Rançongiciel PME : anatomie d'une attaque heure par heure

Un rançongiciel est un virus informatique qui bloque vos fichiers ou vous empêche d’y accéder. Les pirates demandent ensuite de l’argent pour les débloquer et peuvent aussi menacer de publier les données qu’ils ont volées.

Au Canada, ce type d’attaque est de plus en plus fréquent. Selon le Centre canadien pour la cybersécurité, les incidents signalés augmentent d’environ 26 % par année depuis 2021. En 2023, 13 % des entreprises canadiennes ayant subi un cyberincident ont été touchées par un rançongiciel, selon Statistique Canada.

Dans cet article, nous suivons une attaque typique dans une PME québécoise, heure par heure, du premier clic jusqu’au blocage complet de l’entreprise. L’objectif : comprendre ce qui se passe réellement, combien cela peut coûter et à quel moment il est encore possible d’arrêter l’attaque.

Note importante : Le scénario heure par heure ci-dessous est une reconstitution pédagogique, basée sur le déroulement classique d'une attaque par rançongiciel, tel que documenté par le Centre canadien pour la cybersécurité, Statistique Canada et CIRA. Les heures sont indicatives : certaines attaques prennent des heures, d'autres des semaines. C'est une situation fictive.

« Ça n'arrive qu'aux grandes entreprises »

C'est la phrase que j'entends le plus souvent en mandat, et c'est exactement celle qui coûte le plus cher.

Les opérateurs de rançongiciel ne choisissent pas leurs cibles par taille, mais par occasion.

Le Centre canadien pour la cybersécurité nous indique que les groupes qui visent le Canada sont « presque certainement opportunistes et motivés par le gain », sans préférence d'industrie. Pour un attaquant, une PME de 80 personnes sans équipe de sécurité, c'est une cible plus facile, et souvent plus payante au temps investi, qu'une multinationale blindée.

Le vrai problème, c'est qu'on n'a jamais vu comment une attaque se déroule pour vrai !

On imagine un pirate encapuchonné qui « entre » dans le système en trois secondes de film. La réalité est plus lente, plus banale, et bien plus évitable...

L'attaque, heure par heure

T+0 - Le courriel

Une employée de la comptabilité reçoit un message qui semble provenir d’un fournisseur connu, avec pour objet « Facture en souffrance », un ton professionnel, le bon logo et un document à consulter rapidement.

Elle clique sur la pièce jointe, mais rien de visible ne se produit : aucun écran noir, aucune alerte inquiétante, aucun fichier qui disparaît. Elle referme donc le document et poursuit sa journée, sans se douter que l’attaque vient de commencer.

T+30 minutes - La tête de pont

Le clic a déclenché l’installation discrète d’un petit programme qui ne bloque encore aucun fichier, mais qui ouvre un accès permettant à l’attaquant, ou à un outil automatisé, d’observer l’environnement informatique de l’entreprise.

Il cherche à comprendre quels dossiers sont accessibles, quels mots de passe sont enregistrés, à quels serveurs le compte peut se connecter et jusqu’où il peut progresser sans attirer l’attention. Pendant ce temps, l’employée continue de travailler normalement, l’ordinateur semble fonctionner comme d’habitude et aucune alerte claire ne permet de comprendre qu’une intrusion est en cours.

C’est pourtant à ce moment précis qu’une entreprise bien préparée pourrait encore détecter l’activité anormale et interrompre l’attaque.

T+4 heures - La progression latérale

L’attaquant cherche maintenant à obtenir davantage de privilèges, notamment l’accès à un compte administrateur qui lui permettrait de circuler librement dans le réseau, de modifier les systèmes et d’atteindre les données les plus importantes.

Un mot de passe réutilisé, un compte non protégé par la double authentification ou un ancien accès jamais désactivé peut suffire pour lui ouvrir la voie. Une fois les bons privilèges obtenus, il commence à cartographier le réseau afin de repérer les dossiers clients, les documents comptables, les outils de facturation et, surtout, les sauvegardes.

