Qu'est-ce qu'un ransomware ?

Le ransomware est un type de logiciel malveillant qui chiffre les fichiers ou bloque l'accès à un système, les rendant inaccessibles jusqu'au paiement d'une rançon. Ce type de cyberattaque se répand via des liens malveillants et des vulnérabilités logicielles, puis exige un paiement en échange de la clé de déchiffrement. Même si vous payez, vous n'avez aucune garantie que les attaquants vont restaurer vos fichiers, ou qu'ils ne vous attaqueront pas à nouveau.

Les attaques par ransomware restent aujourd'hui l'une des menaces les plus répandues et les plus néfastes pour les entreprises. En cas de réussite, elles peuvent affaiblir considérablement une entreprise. La prévention de ces incidents implique l'application de bonnes pratiques et l'emploi de logiciels sécurisés.

Définissons plus en détail ce qu'est un ransomware et son impact sur les victimes, en étudiant son fonctionnement, les cibles potentielles et les moyens de défense disponibles.

Points forts :

• Un ransomware est un type de logiciel malveillant qui circule entre les réseaux et les appareils pour chiffrer des documents et des données, et demande un paiement pour y restaurer l'accès.
• Une attaque de ransomware commence par l'exploitation de points faibles, tels que des e-mails de phishing, le vol d'identifiants ou la non-application de correctifs
• Pour découvrir comment éviter les ransomware, concentrez-vous sur la protection des points d'accès, l'application des correctifs système, la formation du personnel et la planification de la récupération en cas d'attaque
• Box, le leader de l'Intelligent Content Management, vous aide à protéger vos données professionnelles en conservant le contenu en sécurité dans le cloud, en automatisant les sauvegardes de fichiers et en identifiant les activités suspectes caractéristiques des attaques de logiciels malveillants

Définition détaillée d'un ransomware

Un ransomware est un type de logiciel malveillant qui retient les données en otage. Il peut bloquer l'accès aux fichiers, aux serveurs et aux lecteurs réseau, empêcher les utilisateurs de se connecter et menacer de fuites de données faute de paiement de la rançon.

Si le terme « logiciel malveillant » désigne un large éventail de programmes conçus pour obtenir des accès non autorisés ou endommager des systèmes informatiques, ce sous-ensemble se concentre sur le verrouillage de données via le chiffrement et l'exigence d'un paiement en échange de la clé de déchiffrement. Le ransomware est une forme d'extorsion, souvent utilisée par des groupes organisés qui comptent sur la peur et le sentiment d'urgence pour forcer le paiement.

Qu'est-ce qu'une attaque de ransomware ?

Une attaque de ransomware consiste à infecter un système en incitant un utilisateur à ouvrir un fichier ou un lien malveillant. Les attaquants installent un logiciel qui chiffre les données, puis demandent le paiement d'une rançon en pour restaurer l'accès.

Une attaque de ransomware se reconnaît aux signes courants suivants :

• Ralentissements inhabituels du système
• Incapacité soudaine à accéder à des fichiers
• Messages inattendus de demande de rançon apparaissant à l'écran
• Logiciel de sécurité désactivé
• Activité réseau inhabituelle

Comment fonctionne un ransomware ?

Un ransomware verrouille vos données via un chiffrement asymétrique, qui utilise une clé publique pour chiffrer les fichiers et une clé privée pour les déchiffrer. Les cybercriminels gardent secrète cette clé privée, de sorte que vous ne pouvez pas accéder à votre contenu, ni utiliser les fonctions de base de votre ordinateur. Ils fixent ensuite un délai de paiement, à l'issue duquel ils supprimeront la clé ou feront fuiter vos données.

Voici le détail du fonctionnement d'un ransomware lorsqu'il accède à vos appareils ou à vos systèmes.

1. Installation

Un acteur malveillant peut utiliser différentes méthodes pour installer un ransomware sur l'appareil de la victime :

• E-mails de phishing : cette tactique d'ingénierie sociale utilisée dans les cyberattaques trompe les utilisateurs pour les inciter à cliquer sur de faux e-mails (en se faisant passer pour un collègue, une entreprise de confiance ou une agence publique) et à télécharger une pièce jointe qui installe le ransomware sur leur appareil
• Logiciel obsolète : les programmes auxquels les correctifs de sécurité n'ont pas été appliqués permettent aux attaquants d'exploiter des bugs ou des vulnérabilités déjà répertoriées dans des bases de données publiques
• Failles de sécurité : certaines vulnérabilités, telles que des pare-feu mal configurés, permettent un accès non autorisé aux systèmes et aux données
• Identifiants faibles : des mots de passe simples ou réutilisés permettent aux groupes utilisant des ransomware de voler des informations de connexion, notamment lorsque les comptes ne disposent pas de contrôles tels que l'authentification multi-facteurs (MFA)

2. Exécution

Cette étape débute lorsque le ransomware commence à fonctionner sur votre réseau ou votre appareil. Il ne chiffre pas toujours les fichiers immédiatement : il commence par s'exécuter silencieusement en arrière-plan pour évaluer vos systèmes.

