Un matin ordinaire, vous lancez votre session et paf : fond d'écran rouge sang, fichiers renommés en .locked et une note au format texte qui réclame deux bitcoins pour vous rendre la clé de déchiffrement. Spoiler : payer ne garantit absolument rien, à part financer des cybercriminels qui reviendront frapper à votre porte six mois plus tard. Les ransomwares ne ciblent plus uniquement les multinationales ou les hôpitaux ; n'importe quelle PME, travailleur indépendant ou réseau domestique mal configuré constitue une cible d'opportunité parfaite pour des scripts automatisés qui scannent le web non-stop.
La bonne nouvelle, c'est qu'éviter l'apocalypse ne relève pas de la magie noire. Il suffit de fermer les portes d'entrée béantes, d'isoler ce qui doit l'être et de monter une vraie stratégie de sauvegarde qui résiste aux frappes chirurgicales des attaquants. Voici le plan d'action concret pour blinder votre infrastructure sans engraisser les marchands de peur.
Pourquoi c'est important
Selon les rapports d'activité de l'ANSSI (Agence nationale de la sécurité des systèmes d'information), le rançongiciel demeure l'une des menaces les plus lucratives et destructrices du paysage numérique contemporain. Les attaquants ne se contentent plus de chiffrer vos disques durs à l'aveugle. La méthode standard repose désormais sur la double ou triple extorsion : infiltration silencieuse, exfiltration de données sensibles pour faire chanter l'administrateur, destruction préventive des sauvegardes accessibles sur le réseau local, puis chiffrement du stockage restant.
Si votre modèle défensif repose uniquement sur un antivirus propriétaire qui attend sagement la mise à jour de ses signatures virales, vous avez déjà un train de retard. Les rançongiciels modernes exploitent des failles zero-day, des accès RDP (Remote Desktop Protocol) exposés sur Internet avec des mots de passe ridicules, ou des identifiants dérobés via des infostealers. Pour survivre, il faut adopter une posture de défense en profondeur : réduire la surface d'attaque, compartimenter les privilèges et sanctuariser les sauvegardes.
1. Appliquer la règle de sauvegarde 3-2-1-1-0
Oubliez immédiatement le disque dur USB branché 24h/24 sur votre machine ou le dossier synchronisé avec Google Drive ou OneDrive. Si votre PC est infecté, le ransomware chiffre le disque externe en trois secondes et synchronise vos fichiers corrompus dans le cloud avant même que vous n'ayez cliqué sur la notification. C'est du grand classique.
Adoptez la règle 3-2-1-1-0 préconisée par les experts de l'ANSSI :
- 3 copies de vos données : l'original et au moins deux copies de secours distinctes.
- 2 supports différents : par exemple un NAS sous Linux en ZFS et un stockage distant chiffré.
- 1 copie hors site : un serveur distant ou un bucket de stockage cloud situé hors de votre bâtiment.
- 1 copie immuable ou hors ligne (air-gapped) : un disque stocké dans un tiroir non branché, ou un stockage objet S3 avec la fonction Object Lock activée en mode conformité pour empêcher toute suppression ou modification.
- 0 erreur : testez régulièrement la restauration intégrale. Une sauvegarde non testée n'est pas une sauvegarde, c'est juste un vœu pieux.
Côté outillage libre, privilégiez des solutions éprouvées comme Restic ou BorgBackup. Ces utilitaires gèrent la déduplication, chiffrent les données côté client avec des algorithmes robustes et permettent d'envoyer des dépôts en lecture/écriture sécurisée vers des serveurs distants sans donner les droits de purge immédiate.
2. Verrouiller les accès distants et fermer les ports inutiles
Laissez un port 3389 (RDP standard) ou un port SSH sans restriction d'IP ouvert sur votre box ou votre serveur dédié, et vous pouvez chronométrer l'attaque : des bots basés aux quatre coins du globe viendront tenter du brute-force en continu. Selon le CERT-FR, l'exploitation des services d'accès distant non protégés reste un des vecteurs initiaux les plus fréquents.
Pour verrouiller le périmètre :
- Bannissez l'exposition directe du bureau à distance sur Internet public. Passez impérativement par un tunnel VPN moderne comme WireGuard ou OpenVPN.
