# Attaque par rançongiciel en PME : anatomie, étape par étape

Source : https://cybercaribou.com/blogue/rancongiciel-pme-anatomie-attaque · Cyber Caribou

> Du mot de passe volé au chiffrement du vendredi : comment se déroule une attaque par rançongiciel dans une PME québécoise, et où la stopper à chaque étape.

Lundi, 7 h 30. La directrice des opérations d'un distributeur alimentaire de Drummondville arrive au bureau et rien ne fonctionne. Les écrans affichent une note en anglais, les fichiers portent une extension inconnue et le logiciel de gestion des commandes refuse de démarrer. Dans la cour, les camions attendent leurs bons de livraison.

Ce scénario est fictif, mais chaque détail correspond à des schémas d'attaque bien documentés. Un rançongiciel n'arrive presque jamais d'un coup. Quand le chiffrement se déclenche, les attaquants sont souvent dans le réseau depuis des jours, parfois des semaines.

Comprendre cette chaîne d'événements, c'est comprendre où la briser. Voici l'anatomie d'une attaque typique contre une PME, étape par étape, avec les mesures qui auraient arrêté l'attaquant à chacune d'elles.

- Une attaque par rançongiciel suit une chaîne prévisible : accès initial, reconnaissance, prise de contrôle, sabotage des sauvegardes, vol de données, puis chiffrement.
- Le chiffrement est la dernière étape, pas la première : chaque étape précédente est une occasion de détecter et de bloquer l'attaquant.
- Trois mesures coupent la chaîne très tôt : l'authentification multifacteur partout, des sauvegardes hors ligne testées et une surveillance des postes (EDR).

## Le décor : 40 employés, un VPN et un mot de passe

Notre distributeur fictif compte 40 employés, un serveur de fichiers, un NAS pour les sauvegardes et un VPN pour le télétravail. L'informatique est gérée à temps partiel par le contrôleur, avec l'aide d'un consultant qui passe une fois par mois.

Rien d'anormal pour une PME québécoise, et c'est justement le problème. Les groupes criminels ne visent pas votre entreprise en particulier : ils cherchent des portes ouvertes à grande échelle, puis exploitent celles qu'ils trouvent.

## Les six étapes d'une attaque par rançongiciel

### 1. L'accès initial

Un représentant se connecte au VPN depuis son ordinateur personnel. Un logiciel « gratuit » téléchargé par son adolescent contenait un voleur d'identifiants (*infostealer*). Le mot de passe du VPN se retrouve en vente sur un forum criminel, parmi des milliers d'autres.

Le VPN n'exige aucun second facteur. L'acheteur se connecte comme s'il était le représentant. Les autres portes d'entrée classiques, selon le Centre canadien pour la cybersécurité : l'hameçonnage, un bureau à distance (RDP) exposé sur Internet, des mots de passe devinés par force brute ou une faille non corrigée dans un logiciel.

### 2. La reconnaissance

Une fois dans le réseau, l'attaquant observe. Il utilise des outils d'administration Windows parfaitement légitimes pour dresser la carte : quels serveurs existent, qui est administrateur, où dorment les sauvegardes, quelles données ont de la valeur. Pour un antivirus classique, ce trafic ressemble à du travail normal.

### 3. L'escalade de privilèges

Le compte du représentant n'ouvre pas toutes les portes. L'attaquant cherche donc mieux : un mot de passe d'administrateur oublié dans un script, un compte de service jamais modifié, ou le contrôleur qui lit ses courriels avec son compte administrateur. Quelques jours plus tard, il contrôle tout le domaine.

### 4. Le sabotage des défenses et des sauvegardes

C'est l'étape la plus redoutée. L'attaquant désactive l'antivirus là où il le peut, supprime les clichés instantanés de Windows, puis s'attaque au NAS. Celui-ci est joint au domaine et accessible avec les mêmes identifiants d'administrateur : les sauvegardes sont effacées en premier.

### 5. L'exfiltration

Avant de chiffrer, l'attaquant copie ce qui fait mal : listes de clients, paie, dossiers des employés, contrats. Les fichiers partent vers un service infonuagique. C'est la base de la double extorsion : payer pour récupérer ses fichiers, puis payer encore pour qu'ils ne soient pas publiés.

