Ransomware : comment ça marche vraiment (et pourquoi la sauvegarde est votre seule assurance)

Octobre, c'est le Cybermois européen : un mois pour parler d'hygiène numérique. Le ransomware — ou rançongiciel — en est le sujet le plus mal compris. On l'imagine réservé aux hôpitaux et aux grandes entreprises. En réalité, il chiffre aussi bien les photos de vacances d'un particulier que les devis d'un artisan. Voici comment il fonctionne, comment s'en prémunir, et pourquoi une seule chose permet de s'en sortir sans payer : une sauvegarde déconnectée.

1. La scène que personne n'imagine

Un mardi soir ordinaire. Vous ouvrez un mail qui ressemble à une facture — logo connu, ton pressé, pièce jointe. Vous cliquez. Rien ne se passe, ou presque. Le lendemain, vos fichiers ont une extension bizarre. Vos photos ne s'ouvrent plus. Un fichier texte est apparu sur le bureau :

« Vos fichiers ont été chiffrés. Pour les récupérer, envoyez des bitcoins avant vendredi. Passé ce délai, la clé sera détruite — ou vos données seront publiées. »

Pas de virus spectaculaire, pas d'écran rouge clignotant. Juste vos souvenirs et vos documents, illisibles, et un compte à rebours.

Ce scénario n'est pas un film. C'est le mode opératoire standard d'un ransomware en 2026, et il frappe des particuliers comme des très petites entreprises, tous les jours, via le même vecteur dans l'immense majorité des cas : un mail de phishing et un clic.

2. Comment ça marche, concrètement

Un ransomware est un logiciel qui rend vos fichiers illisibles, puis exige une rançon contre la clé de déchiffrement. La mécanique tient en quatre étapes :

1. L'entrée. Le plus souvent, un mail piégé (fausse facture, faux colis, faux support technique), parfois une pièce jointe Office ou un lien. Côté entreprises, ce peut être aussi un accès distant mal protégé — un bureau à distance exposé sur internet avec un mot de passe faible.

2. L'installation silencieuse. Une fois ouvert, le programme s'installe sans signe visible. Les variantes modernes désactivent d'abord les sauvegardes locales automatiques et cherchent tout ce qui est branché : disque dur externe, clé USB, dossiers partagés du réseau familial ou du petit bureau.

C'est le point crucial que beaucoup ignorent : un disque externe branché en permanence est chiffré en même temps que le reste. Il cesse d'être une sauvegarde au moment où vous en avez besoin.

3. Le chiffrement. Le programme chiffre vos documents, photos, vidéos avec des algorithmes solides (de type AES/RSA — les mêmes que ceux qui protègent votre banque en ligne, mais ici retournés contre vous). Sans la clé des attaquants, le déchiffrement par vos propres moyens est illusoire.

4. La double extorsion. Depuis quelques années, les groupes ne se contentent plus de chiffrer : ils volent une copie de vos données avant de les chiffrer, puis menacent de les publier. Vous payez pour récupérer l'accès et pour éviter la fuite. Pour un particulier, ce sont des photos intimes ou des documents d'identité. Pour un artisan ou un freelance, ce sont les données de ses clients — avec une responsabilité juridique en prime.

Derrière, il y a une industrie : le « ransomware-as-a-service ». Des développeurs louent leur logiciel à des affiliés en échange d'une commission, comme une franchise du crime. C'est ce qui rend l'attaque si massive : il ne faut plus être un génie pour en lancer une, il suffit d'être client.

3. « Moi, je ne suis pas une cible » — si, justement

C'est l'idée reçue la plus dangereuse. Les attaquants ne vous choisissent pas, ils arrosent large — et ils arrosent de mieux en mieux.

Les particuliers sont visés de façon opportuniste, avec des données de plus en plus fraîches. Ces derniers mois, les fuites de données d'entreprises françaises se sont enchaînées : noms, adresses mail, numéros de téléphone, parfois mots de passe ou informations clients se retrouvent en circulation. Pour les attaquants, c'est une matière première qualifiée et récente. Fini le mail générique plein de fautes : le phishing d'aujourd'hui vous appelle par votre nom, cite votre opérateur, votre banque ou votre mutuelle, et reprend vos références de commande réelles. La crédibilité du piège vient directement de ces fuites — et elle ne fera qu'augmenter tant que chacun réutilise le même mot de passe partout.

Concrètement, la rançon demandée à un particulier est « adaptée » : quelques centaines d'euros, assez pour faire mal, pas assez pour faire appeler la police — enfin, c'est ce qu'ils espèrent.

Les TPE, artisans, freelances et associations sont sur-représentés parmi les victimes qui signalent leur cas — Cybermalveillance.gouv.fr, la plateforme publique d'assistance aux victimes, le constate année après année dans ses rapports. La logique est implacable : ces structures détiennent des données vitales (comptabilité, clients, photos de chantiers, dossiers patients) mais disposent rarement d'un informaticien dédié, de mises à jour suivies ou d'une sauvegarde testée.

Personne n'est « trop petit pour être attaqué ». L'attaque est automatisée et alimentée par vos propres données volées ; votre taille ne vous protège pas, votre hygiène si.