Les attaquants essaient souvent d'élever les privilèges (obtenir un accès administrateur, par exemple) pour avoir accès aux fichiers et aux lecteurs partagés. Ils se déplacent latéralement sur le réseau, à la recherche de données précieuses ou de dossiers de sauvegarde en ligne à désactiver. Cette phase permet aux attaquants de causer des dommages de grande ampleur, qui laissent peu d'options de récupération à votre entreprise.

3. Chiffrement

Une fois le ransomware installé, il chiffre les documents et les données de l'appareil. Si des partages de fichiers sont liés à cet appareil, le ransomware les cible et les verrouille également. Le logiciel affiche ensuite un message sur l'appareil infecté. Ce message contient souvent une demande de rançon, un moyen de paiement de celle-ci et un délai de paiement.

4. Demande de rançon

Une fois l'attaque en cours, l'attaquant exige de l'argent de la victime avant de lui fournir la clé privée. Certains d'entre eux ne fournissent jamais la clé, même en cas de paiement. Ils suppriment les fichiers ou les vendent à d'autres acteurs malveillants.

5. Paiement ou récupération

À ce stade, l'entreprise doit faire un choix difficile : payer la rançon ou tenter de récupérer son contenu selon les processus et solutions de sauvegarde et récupération de données établis.

Le paiement de la rançon peut sembler une solution rapide, mais il comporte de sérieux risques, y compris d'autres attaques, de perte ou de fuite de données. Les entreprises qui disposent de sauvegardes fiables et isolées et d'un plan de récupération après sinistre efficace peuvent opter pour la restauration des systèmes, sans céder aux exigences des attaquants.

Quelques chiffres à connaître sur les ransomwares

En 2024, le FBI américain a indiqué que l'Internet Crime Complaint Center (IC3) avait reçu 3 156 plaintes attribuées à des ransomwares (soit 9 % de plus qu'en 2023), pour un total ajusté des pertes s'élevant à plus de 12,47 millions de dollars. Ce chiffre n'inclut pas les coûts liés à la perte d'activité, aux salaires, au temps perdu, aux fichiers, à l'équipement et à la remédiation par des tiers. Le coût réel est sans doute beaucoup plus élevé.

À mesure que ce type de menace se répand et devient accessible à davantage d'acteurs malveillants, de nombreux secteurs voient augmenter les attaques et les exigences. Voici quelques chiffres essentiels à connaître sur les ransomwares :

• L'IC3 indique que les secteurs les plus attaqués par les ransomwares incluent la fabrication essentielle, la santé, les sites gouvernementaux, les services financiers et l'informatique
• Le rapport The State of Ransomware 2024 de Sophos indique que 59 % des entreprises ont été victimes de ransomware en 2023, contre 66 % deux ans plus tôt, mais ce chiffre reste assez élevé pour inciter à la vigilance
• Le même rapport indique que les entreprises ont multiplié par quatre le coût global de la récupération, à 3 millions de dollars contre 750 000 pour des identifiants compromis
• Le rapport Ransomware Trends 2025 de Veeam indique que 64 % des entreprises ont payé une rançon en 2024, mais seulement 47 % ont récupéré leurs données, tandis que 17 % n'ont jamais retrouvé l'accès à leurs informations

Pourquoi les ransomwares ont-ils autant de succès ?

Les ransomwares ont du succès parce que la plupart des défenses ne peuvent pas les arrêter avant qu'ils causent des dégâts. Les attaquants ciblent les failles de sécurité et agissent rapidement une fois infiltrés. Ils se répandent également à cause des nouvelles technologies qui désactivent les mesures de prévention.

