Un client m'appelle un mardi matin, la voix blanche. Sur son écran, un fond d'écran noir et un compte à rebours en rouge : 72 heures pour payer 4 800 dollars en bitcoin, sinon ses fichiers partent en fumée. Son comptable, lui, ne s'inquiète pas trop. Il a une sauvegarde automatique dans le cloud depuis deux ans. Sauf que le ransomware s'est propagé au lecteur réseau mappé, et que la sauvegarde synchronisait ce lecteur en temps réel. Résultat : les versions saines ont été écrasées en trois heures. Sa « sauvegarde » ne valait rien. C'est cette histoire-là que je veux raconter, parce qu'elle résume à peu près tout ce que les listes de conseils génériques oublient de vous dire.
Points clés à retenir
- Une sauvegarde connectée en permanence n'est pas une sauvegarde : elle est chiffrée avec le reste.
- La règle utile est 3-2-1-1-0, et le dernier zéro (zéro erreur de restauration) est celui que tout le monde saute.
- Le premier réflexe en cas d'infection n'est pas technique, il est physique : débrancher le câble réseau.
- Payer n'est pas une stratégie. C'est une loterie avec votre argent.
- Windows 11 a des garde-fous qu'on désactive souvent par confort : contrôle des dossiers, mémoire vive protégée, SMB signing.
- La cible n'est presque jamais le PC. C'est le compte qui a les droits d'admin partout.
Comment se protéger contre un ransomware : les conseils qui tiennent vraiment
La plupart des attaques entrent par une porte que vous avez ouverte vous-même. Pas de grand piratage hollywoodien. Une pièce jointe, une session RDP exposée sur internet, un identifiant réutilisé. J'ai vu un cabinet de cinq personnes se faire chiffrer entièrement à cause d'un logiciel de facturation abandonné, plus mis à jour depuis des mois, exposé sur un port ouvert. Personne ne l'avait remarqué. Le prestataire avait fermé.
La sauvegarde que vous croyez avoir
Une sauvegarde branchée en permanence à votre machine est une fausse sécurité. Elle donne l'illusion du filet de sécurité, mais si le PC est infecté, elle l'est aussi. La règle qu'on m'a enseignée et que je répète à chaque audit : 3-2-1-1-0.
- Trois copies de vos données, minimum.
- Deux supports différents.
- Une copie hors site, physiquement ailleurs (pas le placard du bureau qui brûle en même temps).
- Une copie hors ligne ou immuable — c'est celle qui sauve tout. Déconnectée, ou verrouillée en écriture seule (technique dite WORM, ou snapshots immuables).
- Zéro : zéro erreur constatée lors d'un test de restauration réel.
Ce dernier point, je le martèle. Un restaurateur de cafés m'a montré fièrement son NAS avec 14 mois d'historique. Quand je lui ai demandé quand il avait testé une restauration, il a regardé ailleurs. On a essayé ensemble : l'archive de restauration était corrompue depuis huit mois à cause d'un disque mourant qu'il n'avait pas vu. Quatorze mois de fausse sécurité. Une sauvegarde jamais testée n'existe pas.
Protection contre les ransomwares sous Windows 11
Windows 11 embarque des protections qui bloquent une bonne partie des souches modernes. Le problème, c'est qu'elles sont souvent désactivées par défaut ou contournées par l'utilisateur dès qu'elles dérangent. Le contrôle des dossiers (dans Sécurité Windows > Protection contre les virus et menaces > Ransomware) empêche une application non autorisée de modifier vos Documents, Images ou Bureau. Je l'active sur chaque poste que je configure. Trois fois sur dix, l'utilisateur me rappelle deux jours plus tard en râlant qu'un logiciel métier ne marche plus. Mais j'ai le droit d'accorder une exception ciblée — je préfère ça à une restauration d'un téraoctet.
Deux autres réglages à vérifier : la signature SMB (qui bloque une technique d'empoisonnement de réponse réseau utilisé par les ransomwares pour se propager latéralement) et la protection de la mémoire vive dans l'isolation du noyau. Sur de vieux matériels, ça peut coûter en performances, et certains jeux ou pilotes refusent de démarrer. À vous de juger, mais sur un poste de travail, ce compromis se pose vite.
Le compte qui doit rester verrouillé la nuit
Voilà une chose que je ne vois presque jamais abordée dans les listes de conseils : votre compte utilisateur quotidien ne doit PAS être administrateur. Un compte standard ne peut pas désinstaller les protections, ne peut pas modifier la plupart des clés de registre critiques, ne peut pas monter de service. Si une attaque passe, elle hérite des droits du compte compromis. Un compte limité, c'est un confinement.