### 6. Le chiffrement et la demande de rançon

Le déclenchement est souvent programmé un vendredi soir ou la veille d'un congé, quand personne ne surveille. En quelques heures, serveurs et postes sont chiffrés. Le lundi, la note de rançon attend tout le monde, avec un lien vers un site de « négociation » et un compte à rebours.

## Où la chaîne aurait pu être brisée

Chaque étape laisse des traces et offre une occasion d'arrêter l'attaque. Le tableau ci-dessous résume les mesures qui, dans notre scénario, auraient changé l'issue.

| Étape | Ce que fait l'attaquant | Ce qui l'arrête |
|---|---|---|
| Accès initial | Réutilise un mot de passe volé sur le VPN | MFA sur le VPN et le courriel, correctifs des équipements exposés |
| Reconnaissance | Cartographie le réseau avec des outils légitimes | EDR surveillé, alertes sur les comportements inhabituels |
| Escalade | Trouve un compte administrateur mal protégé | Comptes admin séparés, mots de passe uniques, MFA pour les admins |
| Sabotage | Efface les sauvegardes accessibles depuis le domaine | Copie hors ligne ou immuable, identifiants distincts |
| Exfiltration | Copie des gigaoctets vers l'infonuagique | Surveillance du trafic sortant, segmentation du réseau |
| Chiffrement | Déclenche le rançongiciel la fin de semaine | Plan de réponse, restauration déjà testée |

Remarquez qu'aucune ligne ne dit « acheter un meilleur antivirus ». La défense repose sur des couches : si l'une échoue, la suivante prend le relais.

## Pourquoi le délai de détection compte autant

L'attaquant a besoin de temps entre l'accès initial et le chiffrement. Plus vous le repérez tôt, moins il a pu voler ou détruire. Or, selon une étude de CDW, les petites organisations canadiennes mettaient en moyenne 6,8 jours à détecter un incident en 2025, contre 4,0 jours en 2024.

Une semaine, c'est largement assez pour passer de l'étape 1 à l'étape 6. Et la facture suit : selon des données de l'industrie citées par Insurance Business Canada (octobre 2025), un incident de rançongiciel coûte en moyenne 330 000 $. Pour une PME de 40 employés, c'est souvent plus que plusieurs années de budget informatique.

La bonne nouvelle : la détection n'exige pas un centre de sécurité à l'interne. Un EDR (détection et réponse sur les postes) géré par un fournisseur qui lit les alertes, y compris la nuit et la fin de semaine, comble une bonne partie de l'écart.

## Les premières heures, si ça arrive

Personne n'aime y penser, mais quelques réflexes, alignés sur le guide du Centre canadien pour la cybersécurité, changent beaucoup de choses :

1. **Isolez** les appareils touchés du réseau et d'Internet, et coupez les accès à distance comme le VPN.
2. **Communiquez par un autre canal** : si votre messagerie est compromise, l'attaquant lit peut-être vos échanges.
3. **Appelez votre assureur** avant d'engager des frais : plusieurs polices imposent leurs propres firmes de réponse. Relisez d'ailleurs ce que votre [questionnaire d'assurance cyber](https://cybercaribou.com/blogue/assurance-cyber-questionnaire-assureur) affirmait sur vos mesures.
4. **Conservez les preuves** : ne réinstallez rien à la hâte, les journaux serviront à mesurer l'étendue de l'attaque.
5. **Signalez** l'incident à la police locale, au Centre antifraude du Canada et au Centre canadien pour la cybersécurité.

Si des renseignements personnels ont été consultés ou volés, la Loi 25 entre en jeu : inscription au registre des incidents et, en cas de risque de préjudice sérieux, avis à la Commission d'accès à l'information et aux personnes concernées. Validez la marche à suivre avec votre conseiller juridique. Tout cela se prépare bien mieux à froid, dans un [plan de réponse aux incidents](https://cybercaribou.com/blogue/plan-reponse-incidents-pme-modele), que dans la panique d'un lundi matin.