Par exemple, certains acteurs malveillants créent des ransomwares multi-plateformes avec des interpréteurs génériques connus : des programmes qui exécutent du code sur plusieurs systèmes d'exploitation. Les kits de logiciels malveillants, sortes de boîtes à outils prêtent à l'emploi qui permettent aux attaquants de créer et de déployer des logiciels malveillants, facilitent également la création rapide de nouveaux échantillons de logiciels malveillants. Les cybercriminels trouvent également de nouvelles techniques pour répandre les logiciels malveillants, telles que le chiffrement de disques entiers plutôt que de quelques fichiers.

Une tendance croissante : le ransomware en tant que service

Les attaques continuent à réussir, en partie grâce à l'essor des ransomwares en tant que service (RaaS), un système d'abonnement donnant accès à des outils de ransomware prêts à l'emploi. Comme les RaaS donnent aux acteurs malveillants une méthode d'attaque plus décentralisée et une plus grande portée d'action, les autorités ont plus de difficultés à enrayer ces menaces.

Beaucoup de créateurs de RaaS empochent également une part de la rançon. Ainsi, ces groupes de ransomwares sont susceptibles d'exiger des sommes plus élevées. De nombreuses victimes finissent par payer la rançon, ce qui rend les ransomwares très lucratifs pour les acteurs malveillants.

Quels sont les types de ransomwares les plus courants ?

Bien qu'il existe différents types de ransomwares, les principaux sont les verrouilleurs d'écran et les ransomwares de chiffrement.

• Les verrouilleurs empêchent les victimes d'utiliser les fonctions de base de leur ordinateur. Ils peuvent désactiver partiellement la souris et le clavier tout en autorisant des interactions limitées, pour que la victime puisse voir la demande de rançon et y répondre. Si la victime paie, l'attaquant peut débloquer l'appareil.
• Les ransomwares de chiffrement, quant à eux, chiffrent les données sensibles. Ces attaques n'ont généralement pas d'impact sur les fonctions essentielles, mais le verrouillage de fichiers essentiels suscite souvent la panique. Ce type de ransomware peut faire plus de dégâts, car les attaquants peuvent supprimer les fichiers si les victimes n'accèdent pas à leur demande.

Découvrez le paysage des menaces de sécurité dans le cloud pour éviter les ransomwares et autres attaques.

Exemples de ransomwares à surveiller

Selon le FBI, voici les cinq exemples de ransomware les plus fréquemment signalés, d'après le nombre de plaintes en 2024.

Qui est concerné par les attaques de ransomwares ?

Toute personne ou organisation, des organismes publics aux entreprises de toutes tailles, sont exposés aux ransomwares si leurs systèmes sont vulnérables et leur cybersécurité faible. Des défenses renforcées et un plan de réponse clair permettent de réduire les dommages et d'accélérer la récupération en cas d'attaque.

Comment empêcher les incidents de ransomwares dans votre organisation

S'il est possible de récupérer les données volées ou de réduire les dommages causés par les attaques de ransomware, il est préférable d'éviter ces attaques en premier lieu.

Voici six bonnes pratiques permettant d'éviter les attaques par ransomware dans votre organisation.

1. Privilégiez les réseaux sécurisés

Les attaquants peuvent utiliser des réseaux non sécurisés pour obtenir des informations sur une entreprise et des moyens d'accès à un appareil. Il est donc essentiel que votre organisation dispose d'un réseau sécurisé. Dès qu'un membre de l'équipe utilise un appareil professionnel sur un réseau Wi-Fi public, il met votre organisation en danger, car la plupart de ces réseaux ne sont pas sécurisés.

Lorsque les employés travaillent chez eux ou dans un lieu public, envisagez de leur demander d'utiliser un VPN pour garantir leur connexion sécurisée à Internet, où qu'ils se trouvent.

2. Sauvegardez vos données

Sauvegarder vos données dans le cloud est l'une des meilleures façons d'éviter les ransomwares. Si vous avez sauvegardé vos données, vous pouvez effacer un appareil infecté et récupérer vos données en cas d'incident. Plutôt que de payer la rançon, vous pouvez simplement tout supprimer en toute tranquillité, sans conséquence financière.

Si les disques durs et serveurs externes restent vulnérables aux dommages physiques et au vol, les solutions de sauvegarde dans le cloud offrent davantage de sécurité grâce au chiffrement, aux mises à jour automatisées et à la flexibilité d'accès au stockage de fichiers.

Comparez la sauvegarde hors ligne au stockage cloud pour comprendre les différences.

