Un ransomware paralyse une PME en quelques minutes : postes bloqués, serveurs chiffrés, production à l’arrêt. La facture ne se limite pas à la rançon réclamée par les attaquants. Entre l’arrêt d’activité, la remise en état des systèmes, les obligations légales et la perte de confiance des clients, le coût réel dépasse largement ce que la plupart des dirigeants anticipent.
En bref
Une attaque par ransomware coûte toujours plus cher que la rançon elle-même : arrêt de production, reconstruction du système d’information, obligations RGPD et perte de clients s’ajoutent à la note, souvent pendant plusieurs semaines. L’ANSSI et le dispositif cybermalveillance.gouv.fr déconseillent formellement de payer la rançon, faute de garantie de récupération des données.
Si des données personnelles sont concernées, la CNIL doit être notifiée dans un délai de 72 heures après la découverte de l’incident. Une PME qui n’a jamais testé sa sauvegarde ni son plan de reprise d’activité découvre généralement ces obligations au pire moment, en pleine crise.
Comment un ransomware bloque une PME en quelques heures
Le scénario se répète d’une entreprise à l’autre. Un ransomware s’infiltre via une pièce jointe frauduleuse ou une faille logicielle non corrigée, se propage sur le réseau interne, puis chiffre les fichiers accessibles : documents, base clients, logiciel de facturation, parfois les sauvegardes elles-mêmes. Selon la fiche réflexe publiée par cybermalveillance.gouv.fr, ce type de code malveillant se propage le plus souvent après ouverture d’une pièce jointe piégée ou par l’exploitation de vulnérabilités connues dont le correctif n’a pas été appliqué.
En quelques heures, l’activité s’arrête : plus d’accès aux commandes, plus de facturation, parfois plus de messagerie. Les équipes découvrent l’ampleur des dégâts au moment de vouloir travailler, pas avant. Cette rapidité distingue l’incident d’une panne informatique classique : il n’y a pas de dégradation progressive, seulement un avant et un après.
Le coût direct : ce que la crise immobilise réellement
Face à un ransomware, la rançon exigée par les attaquants n’est presque jamais le poste de coût principal. Le poste le plus lourd, c’est l’arrêt d’activité : commandes non traitées, production suspendue, rendez-vous annulés, facturation gelée pendant que les équipes techniques reconstruisent le système. À cela s’ajoute la remédiation informatique elle-même, souvent confiée en urgence à un prestataire externe faute de compétence interne disponible.
| Poste de coût | Ce qu’il recouvre | Quand il apparaît |
|---|---|---|
| Arrêt d’activité | Production, commandes, facturation à l’arrêt | Immédiat |
| Remédiation IT | Diagnostic, reconstruction des postes et serveurs, changement des accès | Jours à semaines |
| Rançon | Somme réclamée, paiement déconseillé par l’ANSSI | Immédiat si l’entreprise cède |
| Obligations légales | Notification CNIL sous 72 h si données personnelles touchées | Sous 3 jours |
| Perte commerciale | Clients perdus, contrats retardés, image dégradée | Semaines à mois |
Cette remédiation implique presque toujours un audit technique complet du système d’information : il ne suffit pas de désinfecter un poste, il faut vérifier que l’attaquant n’a laissé aucun accès résiduel avant de rebrancher quoi que ce soit au réseau.
Le coût caché : juridique, commercial, assurance
Le volet juridique surprend souvent les dirigeants les moins préparés. Dès qu’un ransomware touche des données personnelles, fichier clients, données RH, dossiers patients pour un cabinet de santé, l’entreprise devient responsable de traitement au sens du RGPD et doit notifier la CNIL, en principe sous 72 heures après la découverte de l’incident. L’absence de notification, ou une notification tardive et incomplète, expose à un contrôle et à des sanctions distinctes de l’attaque elle-même.
Le volet commercial pèse tout autant, même s’il est plus diffus. Un client B2B qui apprend que son fournisseur a été paralysé pendant deux semaines réévalue la fiabilité de la relation, parfois au moment du renouvellement de contrat. Une cyberassurance peut absorber une partie de la facture, mais son utilité dépend entièrement des exclusions du contrat et du niveau de sécurité déjà en place au moment du sinistre : une police souscrite sans mesures minimales appliquées se transforme souvent en couverture partielle, voire refusée.
