Un cabinet comptable de douze personnes dans le Rhône, un sous-traitant automobile en Vendée, une clinique vétérinaire en Bretagne : ces trois structures ont vu leurs fichiers chiffrés en quelques heures, sans qu’aucune alerte technique ne se déclenche. Les ransomwares ne visent plus uniquement les grands groupes. Les PME françaises représentent désormais près d’une victime de rançongiciel sur deux selon le Panorama de la cybermenace 2025 de l’ANSSI, et cette proportion se maintient à un niveau structurellement élevé.
Double extorsion contre les PME : le mécanisme qui change la donne
On parle souvent du chiffrement des fichiers, la partie visible de l’attaque. La double extorsion, désormais généralisée y compris contre les petites structures françaises, ajoute un second levier de pression.
Le principe : avant de verrouiller les données, les attaquants les copient sur leurs propres serveurs. La rançon ne porte plus seulement sur le déchiffrement, mais aussi sur la non-publication des données volées. D’après les données reprises par le baromètre Cybermalveillance.gouv.fr, les incidents avec exfiltration ont augmenté de façon significative ces dernières années.
Pour une PME qui stocke des contrats clients, des fiches de paie ou des dossiers médicaux, la menace de publication publique pèse plus lourd que le blocage opérationnel. On se retrouve face à un double levier de pression, là où il n’y en avait qu’un.
Pourquoi la double extorsion fonctionne mieux sur les petites structures
Une ETI ou un grand groupe dispose d’un service juridique, d’un DPO, d’une communication de crise rodée. Une PME de vingt salariés ne sait souvent pas à qui s’adresser quand un message de rançon apparaît sur ses écrans.
L’attaquant le sait. La pression psychologique est plus forte quand le dirigeant est seul décisionnaire, sans cellule de crise ni procédure documentée. Le paiement intervient souvent dans les premières heures, avant même que l’entreprise ait pu évaluer l’étendue de la compromission.
Ransomware et chaîne de sous-traitance : l’effet NIS 2 sur les PME
La directive européenne NIS 2 introduit une obligation que beaucoup de PME n’ont pas encore mesurée : la gestion du risque lié à la chaîne de valeur. Concrètement, les grandes entreprises soumises au texte vont exiger de leurs fournisseurs et sous-traitants des garanties minimales en cybersécurité.
Une PME qui travaille pour un donneur d’ordre dans l’aéronautique, l’énergie ou la santé peut se voir demander un audit de sécurité, une politique de sauvegarde documentée, voire une assurance cyber. Sans ces garanties, le contrat commercial peut être remis en question.
- Un sous-traitant industriel compromis peut servir de porte d’entrée vers le système d’information du donneur d’ordre, ce qui rend la PME juridiquement co-responsable.
- Les opérateurs télécoms développent des offres de cybersécurité packagées pour les PME, intégrant détection, sauvegarde et réponse à incident, précisément pour répondre à ces nouvelles exigences.
- L’ANSSI et Cybermalveillance.gouv.fr proposent des dispositifs d’accompagnement, mais comme le soulignent plusieurs analyses terrain, les PME n’ont souvent pas connaissance des aides disponibles.
L’effet de ruissellement de NIS 2 transforme la cybersécurité d’un sujet technique en prérequis commercial. Pour une PME, perdre un client parce qu’on ne peut pas prouver la solidité de son réseau est un risque aussi concret qu’un chiffrement de serveur.
Points d’entrée réels des ransomwares dans une PME française
On lit partout que le phishing est le vecteur principal. C’est vrai, mais ça ne suffit pas pour se protéger. Sur le terrain, les compromissions de PME suivent des schémas précis qu’il faut connaître pour agir.
Le poste de travail personnel connecté au réseau entreprise
Le télétravail a multiplié les postes non maîtrisés. Un salarié qui se connecte au VPN depuis un ordinateur familial, sans antivirus professionnel ni mise à jour régulière, ouvre une brèche directe. Les retours varient sur ce point selon les secteurs, mais dans les PME sans politique BYOD formalisée, c’est un scénario récurrent.
Les accès RDP exposés sur internet
Le protocole de bureau à distance (RDP), utilisé pour la maintenance ou l’accès aux serveurs, reste l’un des vecteurs les plus exploités. Beaucoup de PME laissent un port RDP ouvert sans restriction d’accès, parfois avec un mot de passe par défaut. Les scanners automatisés des groupes de ransomware détectent ces portes ouvertes en quelques minutes.
La sauvegarde connectée au même réseau
Avoir une sauvegarde ne sert à rien si elle est accessible depuis le poste compromis. Une sauvegarde efficace est isolée du réseau de production, idéalement hors ligne ou sur un cloud avec versioning. Trop de PME découvrent après l’attaque que leur sauvegarde a été chiffrée en même temps que le reste.
Réagir dans les premières heures après un ransomware
La qualité de la réponse dans les premières heures détermine la suite. Voici ce que les retours d’incidents montrent comme séquence opérationnelle efficace :
- Déconnecter physiquement les machines touchées du réseau (câble Ethernet, Wi-Fi) sans les éteindre, pour préserver les traces en mémoire.
- Ne pas tenter de déchiffrer soi-même ni de négocier avec les attaquants avant d’avoir contacté un prestataire qualifié ou la plateforme Cybermalveillance.gouv.fr.
- Documenter ce qui est visible : capture d’écran du message de rançon, horodatage, postes touchés, dernières connexions VPN.
- Vérifier immédiatement l’état des sauvegardes hors ligne avant toute tentative de restauration.
Porter plainte rapidement est aussi un levier concret. Le dépôt de plainte conditionne l’indemnisation par l’assurance cyber depuis la loi LOPMI, qui impose un délai de 72 heures après la découverte de l’attaque pour déposer plainte.
La réalité terrain, c’est qu’une PME qui a testé sa procédure de restauration au moins une fois dans l’année redémarre en quelques jours. Celle qui n’a jamais vérifié ses sauvegardes met parfois plusieurs semaines à retrouver une activité normale, quand elle y parvient. Tester ses sauvegardes et documenter une procédure de réponse reste le moyen le plus fiable de limiter l’impact d’une attaque.
