Lorsqu’un rancongiciel frappe une PME, la question que posent tous les dirigeants est la même : que faire ? Les premières heures sont décisives. En 2026, les attaques par rançongiciel contre les professionnels français restent la principale cybermenace recensée par Cybermalveillance.gouv.fr, avec plus de 3 500 signalements annuels de la part de TPE, PME et collectivités. Pour les entreprises de Châteaudun et du Dunois — comme pour toutes les petites structures disposant de systèmes informatiques partagés — une réponse structurée dans les premières 48 heures peut déterminer si l’activité reprend en quelques jours ou reste paralysée plusieurs semaines.
Ce guide présente les actions concrètes à engager dès la détection, les obligations légales à respecter, et les mesures préventives qui réduisent l’exposition au risque. Les étapes sont regroupées chronologiquement : réflexes immédiats, premières 24 heures, reconstruction entre 24 et 48 heures, prévention pour éviter la récidive.
En bref
- Isoler immédiatement les machines infectées : débrancher les câbles réseau et désactiver le Wi-Fi dès la détection du chiffrement.
- Ne jamais redémarrer un poste compromis avant analyse forensique — cela peut effacer des preuves et propager l’infection aux partages réseau restants.
- Signaler l’attaque sur Cybermalveillance.gouv.fr et notifier la CNIL dans les 72 heures si des données personnelles ont été compromises (RGPD, article 33).
- Ne pas payer la rançon : selon l’ANSSI (Rapport sur la menace rançongiciel 2024), moins de 60 % des victimes ayant payé récupèrent l’intégralité de leurs données.
- Restaurer uniquement depuis des sauvegardes antérieures à l’infection, validées hors ligne, sur un environnement reconstruit proprement.
- En 2026, le coût médian d’un incident rançongiciel pour une PME française est estimé entre 90 000 € et 120 000 € (Hiscox Cyber Readiness Report 2024), incluant la perte d’exploitation et la reconstruction.
Les premières minutes : comment réagir face à un rancongiciel ?
Dès qu’un utilisateur constate des fichiers renommés avec une extension inconnue, une note de rançon affichée à l’écran, ou un ralentissement brutal du système, l’alerte doit être donnée sans délai. Chaque minute compte : un rançongiciel actif continue de chiffrer les fichiers accessibles depuis le réseau interne, y compris les partages NAS, les dossiers synchronisés et les sauvegardes connectées en permanence.
Isoler les machines infectées du réseau
La première priorité est l’isolation physique de chaque machine suspecte. Il s’agit de débrancher les câbles réseau RJ45 et de désactiver le Wi-Fi via la touche physique ou le panneau de configuration Windows. Cette action stoppe la propagation latérale du rançongiciel aux autres postes et aux supports de stockage partagés. Si l’infection semble généralisée, couper le switch ou le routeur principal constitue un dernier recours acceptable — au prix d’une coupure totale de l’activité réseau.
Dans les PME disposant d’un serveur de fichiers centralisé, la déconnexion de ce serveur en priorité peut préserver des dizaines ou des centaines de gigaoctets de données non encore atteintes. La procédure consiste à débrancher le câble réseau du serveur sans l’éteindre : l’état de la mémoire RAM peut contenir des informations forensiques précieuses pour identifier le vecteur d’attaque.
Ne jamais redémarrer ni payer immédiatement
Deux erreurs aggravent systématiquement la situation. Redémarrer un poste infecté peut activer des routines de suppression des journaux d’événements Windows, détruisant les traces nécessaires à l’enquête et au dossier d’assurance. Payer la rançon immédiatement, même sous pression, ne garantit pas la récupération des données : selon le rapport Sophos « State of Ransomware 2024 », seulement 57 % des victimes ayant payé ont reçu un outil de déchiffrement fonctionnel — et rien n’empêche les cybercriminels de formuler une deuxième demande.
Le bon réflexe est de photographier les écrans affichant la note de rançon avec la date et l’heure visibles, de noter les extensions des fichiers chiffrés, et d’identifier le nom du variant rançongiciel si affiché. Ces informations permettent de consulter le projet No More Ransom, une initiative d’Europol et de la NCA qui propose des outils de déchiffrement gratuits pour une centaine de familles de rançongiciels connues.