Pourquoi les PME restent des cibles privilégiées
Les opérateurs de ransomware ne visent pas systématiquement les grands comptes. Une PME dispose rarement d’une équipe de sécurité dédiée, applique ses correctifs plus tardivement et manipule des données qui ont une valeur marchande réelle : fichiers clients, données de paie, informations bancaires. Elle constitue donc une cible rentable pour un effort d’attaque limité.
Le facteur humain reste le point d’entrée le plus fréquent d’un ransomware. Un mot de passe faible ou réutilisé, un accès administrateur partagé entre plusieurs personnes, une absence d’authentification multifacteur sur la messagerie : ce sont des failles simples à exploiter et coûteuses à corriger après coup plutôt qu’avant. Les dirigeants qui pensent que leur taille les protège de l’intérêt des attaquants se trompent presque toujours sur ce point.
Note terrain Lead4you
Sur nos diagnostics techniques après un ransomware, le point de blocage au moment de la restauration n’est presque jamais le pare-feu ou l’antivirus : c’est la sauvegarde. Une partie des PME que nous accompagnons découvre, au moment de restaurer, que leur sauvegarde est soit corrompue faute de test régulier, soit accessible depuis le même compte administrateur que le poste infecté, et donc chiffrée elle aussi. Une sauvegarde qu’on n’a jamais testée en conditions réelles n’est pas une sauvegarde, c’est une hypothèse.
Réduire le risque : les mesures qui comptent vraiment
La prévention d’un ransomware ne demande pas un budget de grand groupe, mais une discipline régulière. cybermalveillance.gouv.fr et l’ANSSI convergent sur un socle de mesures simples à mettre en œuvre et à vérifier périodiquement, plutôt que sur des outils sophistiqués rarement exploités faute de temps.
Checklist rapide
- Sauvegardes régulières, déconnectées du réseau principal, et testées en restauration réelle
- Mises à jour de sécurité appliquées sans délai sur postes, serveurs et logiciels métier
- Authentification multifacteur sur la messagerie et les accès à distance
- Comptes administrateur limités et jamais utilisés pour la navigation quotidienne
- Plan de reprise d’activité écrit, connu des équipes et testé contre un scénario ransomware au moins une fois par an
- Contrat de cyberassurance relu pour vérifier les exclusions liées à ce type d’incident
Demander un diagnostic technique Lead4you
À lire ensuite
Sources et repères utiles
FAQ
Combien coûte réellement une attaque ransomware pour une PME ?
Le montant varie selon la taille de l’entreprise et la durée de l’arrêt, mais le coût dominant d’un ransomware est presque toujours l’arrêt d’activité et la reconstruction du système d’information, pas la rançon. S’y ajoutent les obligations légales et la perte commerciale liée à l’indisponibilité, qui pèsent parfois plus longtemps que l’incident technique lui-même.
Faut-il payer la rançon demandée par les attaquants ?
L’ANSSI et cybermalveillance.gouv.fr déconseillent formellement de payer : rien ne garantit la remise d’une clé de déchiffrement fonctionnelle, et le paiement finance directement l’activité criminelle. La priorité reste l’isolement des machines infectées et le dépôt de plainte.
Un ransomware doit-il être signalé à la CNIL ?
Uniquement si des données à caractère personnel sont concernées par l’incident. Dans ce cas, la notification à la CNIL doit intervenir dans un délai de 72 heures après la découverte de la violation, conformément aux obligations du RGPD.
Combien de temps une PME met-elle à s’en remettre après une attaque ?
Après un ransomware, la remise en route technique prend généralement plusieurs jours à quelques semaines selon l’ampleur de la propagation et la qualité des sauvegardes disponibles. Le retour à une activité commerciale normale, lui, s’étale souvent sur plusieurs mois le temps de restaurer la confiance des clients.
La cyberassurance couvre-t-elle automatiquement une attaque ransomware ?
Non. La couverture dépend des clauses du contrat et suppose souvent qu’un socle minimal de mesures de sécurité était déjà en place au moment du sinistre. Une police souscrite sans vérification préalable de ces exclusions peut se révéler beaucoup plus limitée que prévu au moment d’un sinistre réel.
Comment savoir si mon entreprise est réellement exposée au risque ransomware ?
Un diagnostic technique permet de vérifier l’état réel des sauvegardes, des accès administrateur et des correctifs de sécurité, plutôt que de se fier à une impression de sécurité. C’est ce point de départ qui révèle la plupart des failles avant qu’un attaquant ne les trouve en premier.