Rançongiciel (ransomware) : Vos données aux mains des cybercriminels

Les attaques par rançongiciel (ransomware) se multiplient à l’échelle mondiale et constituent une menace croissante pour les entreprises de toutes tailles. Cet article explique comment ces attaques fonctionnent, quelles peuvent être leurs conséquences et quelles mesures préventives doivent être mises en place pour protéger l’entreprise.

Qu’est-ce qu’un rançongiciel ?

Un rançongiciel est un logiciel malveillant qui chiffre les données présentes sur l’ordinateur de la victime ainsi que sur les disques réseau connectés, rendant ainsi ces données inaccessibles pour l’entreprise. De telles attaques peuvent causer des dommages considérables en paralysant l’activité et en compromettant des données sensibles. En général, les cybercriminels exigent le paiement d’une rançon pour débloquer les données.

Selon l’Office fédéral de la cybersécurité (OFCS), une PME sur trois a déjà été victime d’une cyberattaque. Les attaques par rançongiciel représentent un danger particulièrement élevé pour les PME, car celles-ci ne disposent souvent ni des ressources nécessaires en cybersécurité, ni de plans d’urgence, ni de réserves financières suffisantes pour faire face à une attaque. Il est donc essentiel que les PME adoptent des mesures de prévention et mettent en place un plan d’urgence afin de minimiser les dommages et de protéger leur activité à long terme.

Comment fonctionne une attaque par rançongiciel ?

Les principales portes d’entrée des rançongiciels sont les systèmes mal sécurisés et les courriels contenant des pièces jointes infectées (hameçonnage ou phishing). Une fois que le logiciel malveillant est installé sur le système, il chiffre les données. L’attaquant exige ensuite une rançon, souvent en cryptomonnaie, pour les restituer.

Aujourd’hui, presque toutes les attaques par rançongiciel s’accompagnent également d’un vol de données. Il ne suffit donc pas seulement de se concentrer sur la restauration des systèmes, mais aussi d’évaluer les conséquences potentielles d’une fuite de données.

Quelles sont les conséquences d’une attaque par rançongiciel ?

Une attaque par rançongiciel peut avoir de nombreuses conséquences directes et indirectes pour une PME.

Sous la pression, certaines PME choisissent de payer la rançon, malgré les recommandations des autorités qui déconseillent cette pratique. Toutefois, il n’existe aucune garantie que les données seront réellement restaurées après le paiement.

Dans tous les cas, les coûts de récupération des systèmes sont élevés. Une attaque entraîne également des pertes de revenus dues à l’arrêt des activités.

Dans le pire des cas, une attaque par rançongiciel peut également entraîner une perte de confiance des clients, avec des répercussions durables sur l’entreprise.

Mesures de protection contre les rançongiciels

• Sauvegardes régulières : assurez-vous de réaliser des sauvegardes fréquentes de vos données et de les stocker en toute sécurité, par exemple en appliquant la règle 3-2-1 : 3 copies des données, sur 2 supports différents, avec 1 copie stockée hors site.
• Mises à jour régulières : les rançongiciels exploitent souvent des failles de sécurité non corrigées. Installez les mises à jour disponibles pour tous les logiciels et appareils utilisés dès que possible.
• Blocage des pièces jointes suspectes : configurez votre passerelle de messagerie pour bloquer la réception de fichiers potentiellement dangereux.
• Formation des employés : sensibilisez vos collaborateurs aux risques liés aux courriels d’hameçonnage et formez-les aux bonnes pratiques de cybersécurité. Certains fournisseurs proposent des vidéos et des formations régulières.
• Utilisation de logiciels de sécurité : installez des solutions de protection à jour, comme des antivirus et des pares-feux, sur tous les terminaux connectés à Internet.
• Préparation et prévention : élaborez et mettez en œuvre des politiques internes, des procédures et des plans de communication pour faire face aux attaques par rançongiciel dans le cadre d’un plan de continuité des activités. En cas d’urgence, chaque responsable doit savoir exactement quoi faire.

Que faire en cas d’attaque par rançongiciel ?

Les mesures suivantes doivent être prises en cas d’attaque par rançongiciel :

• Isolation des systèmes infectés : déconnectez immédiatement les appareils compromis du réseau afin d’empêcher la propagation du rançongiciel. Coupez l’accès à Internet, aux courriels ainsi qu’aux connexions à distance et VPN entre les sites.
• Restauration des données : vérifiez vos sauvegardes et protégez-les immédiatement. Elles doivent être physiquement déconnectées du réseau infecté (« mises hors ligne ») dès que possible. Utilisez ces sauvegardes pour restaurer les données chiffrées.
• Ne pas payer de rançon : l’OFCS déconseille formellement de céder aux demandes des cybercriminels. Il est fortement recommandé de ne pas entrer en contact avec eux et de discuter des prochaines étapes avec la police.
• Faire appel à un expert : si vous ne possédez pas les compétences nécessaires en interne, contactez un prestataire spécialisé en cybersécurité (Security Incident Response Service), qui pourra vous aider à gérer l’incident et à en analyser l’origine.
• Signaler l’incident : informez les autorités compétentes et votre service informatique. L’OFCS recommande de déposer une plainte.
  • Selon l’article 24 de la Loi fédérale sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023, toute violation de sécurité des données doit être signalée au Préposé fédéral à la protection des données et à la transparence (PFPDT) si elle présente un risque élevé pour les personnes concernées.
  • La déclaration doit être faite le plus rapidement possible.
  • Formulaire de signalement en ligne : https://databreach.edoeb.admin.ch/report 
  • Si des données personnelles sont concernées, l’entreprise doit également se conformer au RGPD, selon sa localisation.

À partir du 1er avril 2025, les exploitants d’infrastructures critiques devront signaler tout cyberincident, y compris une attaque par rançongiciel, à l’OFCS dans un délai de 24 heures après sa découverte.

• Assurance cyber : L’assurance cyber peut également activer immédiatement des mesures d’urgence. Assurez-vous d’avoir tous les numéros importants accessibles hors ligne. Une assurance cyber peut offrir une aide financière et contribue préventivement à l’amélioration des mesures de sécurité.