3. Sécurisez vos sauvegardes de données

Si vous sauvegardez vos données, assurez-vous que votre solution sécurise ces sauvegardes. Recherchez des services de sauvegarde qui offrent une redondance des données ainsi que des autorisations de fichiers et de dossiers basés sur les rôles, de sorte que seuls les utilisateurs autorisés peuvent accéder au contenu ou le modifier.

4. Naviguez sur Internet de façon sécurisée

Quiconque travaille pour votre organisation et a accès aux données sensibles doit faire attention en naviguant sur le Web. Ces personnes ne doivent pas télécharger d'applications sans avoir vérifié au préalable que le logiciel provient d'une source fiable.

Les membres de l'équipe ne doivent jamais répondre aux messages de personnes dont ils ne peuvent pas confirmer l'identité. Veiller à ce que les employés soient vigilants sur Internet peut réduire considérablement le risque de téléchargement accidentel de ransomware.

5. Créez un programme de sensibilisation à la sécurité

La mise en œuvre d'un programme de sensibilisation à la sécurité est l'un des moyens les plus efficaces d'apprendre à votre équipe comment se défendre contre les ransomwares. En menant régulièrement des formations à la cybersécurité, vous réduisez le risque que vos employés se fassent piéger par des attaques d'ingénierie sociale ou de phishing.

Planifiez régulièrement ces formations et désignez un superviseur pour celles-ci, afin que votre équipe suive de façon constante les bonnes pratiques de sécurité.

6. Utilisez des logiciels de sécurité et maintenez-les à jour

Comme les ransomwares évoluent constamment, les outils de protection doivent s'adapter aux nouvelles menaces. Optez pour un système de gestion de contenu d'entreprise (ECM) réputé pour suivre l'évolution de la cybercriminalité, notamment des logiciels malveillants. Téléchargez et installez systématiquement les mises à jour dès qu'elles sont disponibles, afin que les nouvelles menaces ne puissent pas passer vos défenses.

Comment récupérer en cas d'attaque de ransomware

Même si vous savez comment éviter les ransomwares, vous pouvez être confronté à des menaces. En cas d'incident, vous devez savoir comment y répondre efficacement pour minimiser les dommages. Établir un plan de réponse permet à votre équipe de prendre rapidement les mesures adaptées.

Voici les étapes à suivre pour répondre aux risques et atténuer efficacement l'impact des logiciels malveillants et des ransomwares.

1. Mettez en quarantaine tous les appareils infectés

Les appareils infectés continuent à répandre les ransomwares à tout autre système connecté. Tout comme l'on isole les patients atteints d'un virus, vous devez mettre en quarantaine les équipements infectés pour limiter tout impact ultérieur.

Le temps de réaction fait tout. Lorsque vous détectez des ransomwares sur un appareil, déconnectez-le immédiatement des autres équipements, d'Internet et du réseau de votre organisation. Cette étape empêche le logiciel malveillant de se déplacer latéralement et d'infecter d'autres systèmes, ce qui vous donne du temps pour le contenir et l'éliminer avant qu'il se répande.

2. Empêchez la propagation

La mise en quarantaine rapide d'un appareil infecté est la première étape à suivre après avoir détecté un ransomware, mais elle ne suffit pas. Cette menace peut se propager très vite et l'équipement compromis n'est peut-être pas la source de l'infection d'origine.

C'est pourquoi il faut déconnecter du réseau tout autre appareil potentiellement infecté. Même si l'appareil n'est pas sur site, il doit être déconnecté, car les attaquants peuvent tout de même y accéder. Vous pouvez également désactiver le Bluetooth, le Wi-Fi et tout autre mode de connexion sans fil.

3. Évaluez les dommages

Pour une récupération plus rapide en cas d'attaque de ransomware, évaluez rapidement les dommages pour identifier les systèmes et les données concernés. Recherchez des fichiers que les utilisateurs ne peuvent pas ouvrir, des noms de fichiers étranges et des extensions de fichier inhabituelles. Lorsque vous identifiez des systèmes qui ne sont pas totalement chiffrés, désactivez-les et mettez-les en quarantaine pour contenir la menace.

À l'étape d'évaluation des dommages, répertoriez les informations sur tous les systèmes concernés, y compris le stockage sur disque dur externe, les smartphones, les ordinateurs portables, le stockage dans le cloud et les appareils de stockage réseau. Cette étape vous permet de quantifier les appareils et les segments de réseau concernés, afin de pouvoir évaluer précisément les dommages.