Et un compte administrateur de secours, avec un mot de passe long et jamais utilisé pour lire ses mails, rangé hors ligne. Pas dans le gestionnaire de mots de passe que vous venez d'installer sur la machine infectée.
Que faire en cas de ransomware : les cinq premières minutes
Le réflexe humain est paniquer puis chercher une solution en ligne. Le premier réflexe utile est plus brutal.
- Débrancher le câble réseau (et couper le Wi-Fi). Chaque seconde compte : un ransomware moderne cherche à chiffrer le voisin avant de se manifester.
- Ne pas éteindre brutalement si vous pouvez l'éviter — la mémoire peut contenir des indices. Mais si l'infection est active et se propage, coupez. Le choix se discute.
- Isoler les autres postes du réseau, quitte à tout débrancher physiquement au switch.
- Prendre des photos de l'écran de rançon avec votre téléphone. Le message, l'adresse crypto, l'identifiant de victime — ça servira.
- Déposer plainte et signaler sur la plateforme cybermalveillance.gouv.fr. Obtenir un numéro de procédure aide aussi auprès de votre assureur.
Faut-il payer la rançon ?
Ma position, et elle est ferme : non. Pas par principe moral, mais par méthode. Statistiquement, une bonne partie des victimes qui paient ne récupèrent pas leurs données — soit la clé ne fonctionne pas, soit une seconde attaque suit quelques semaines plus tard, la même équipe ayant revendu votre nom à des collègues. Et vous financez l'activité. Je ne paierais pas, et je le dis à mes clients dans la conversation la plus inconfortable du métier : le paiement n'est pas une stratégie, c'est une loterie avec votre argent.
Combien de temps pour restaurer ?
Ça dépend entièrement de la préparation. Chez un client qui avait une sauvegarde hors ligne testée tous les mois, on a remis 900 Go en service en une demi-journée. Chez un autre, sans copie hors ligne mais avec un historique cloud, il a fallu presque une semaine, et on a perdu les données des trois derniers jours. La différence n'était pas technique. Elle était dans la discipline d'avant.
Et sur Mac, on est tranquille ?
Non. J'entends encore « les Mac n'attrapent pas de virus ». C'était faux il y a quinze ans, ça l'est encore plus aujourd'hui. Les ransomwares sur macOS existent, exploitent souvent des applications piratées trouvées sur des sites douteux, et demandent moins de privilèges qu'on ne le croit. Le chiffrement FileVault, l'activation de la détection de logiciels malveillants intégrée, et surtout la même règle 3-2-1-1-0 restent vos meilleurs alliés. La plateforme change, la logique ne change pas.
Comparer les approches de protection : où mettre son argent
Beaucoup de petites structures me demandent par quoi commencer avec un budget serré. Le tableau ci-dessous reflète ce que je conseille en pratique, du plus rentable au plus accessoire.
| Levier | Effort | Gain réel |
|---|---|---|
| Sauvegarde hors ligne testée | Élevé, puis routinier | Le plus haut de loin |
| Compte utilisateur non administrateur | Faible | Très élevé |
| Contrôle des dossiers Windows | Faible | Bon, avec quelques frictions |
| Mises à jour automatiques des logiciels métier | Faible | Élevé, souvent négligé |
| VPN et MFA sur les accès distants | Moyen | Élevé si vous exposez du RDP |
| Antivirus payant haut de gamme | Faible | Marginal si le reste est fait |
| Formation des équipes | Moyen, continu | Réel, mais imprévisible |
Vous remarquez que l'antivirus arrive en bas ? Ce n'est pas parce qu'il ne sert à rien — il bloque des choses tous les jours. C'est parce qu'il devient inutile quand la sauvegarde est fausse et que tout le monde est administrateur. L'ordre compte.
Ce que je fais moi-même, et ce que j'ai raté
Pour être honnête, j'ai perdu des données. Une fois. Un disque externe branché en permanence sur mon poste, une synchro que je n'avais pas vérifiée depuis des mois, et un ransomware attrapé sur un portable de test que j'avais connecté au même réseau. Trois jours de travail envolés. Depuis, ce disque est débranché physiquement chaque soir, et j'ai un rappel mensuel récurrent qui me force à tester une restauration. Ce rappel est la chose la plus utile que j'aie jamais mise en place.
La vérité, c'est qu'aucune protection n'est parfaite. On ne gagne pas contre un ransomware avec un produit magique. On gagne en réduisant ses chances, et en s'assurant que la perte reste réparable le jour où ça arrive — parce que ce jour arrive.