Quelles démarches obligatoires dans les 24 premières heures ?
Une attaque par rançongiciel déclenche, en parallèle des actions techniques, des obligations légales précises. Les négliger expose l’entreprise à des sanctions supplémentaires, en particulier dans le cadre du RGPD et des réglementations sectorielles.
Signaler l’incident à Cybermalveillance.gouv.fr et à l’ANSSI
Le portail Cybermalveillance.gouv.fr est le point d’entrée officiel pour les victimes de cyberattaques en France. Il permet de déclarer l’incident, d’être mis en relation avec des prestataires référencés PRIS (Prestataires de Réponse aux Incidents de Sécurité), et d’accéder à des fiches pratiques adaptées à la famille du rançongiciel détectée. Pour les structures dont les activités sont considérées comme critiques ou pour les attaques à grande échelle, l’ANSSI (Agence nationale de la sécurité des systèmes d’information) peut intervenir directement ou mandater un prestataire qualifié.
Le signalement sur Cybermalveillance.gouv.fr est accessible à toute entreprise, quelle que soit sa taille. Il sert également de document de référence en cas de sinistre assurance : certains contrats cyber exigent une preuve de signalement pour l’ouverture des garanties. Pour les Opérateurs d’Importance Vitale (OIV) et les Opérateurs de Services Essentiels (OSE), le signalement à l’ANSSI est une obligation réglementaire (arrêté du 14 septembre 2018).
Déposer plainte et notifier la CNIL en cas de violation de données personnelles
Le dépôt de plainte auprès de la police ou de la gendarmerie doit être effectué dans les 24 heures. Il ouvre l’accès à un accompagnement par des unités spécialisées — l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication (OCLCTIC) ou le Centre de lutte contre les criminalités numériques (C3N) de la gendarmerie nationale — et constitue un document exigé par la plupart des assureurs cyber.
Si l’attaque a conduit à une violation de données personnelles au sens du RGPD (article 4, §12 du Règlement UE 2016/679), l’article 33 impose une notification à la CNIL dans les 72 heures suivant la détection. Cette notification doit décrire la nature de la violation, les catégories de données concernées, le nombre estimé de personnes affectées et les mesures correctives déjà engagées. Un retard injustifié est passible d’une mise en demeure ; une violation grave non déclarée peut entraîner des sanctions allant jusqu’à 4 % du chiffre d’affaires annuel mondial (article 83 du RGPD).
Contacter son assurance cyber et prévenir ses partenaires
Si la PME dispose d’un contrat d’assurance cyber, la déclaration de sinistre doit respecter le délai contractuel — généralement 5 jours ouvrés. L’assureur mandate souvent un expert en cybersécurité, permettant de bénéficier d’un accompagnement forensique sans en assumer immédiatement le coût. Il convient également d’informer clients, fournisseurs et partenaires qui auraient pu recevoir des communications frauduleuses émises depuis les systèmes compromis.
De 24 à 48 heures : reconstruction et reprise d’activité
La phase de reconstruction ne doit jamais être précipitée. Restaurer des données sur un environnement encore compromis expose à une réinfection immédiate. Pour les PME de Châteaudun et des communes voisines — Bonneval, Brou, Illiers-Combray — un technicien local peut intervenir physiquement pour évaluer le compromis et superviser la reconstruction.
Évaluer les sauvegardes disponibles
Avant toute restauration, l’état des sauvegardes doit être audité. Un rançongiciel sophisticated commence souvent son chiffrement plusieurs jours avant de se manifester, ciblant d’abord les sauvegardes accessibles depuis le réseau interne — partages NAS, disques de sauvegarde connectés en permanence. Seules les sauvegardes stockées hors ligne (disque débranché entre chaque session) ou dans un cloud avec versioning activé présentent les garanties suffisantes. Les services comme Azure Backup, AWS Backup ou Backblaze B2 maintiennent 30 à 90 jours de versions historiques, permettant de remonter à une date antérieure à l’infection.