## Checklist : briser la chaîne avant qu'elle commence

- [ ] Authentification multifacteur sur le VPN, le courriel et tous les comptes administrateurs (voir [comment choisir votre MFA](https://cybercaribou.com/blogue/authentification-multifacteur-choisir-mfa))
- [ ] Aucun bureau à distance (RDP) exposé directement sur Internet
- [ ] Correctifs appliqués rapidement sur les pare-feu, VPN et serveurs exposés
- [ ] Comptes administrateurs distincts des comptes de tous les jours
- [ ] EDR déployé sur tous les postes et serveurs, avec quelqu'un qui lit les alertes
- [ ] Au moins une copie de sauvegarde hors ligne ou immuable, avec des identifiants séparés (la [règle 3-2-1-1-0](https://cybercaribou.com/blogue/sauvegardes-3-2-1-1-0-rancongiciel) en détail)
- [ ] Restauration complète testée au moins une fois par trimestre
- [ ] Plan de réponse écrit et imprimé, avec les numéros de l'assureur et des fournisseurs

Vous ne cochez pas la moitié de ces cases ? Bien des PME n'ont jamais fait l'exercice. Nos [services de remédiation et de durcissement](https://cybercaribou.com/services/remediation-durcissement) visent justement à fermer ces portes dans le bon ordre, en commençant par l'accès initial et les sauvegardes.

## En conclusion

Un rançongiciel n'est pas un coup de malchance : c'est l'aboutissement d'une série d'étapes, dont chacune pouvait être bloquée. Plus tôt la chaîne est brisée, moins la facture est lourde.

Commencez par les deux maillons qui décident de tout : la porte d'entrée et la copie de sauvegarde que l'attaquant ne peut pas toucher. Ce sont eux qui font la différence entre un mauvais lundi et plusieurs semaines d'arrêt.

## FAQ

**Faut-il payer la rançon après une attaque par rançongiciel ?**
Le Centre canadien pour la cybersécurité rappelle que payer ne garantit pas la récupération des données ni des systèmes, et que les criminels peuvent exiger davantage, publier les données quand même ou revenir plus tard. La décision appartient à l'entreprise, idéalement prise avec l'assureur, le conseiller juridique et la police. Des sauvegardes hors ligne testées sont ce qui permet de ne pas avoir à se poser la question.

**Mon antivirus suffit-il à bloquer un rançongiciel ?**
Non. Les attaquants s'appuient surtout sur des outils d'administration légitimes et désactivent souvent l'antivirus avant de lancer le chiffrement. Il faut le compléter par un EDR surveillé, l'authentification multifacteur et des sauvegardes isolées du réseau.

**Combien de temps faut-il pour se remettre d'un rançongiciel ?**
Selon l'étude CDW 2025, les petites organisations canadiennes mettent en moyenne 25,7 jours à se remettre d'un incident de sécurité. La durée dépend surtout de la qualité des sauvegardes et de la préparation : une entreprise qui a déjà testé sa restauration repart beaucoup plus vite.

**Une PME de 10 employés est-elle vraiment visée par les rançongiciels ?**
Oui. Les groupes criminels balaient Internet à la recherche de failles et d'identifiants volés, sans se soucier de la taille de l'entreprise. Selon un sondage KPMG publié en octobre 2023 auprès de PME québécoises d'au moins 10 M$ de revenus, plus de 6 sur 10 avaient été attaquées dans l'année.

## Sources

- [Centre canadien pour la cybersécurité : Guide sur les rançongiciels (ITSM.00.099)](https://www.cyber.gc.ca/fr/orientation/guide-sur-les-rancongiciels-itsm00099)
- [Insurance Business Canada : AI-powered attacks push cyber risks higher for Canada's SMEs (oct. 2025)](https://www.insurancebusinessmag.com/ca/news/cyber/aipowered-attacks-push-cyber-risks-higher-for-canadas-smes-zensurance-551828.aspx)
- [CDW Canada : tendances TI et cybersécurité des petites entreprises au Canada (2025)](https://www.cdw.ca/content/cdwca/en/articles/security/it-and-cybersecurity-trends-for-small-businesses-in-canada.html)
- [KPMG Canada : la cybercriminalité frappe plus de six entreprises québécoises sur dix (2023)](https://www.newswire.ca/fr/news-releases/la-cybercriminalite-a-touche-plus-de-six-petites-et-moyennes-entreprises-quebecoises-sur-dix-au-cours-de-la-derniere-annee-894649671.html)