le plan de reprise d'activité (PRA) doit être testé et les écarts documentés avant qu'un délai puisse être présenté comme un engagement.
Combien coûte la protection anti-ransomware ?
| Formule | Inclus | Tarif |
|---|---|---|
| Basic | EDR managé, pare-feu, sauvegarde quotidienne, MFA | Sur devis après inventaire |
| Avancé | Basic + sauvegarde immuable air-gap, segmentation réseau, simulation phishing trimestrielle, PRA documenté | Sur devis après inventaire |
| SOC managé | Supervision, détection, réponse, threat hunting et rapports selon la couverture et le SLA retenus | Sur devis |
Les postes, licences, services de déploiement, configuration et support sont détaillés dans chaque proposition ; aucun forfait universel n'est présumé.
FAQ — Protection ransomware PME
Qu'est-ce qu'un ransomware exactement ?
Un ransomware (ou rançongiciel) est un logiciel malveillant qui chiffre vos fichiers et exige une rançon — généralement en cryptomonnaie — pour vous redonner l'accès. Les versions modernes pratiquent la « double extorsion » : chiffrement + menace de publier vos données volées. L'infection arrive le plus souvent par un email de phishing ou l'exploitation d'une faille non corrigée.
Ma PME est-elle vraiment une cible pour les ransomwares ?
Oui. Les PME/TPE/ETI représentent 37 à 48 % des victimes de ransomware en France (ANSSI 2024-2025). Les attaquants ciblent les PME précisément parce qu'elles ont moins de protections qu'un grand groupe : pas de SOC, pas de segmentation réseau, sauvegardes non testées, collaborateurs non formés au phishing. Vous n'êtes pas « trop petit pour être ciblé » — vous êtes « assez petit pour être vulnérable ».
Faut-il payer la rançon en cas d'attaque ?
Non. L'ANSSI, Cybermalveillance.gouv.fr et le projet No More Ransom recommandent unanimement de ne pas payer. 47 % des entreprises qui paient ne récupèrent pas l'intégralité de leurs données (Sophos 2025). Payer finance l'écosystème criminel et fait de vous une cible récurrente. La seule protection fiable : des sauvegardes immuables testées régulièrement.
Combien coûte une protection anti-ransomware pour une PME ?
Le coût dépend du parc, des licences, de la sauvegarde, de la couverture et des services retenus. Il doit être chiffré après inventaire ; aucune fourchette ECLAUD IT universelle n'est publiée.
Quelle est la différence entre un antivirus et un EDR ?
Un antivirus classique compare les fichiers à une base de signatures connues — il ne détecte que les menaces déjà identifiées. Un EDR (Endpoint Detection & Response) analyse les comportements en temps réel : si un processus commence à chiffrer des fichiers massivement, l'EDR le bloque immédiatement, même si la souche est inconnue. Contre les ransomwares modernes, l'antivirus seul est insuffisant.
ECLAUD IT intervient-elle à La Réunion en cas d'attaque ransomware ?
Le siège social est à Saint-Paul. La zone d'intervention, le délai de prise en charge et les étapes de réponse applicables dépendent de la criticité, de la disponibilité et du contrat signé.
Ne soyez pas la prochaine
statistique ransomware
Un premier échange permet de cadrer l'analyse d'exposition, ses livrables, son coût et les prochaines étapes adaptées à votre PME.