Ces sauvegardes deviennent rapidement une cible prioritaire, puisqu’une entreprise capable de restaurer ses données dispose de beaucoup moins de raisons de payer une rançon.

T+12 heures - Le sabotage des sauvegardes

Avant de déclencher le chiffrement, l’attaquant tente donc de supprimer, de modifier ou de rendre inutilisables les sauvegardes de l’entreprise, en particulier lorsqu’elles sont constamment connectées au réseau et accessibles avec les mêmes comptes administrateurs que les systèmes principaux.

Pendant ce temps, la direction croit être protégée parce que des sauvegardes sont effectuées chaque jour, sans nécessairement savoir si elles sont isolées du réseau, si elles ont récemment été testées ou si elles pourront réellement être restaurées au moment où l’entreprise en aura besoin.

T+24 heures - Le déclenchement

Le lendemain matin, les premiers employés commencent à signaler des problèmes : certains fichiers ne s’ouvrent plus, le logiciel de comptabilité ne répond pas et plusieurs personnes pensent d’abord à une simple panne de serveur.

Puis un message apparaît sur les écrans pour annoncer que les données ont été chiffrées, qu’une rançon doit être payée et que l’entreprise ne dispose que de quelques jours pour agir.

Dans de nombreux cas, une deuxième menace s’ajoute au blocage des fichiers : l’attaquant affirme avoir copié les données de l’entreprise et promet de les publier si le paiement n’est pas effectué. Cette stratégie, appelée double extorsion, place l’organisation devant un double risque, puisqu’elle doit à la fois gérer l’arrêt de ses activités et la possibilité que des renseignements confidentiels soient divulgués.

T+48 heures et après - La paralysie

Deux jours plus tôt, tout avait commencé par un simple courriel; désormais, la facturation est interrompue, les dossiers clients sont inaccessibles, certaines opérations doivent être effectuées manuellement et la direction découvre, en pleine crise, toutes les questions qui n’avaient jamais été préparées.

Qui faut-il appeler? Les sauvegardes fonctionnent-elles réellement? L’assurance couvre-t-elle l’incident? Des renseignements personnels ont-ils été volés? L’entreprise doit-elle aviser la Commission d’accès à l’information?

À ce stade, il ne s’agit plus seulement d’un problème informatique, mais d’une crise opérationnelle, financière, juridique et réputationnelle dont les conséquences peuvent se prolonger bien au-delà de la remise en service des systèmes.

La différence entre une PME qui reprend rapidement ses activités et une autre qui en subit les effets pendant des mois ne se décide donc pas lorsque le message de rançon apparaît, mais bien avant l’attaque, dans la protection des accès, la surveillance des systèmes, la qualité des sauvegardes et l’existence d’un plan d’intervention réellement testé.

L’attaque commence peut-être par un clic, mais la capacité de l’arrêter se prépare longtemps avant.

Le scénario en un coup d'œil

• T+0 - Ce que fait l'attaquant : Hameçonnage · Risque pour la PME : Compromission initiale · Mesure de défense : Sensibilisation, filtrage courriel
• T+30 min - Ce que fait l'attaquant : Installation d'un accès discret · Risque pour la PME : Présence invisible · Mesure de défense : Détection (EDR), journalisation, alertes
• T+4 h - Ce que fait l'attaquant : Mouvement latéral · Risque pour la PME : Compte admin compromis · Mesure de défense : MFA, accès au moindre privilège
• T+12 h - Ce que fait l'attaquant : Attaque des sauvegardes · Risque pour la PME : Perte de la restauration · Mesure de défense : Sauvegardes hors-ligne / testées
• T+24 h - Ce que fait l'attaquant : Chiffrement · Risque pour la PME : Arrêt des opérations · Mesure de défense : Plan de réponse, restauration
• T+48 h - Ce que fait l'attaquant : Extorsion · Risque pour la PME : Crise légale et réputationnelle · Mesure de défense : Assurance, avis CAI, communication

Ce que ça coûte vraiment

Le coût d'un rançongiciel, ce n'est pas la rançon. C'est l'arrêt !