Pour approfondir les pratiques de sauvegarde adaptées aux PME, la sauvegarde des données — incluant la règle 3-2-1 et les solutions cloud recommandées — est détaillée dans un guide dédié.
Reconstruire un environnement sain avant toute restauration
La procédure recommandée par l’ANSSI consiste à reconstruire les postes à partir d’une image système propre plutôt que de désinfecter les machines compromises. Un rançongiciel laisse fréquemment des backdoors, des scripts de persistance et des malwares secondaires qui survivent à une désinfection classique par antivirus. Un poste « nettoyé » par cet unique moyen n’offre pas les garanties nécessaires pour réintégrer le réseau de production sans risque de récidive.
La reconstruction s’effectue dans l’ordre suivant : réinstallation propre du système d’exploitation sur un support sain, application immédiate des correctifs de sécurité disponibles, déploiement des logiciels métiers depuis les sources officielles, puis restauration des données depuis la sauvegarde validée hors ligne — jamais depuis les fichiers présents sur les machines infectées. Pour une PME disposant de 5 à 20 postes, cette procédure prend en moyenne 3 à 7 jours ouvrés, selon la complexité des logiciels métiers et la disponibilité des licences.
Comment réduire la vulnérabilité d’une PME aux rançongiciels ?
La réponse à un rançongiciel est d’autant plus rapide et moins coûteuse que des mesures préventives ont été mises en place. Plusieurs actions réduisent significativement la surface d’attaque, même dans des structures avec des ressources IT limitées.
Adopter la règle de sauvegarde 3-2-1
La règle 3-2-1 est le standard minimal recommandé par l’ANSSI pour toute PME : 3 copies des données critiques, sur 2 supports différents (par exemple, NAS interne et cloud externe), dont 1 copie hors site ou hors ligne. Cette configuration garantit qu’une attaque, même si elle atteint le réseau interne et le stockage cloud synchronisé, ne détruit pas la totalité des données. Le versioning — conserver plusieurs versions historiques d’un fichier — protège par ailleurs contre les scénarios où le chiffrement commence silencieusement plusieurs jours avant la détection visible.
Maintenir les systèmes à jour et segmenter le réseau
En 2026, la majorité des intrusions par rançongiciel exploitent des vulnérabilités connues pour lesquelles un correctif existe mais n’a pas encore été appliqué — RDP non patché, VPN obsolète, plugins WordPress non mis à jour. La mise à jour régulière de Windows, des logiciels métiers, du firmware des équipements réseau et des antivirus constitue la première ligne de défense. La norme ISO 27001 (management de la sécurité de l’information) recommande de segmenter le réseau — isoler les postes comptables, les serveurs et les équipes dans des VLAN distincts — pour limiter la propagation latérale.
Pour les entreprises de Châteaudun qui souhaitent externaliser la maintenance préventive et les mises à jour de parc, les services informatiques pour professionnels et entreprises incluent le suivi des correctifs, la sécurité réseau et l’assistance à distance.
Former les collaborateurs à la vigilance face au phishing
Plus de 80 % des rançongiciels pénètrent via un email de phishing ou un lien malveillant (Verizon Data Breach Investigations Report 2024). Former les équipes à reconnaître les emails suspects — expéditeur inconnu, pièce jointe inattendue, lien dont l’URL ne correspond pas au texte affiché — est l’une des mesures les plus efficaces. Des simulations régulières de phishing permettent de mesurer la vigilance de chaque collaborateur.
L’activation de l’authentification multifacteur (MFA) sur tous les accès à distance — VPN, messagerie professionnelle, outils cloud — réduit de 99,9 % les risques de compromission via des identifiants volés (Microsoft Security Intelligence, 2024). Ces deux mesures, combinées à un plan de protection contre les virus et ransomwares, forment le socle préventif adapté aux PME de taille modeste.
Questions fréquentes sur les rançongiciels en PME
Faut-il payer la rançon demandée par les cybercriminels ?