- Sur les serveurs Linux, installez et configurez fail2ban ou CrowdSec pour bannir automatiquement les adresses IP après plusieurs échecs d'authentification.
- Désactivez l'authentification par mot de passe pour vos accès distants et imposez des clés cryptographiques Ed25519 associées à une double authentification (MFA).
- Utilisez nmap depuis une machine externe pour auditer vos propres adresses IP publiques et vérifier qu'aucun service fantôme ne traîne à votre insu.
3. Neutraliser les vecteurs d'hameçonnage et le Web malveillant
Le phishing reste le cheval de Troie préféré des attaquants pour déposer un dropper sur un poste de travail. L'utilisateur reçoit une fausse facture PDF ou une archive ZIP protégée par mot de passe contenant un script malveillant qui s'exécute en mémoire.
Pour endiguer le flux à la source :
- Installez un bloqueur de scripts et de traqueurs propre comme uBlock Origin sur l'intégralité des navigateurs. En coupant les redirections douteuses et les bannières publicitaires vérolées (malvertising), vous éliminez une grande partie des risques opportunistes.
- Mettez en place un filtrage DNS récursif au niveau du réseau local via un résolveur Pi-hole ou AdGuard Home, configuré avec des listes de blocage de domaines malveillants tenues à jour.
- Désactivez l'exécution des macros Office non signées et bloquez par défaut les extensions de fichiers trompeuses (comme
.vbs,.js,.hta,.iso) au niveau de la messagerie.
4. Cloisonner les réseaux et appliquer le moindre privilège
Si un poste client est compromis, l'attaquant ne doit pas pouvoir rebondir en trois commandes réseau sur votre stockage critique. Travailler quotidiennement avec un compte administrateur local ou domaine constitue une invitation formelle au désastre.
Créez systématiquement des comptes utilisateurs sans droits d'administration pour les tâches quotidiennes (surf, bureautique, navigation). Réservez l'élévation de privilèges aux strictes opérations de maintenance. Sur le réseau, utilisez des VLAN pour séparer les postes bureautiques, les équipements domotiques ou objets connectés (IoT souvent truffés de failles non corrigées), et les serveurs de fichiers hébergeant les données vitales.
Les erreurs à éviter
- Penser que l'antivirus suffit : les rançongiciels sur-mesure contournent facilement Windows Defender ou les suites commerciales en chargeant des pilotes vulnérables légitimes (attaque de type BYOVD - Bring Your Own Vulnerable Driver).
- Conserver ses mots de passe dans un fichier texte : utilisez un gestionnaire de mots de passe open source et audité tel que Bitwarden ou KeePassXC, combiné à des clés d'authentification physique FIDO2 (YubiKey ou Nitrokey).
- Négliger les correctifs de sécurité : un système qui tourne avec six mois de retard de patchs (OS, navigateur, hyperviseur, micrologiciel de box/routeur) est une passoire vivante. Automatisez les mises à jour critiques.
- Ne jamais répéter un scénario de crise : si votre équipe ou vous-même découvrez la procédure de restauration le jour où l'attaque survient, vous perdrez un temps précieux et augmenterez le risque de corruption définitive.
Notre verdict
Si vous ne devez accomplir qu'une seule action aujourd'hui : débranchez un disque externe, lancez une sauvegarde complète chiffrée de vos répertoires indispensables avec Restic ou BorgBackup, et rangez ce disque physiquement dans un tiroir hors tension. Cette simple manipulation brise la chaîne d'action des rançongiciels les plus sophistiqués et vous garantit de repartir sur pied sans jamais verser le moindre centime aux criminels.
Sources et références
- ANSSI (Agence nationale de la sécurité des systèmes d'information) : Guides de bonnes pratiques et recommandations sur la menace rançongiciel (ssi.gouv.fr).
- CERT-FR : Alertes et avis de sécurité relatifs aux campagnes d'extorsion et vulnérabilités d'accès distant.
- Plateforme Cybermalveillance.gouv.fr : Fiches réflexes et conseils d'assistance aux victimes de rançongiciels.