D'abord, payer ne règle rien, et presque personne ne le fait : selon Statistique Canada, 88 % des entreprises canadiennes victimes en 2023 n'ont pas payé.

Le vrai poids est ailleurs, dans la remise en route, car, toujours selon Statistique Canada, les dépenses totales de rétablissement après des incidents de cybersécurité ont doublé entre 2021 et 2023, passant d'environ 600 millions à 1,2 milliard de dollars au pays. Les petites et moyennes entreprises en ont absorbé une part substantielle.

À l'échelle d'une seule entreprise, la facture se compose de plusieurs morceaux. L'arrêt de production, chaque jour sans facturer ni servir les clients. L'expertise d'urgence, qui coûte beaucoup plus cher que la prévention. La reconstruction des systèmes, et la vérification qu'il ne reste rien de l'attaquant. Les obligations légales, si des renseignements personnels ont été touchés. Et la perte de clients, ceux qui apprennent que leurs données ont fuité et qui s'en vont.

L'obligation Loi 25 que beaucoup de PME oublient

Au Québec, un rançongiciel qui touche des renseignements personnels n'est pas qu'un problème technique. C'est un incident de confidentialité au sens de la Loi 25. Si l'incident présente un risque de préjudice sérieux, vous devez l'évaluer et, le cas échéant, aviser la Commission d'accès à l'information du Québec et les personnes concernées. Oublier cette étape ajoute un risque réglementaire par-dessus la crise. On détaille tout ça dans notre article sur la Loi 25.

Autre chose qui pèse lourd : de plus en plus d'assureurs refusent de couvrir, ou refusent de payer, les entreprises qui n'avaient pas les mesures de base en place. On explique ce qu'ils exigent dans ce que les assureurs cyber vérifient avant de vous couvrir.

Besoin de se faire accompagner ? Nous sommes là !

Où couper la chaîne ?

La bonne nouvelle, c’est que chaque étape de ce scénario représente aussi une occasion d’arrêter l’attaque. Une PME n’a pas besoin d’être parfaite partout; elle doit surtout fermer suffisamment de portes pour ne plus être la cible la plus facile.

Au T+0, la sensibilisation des employés peut empêcher le clic. Une personne qui reconnaît un courriel d’hameçonnage est moins susceptible d’ouvrir une pièce jointe ou un lien frauduleux, surtout lorsque la formation repose sur des exemples concrets plutôt que sur un rappel annuel théorique.

Au T+30 minutes, la double authentification peut bloquer l’accès. Même si un mot de passe est compromis, le MFA limite les possibilités de l’attaquant et peut stopper sa progression.

Au T+4 heures, les mises à jour et la gestion des accès réduisent les risques. Les attaquants exploitent souvent des failles connues ou des comptes trop permissifs, qu’un scan de vulnérabilités peut repérer à l’avance.

Au T+12 heures, des sauvegardes isolées et testées peuvent changer l’issue de l’incident. Elles permettent de restaurer les données sans céder à la pression, à condition de vérifier régulièrement qu’elles fonctionnent réellement.

Au T+48 heures, un plan de réponse préparé permet d’éviter la panique. Savoir qui appeler, dans quel ordre et avec quelles responsabilités transforme une crise improvisée en procédure structurée.

Aucune de ces mesures n’est hors de portée d’une PME. Ce qui manque le plus souvent, ce n’est pas le budget, mais une vision claire des faiblesses à corriger en priorité.

Voir où vous en êtes

Le scénario de cet article n'est pas une fatalité. C'est une chaîne d'étapes, et chacune est un endroit où vous pouvez couper.

La vraie question, ce n'est pas « est-ce que ça pourrait m'arriver ». C'est « à quelle étape mon entreprise est-elle déjà protégée, et où est le prochain trou ».

Vous ne savez pas si vos sauvegardes, vos accès administrateur ou votre MFA tiendraient le coup dans ce scénario ? Réservez un appel exploratoire de 20 minutes, sans engagement. On trouve ensemble vos points de rupture et par quoi commencer.