Non. L’ANSSI et Cybermalveillance.gouv.fr déconseillent formellement le paiement. Payer finance les groupes cybercriminels, ne garantit pas la récupération des données, et peut valoir à l’entreprise d’être ciblée à nouveau. En 2026, payer une rançon à des entités inscrites sur les listes de sanctions internationales (OFAC aux États-Unis, règlements UE) peut également engager la responsabilité juridique de l’entreprise. La priorité doit aller à l’exploration de No More Ransom, à la restauration depuis les sauvegardes et à l’accompagnement par un prestataire PRIS référencé.
Peut-on récupérer ses données sans payer ?
Cela dépend du variant du rançongiciel et de l’état des sauvegardes. Pour une centaine de familles de rançongiciels identifiées, des outils de déchiffrement gratuits sont disponibles sur No More Ransom, initiative menée conjointement par Europol, la NCA et plusieurs éditeurs en cybersécurité. Si le variant n’est pas couvert, la récupération repose intégralement sur les sauvegardes antérieures à l’infection. Des spécialistes en forensique numérique peuvent parfois récupérer des données depuis des volumes partiellement chiffrés, mais le taux de succès varie selon la sophistication de l’algorithme de chiffrement utilisé.
Une PME est-elle obligée de signaler une attaque par rançongiciel ?
Oui, dans plusieurs cas précis. Si l’attaque a conduit à une violation de données personnelles au sens du RGPD (article 4, §12), la notification à la CNIL est obligatoire dans les 72 heures suivant la détection (article 33 du Règlement UE 2016/679). Si des personnes physiques sont susceptibles de subir un préjudice du fait de cette violation, elles doivent en être informées directement (article 34). Pour les OIV et OSE, une notification à l’ANSSI est également requise en vertu de la loi de programmation militaire et de l’arrêté NIS. Une PME qui omet ces obligations s’expose à une mise en demeure de la CNIL, voire à une sanction pouvant atteindre 4 % de son chiffre d’affaires annuel mondial.
Combien de temps faut-il pour reprendre l’activité après une attaque ?
La durée moyenne de reprise d’activité pour une PME est de 16 à 21 jours, selon le rapport Coveware Q4 2024. Cette durée inclut la reconstruction des postes, la restauration des données, la vérification de l’intégrité des systèmes et les démarches légales. Les PME disposant de sauvegardes validées hors ligne et d’un plan de continuité d’activité (PCA) récupèrent en moyenne en 5 à 8 jours. Pour une entreprise du bassin de Châteaudun bénéficiant d’une intervention technique locale rapide — sans délai d’acheminement d’un prestataire éloigné — ce délai peut être sensiblement réduit.
Quel est le coût médian d’une attaque par rançongiciel pour une PME ?
Selon le Hiscox Cyber Readiness Report 2024, le coût médian d’un incident cyber pour une PME française se situe entre 90 000 € et 120 000 €, incluant les pertes d’exploitation, les frais de reconstruction, les honoraires des experts mandatés et les éventuelles sanctions réglementaires. Ce chiffre peut varier de quelques milliers d’euros pour un incident limité à un poste isolé avec sauvegarde disponible, à plusieurs centaines de milliers pour une attaque qui paralyse l’ensemble des systèmes pendant plusieurs semaines. Ce dernier scénario reste le plus courant lorsque les sauvegardes sont insuffisantes ou inexistantes.
Les PME et professionnels de Châteaudun souhaitant évaluer leur niveau de préparation face à ce type d’incident peuvent contacter l’équipe d’assistance informatique à Châteaudun pour un état des lieux de leur infrastructure et de leur politique de sauvegarde.
Un rançongiciel n’est pas prévisible, mais sa gestion peut être anticipée. Isolation rapide des machines infectées, signalement dans les délais légaux et restauration depuis des sauvegardes propres définissent la réponse minimale structurée. La prévention — sauvegardes 3-2-1, mises à jour systématiques, formation des équipes au phishing, authentification multifacteur — reste la mesure la plus efficace pour limiter l’impact d’un incident futur et réduire la durée d’interruption à quelques jours plutôt qu’à plusieurs semaines.