4. La prévention qui marche vraiment

Pas besoin d'être expert. L'ANSSI — l'agence nationale de la sécurité des systèmes d'information — le répète dans chacun de ses guides : quatre réflexes éliminent l'essentiel du risque.

Mettez à jour, vite. Système, navigateur, applications, box internet. La plupart des intrusions exploitent des failles déjà corrigées depuis des mois. Activez les mises à jour automatiques partout où c'est possible.

Traitez chaque mail urgent comme suspect. « Facture en retard », « colis bloqué », « votre compte va être suspendu » : vérifiez l'adresse réelle de l'expéditeur, survolez les liens sans cliquer, et en cas de doute, allez directement sur le site officiel au lieu de cliquer dans le mail. Aucune administration ni aucun fournisseur sérieux ne vous demande d'ouvrir une pièce jointe sous la menace. Et si le mail cite des informations personnelles exactes, souvenez-vous du point précédent : elles viennent probablement d'une fuite, pas d'un vrai conseiller.

Activez la double authentification (2FA) et cessez de réutiliser vos mots de passe. Mail, cloud, banque, réseaux sociaux : même si votre mot de passe fuit — et vu le rythme des fuites, partez du principe qu'il a déjà fuité — le second facteur bloque l'intrus. Utilisez un gestionnaire de mots de passe pour avoir un mot de passe unique par site.

Débranchez votre disque de sauvegarde. C'est le réflexe le moins connu et le plus important : une fois la copie terminée, débranchez le disque externe et rangez-le. Branché en permanence, il n'est pas une sauvegarde, c'est juste une deuxième victime. Même logique au bureau : une sauvegarde toujours connectée au réseau n'en est pas une.

5. Pourquoi la sauvegarde est votre seule assurance

Face à un chiffrement solide, il n'existe que deux issues : payer (sans aucune garantie — la clé ne vient parfois jamais, et payer vous signale comme « bon payeur » pour la prochaine fois) ou restaurer depuis une copie saine, déconnectée au moment de l'attaque.

C'est exactement la règle 3-2-1 que nous avons détaillée ici même : 3 copies, 2 supports différents, 1 copie hors site. Le ransomware est la démonstration par l'absurde de chaque chiffre :

• 3 copies, parce que le poste principal et le disque branché peuvent tomber ensemble.
• 2 supports différents, parce qu'un seul type de panne — ici le chiffrement logique — ne doit pas tout emporter.
• 1 copie hors site, parce que ce qui est physiquement ailleurs et déconnecté ne peut pas être chiffré à distance.

Le chaînon souvent oublié, c'est l'historique des versions : un bon service de cloud conserve vos anciennes versions pendant plusieurs semaines. Si une version chiffrée se synchronise par erreur vers le cloud, vous pouvez revenir à la version saine d'avant l'attaque. C'est le cas d'Archibou, qui conserve 30 jours d'historique — mais l'essentiel vaut pour n'importe quelle solution sérieuse qui le propose : vérifiez ce point avant de choisir.

En pratique, pour une famille : l'ordinateur + un disque externe débranché après copie + une copie cloud hors site. Pour un freelance : pareil, en ajoutant la sauvegarde du téléphone, souvent oubliée alors qu'il contient devis, factures et photos de chantiers.

6. Si c'est déjà trop tard

Restez calme et procédez dans l'ordre :

1. Déconnectez l'appareil d'internet et du réseau local (câble, Wi-Fi). Ne l'éteignez pas forcément — certains indices utiles à l'enquête sont en mémoire — mais isolez-le pour stopper la propagation aux autres appareils.
2. Ne payez pas dans la précipitation. Payer finance l'industrie qui vous attaque, ne garantit pas la récupération, et expose les données volées à quand même finir publiées.
3. Faites-vous aider gratuitement : Cybermalveillance.gouv.fr vous guide pas à pas selon votre profil (particulier, entreprise, collectivité) et vous oriente vers des prestataires de proximité. Les guides de l'ANSSI complètent utilement pour les bonnes pratiques de reconstruction.
4. Déposez plainte (commissariat, gendarmerie, ou pré-plainte en ligne) et conservez le message de rançon ainsi qu'un exemple de fichier chiffré.
5. Reconstruisez sur du sain : réinstallez le système depuis un support officiel, changez les mots de passe depuis un appareil sain, puis restaurez vos fichiers depuis votre copie déconnectée ou votre historique de versions — jamais depuis un support resté branché pendant l'attaque.

Conclusion : on ne négocie pas avec un chiffrement, on le contourne

Le ransomware prospère sur deux illusions : « ça n'arrive qu'aux autres » et « mon disque externe me protège ». La réalité est plus simple et plus rassurante : avec des mises à jour à jour, de la méfiance face aux mails urgents — même très bien renseignés —, des mots de passe uniques, et surtout une vraie sauvegarde 3-2-1 dont une copie hors site déconnectée, vous retirez aux attaquants leur seul levier.

C'est la philosophie que nous appliquons chez Archibou : vos fichiers hébergés en France, jamais analysés ni revendus, avec 30 jours d'historique pour revenir en arrière — pour être cette copie hors site sur laquelle on peut compter le jour où tout le reste est chiffré.

Et vous : si votre écran affichait ce message demain matin, d'où restaureriez-vous vos photos ?