Vous pouvez également verrouiller les partages, c'est-à-dire les dossiers et les emplacements de stockage accessibles par plusieurs appareils sur votre réseau, pour empêcher les ransomwares de continuer à chiffrer des fichiers ou à se propager. Avant de verrouiller les partages, vérifiez lesquels contiennent déjà des fichiers chiffrés. Si un appareil compte beaucoup plus de fichiers ouverts ou chiffrés que d'autres, cela peut indiquer le point de départ de l'infection.

4. Identifier le patient zéro

Empêcher des dommages plus vastes de votre système et suivre un ransomware s'avèrent plus simples lorsque l'on sait où l'attaque a commencé. Cherchez à identifier le « patient zéro » : le premier appareil compromis.

Voici comment vous pouvez l'identifier :

• Consultez votre plateforme de surveillance active, vos outils de détection de points de terminaison et de réponse (EDR), ou votre solution anti-ransomware à la recherche d'activités suspectes ;
• Interrogez les membres de votre équipe au sujet d'éventuels e-mails suspects qu'ils auraient ouverts ou de toute autre activité inhabituelle ;
• Vérifiez les propriétés de vos fichiers, car l'employé indiqué comme propriétaire du fichier infecté est souvent situé au point d'entrée.

5. Identifiez le type de ransomware

Il existe différentes formes de ransomware : vous devez donc identifier le type du programme qui attaque votre organisation. Après avoir détecté le programme malveillant, étudiez son comportement et alertez les employés sur la façon dont le ransomware va tenter d'infecter leurs fichiers.

6. Signalez le ransomware aux autorités

Comprendre comment combattre les ransomwares, c'est également prendre rapidement des mesures pour contenir la menace et informer immédiatement les autorités compétentes. Signaler le délit peut vous donner accès à des outils et des capacités plus avancées, qui sont habituellement l'apanage des forces de l'ordre.

En collaborant avec les autorités compétentes, vous pouvez traduire en justice les acteurs malveillants et récupérer vos données volées avant que les attaquants les utilisent pour vous nuire.

7. Éliminez les ransomwares et utilisez vos sauvegardes

Une fois l'infection par ransomware contenue et neutralisée, utilisez une sauvegarde non infectée pour restaurer votre système. Avant de restaurer vos données, utilisez une solution anti-malware ou antivirus pour vous assurer que tous vos appareils infectés sont exempts de scripts susceptibles de déclencher une nouvelle attaque.

Une fois vos données récupérées, vérifiez que vos applications s'exécutent correctement, que vos processus fonctionnent comme prévu et que vos fichiers sont intégralement restaurés avant de reprendre vos opérations normales.

8. Étudiez les options de déchiffrement

Si vous n'avez pas de sauvegarde, vous pouvez parfois récupérer vos données en les déchiffrant à l'aide de clés gratuites qui peuvent permettre de déverrouiller vos données. Recherchez une clé de déchiffrement conçue pour le type de ransomware qui a attaqué vos fichiers.

Appliquez une prévention efficace contre les ransomwares avec Box

Box, leader de l'Intelligent Content Management, vous offre une plateforme cloud native pour sécuriser le stockage de données, le partage de fichiers, la collaboration etc. Nous fournissons à plus de 100 000 organisations plusieurs outils et fonctionnalités conçus pour protéger le contenu de votre entreprise.

Voici comment renforcer vos défenses avec Box :

• Box Shield utilise le machine learning pour faciliter la réduction des risques d'incident lié à un ransomware. Bénéficiez d'alertes rapides sur les attaques de logiciels malveillants et les comptes potentiellement compromis. Box Shield s'intègre facilement à votre portefeuille de sécurité cloud, en complétant les outils dont vous disposez déjà.
• Nos solutions de sécurité et de conformité vous donnent une visibilité et un contrôle complets sur vos données, de sorte que vous pouvez protéger vos opérations avec le chiffrement AES 256 bits, les contrôles granulaires des accès, la classification des données et des méthodes d'authentification robustes.
• Les solutions de sauvegarde dans le cloud de Box vous permettent de sauvegarder des fichiers de tous types, et sont faciles à mettre à niveau si vous avez besoin de plus d'espace. En cas d'incident de perte de données, nous proposons également une sauvegarde sûre dans le cloud, avec plusieurs centres de données et systèmes de sauvegarde pour garantir une disponibilité de 99,9 % et la redondance des services.

Contactez-nous pour découvrir comment Box contribue à protéger votre entreprise contre les ransomwares et d'autres menaces.

Bien que nous maintenions notre engagement indéfectible à offrir des produits et des services de première qualité en matière de protection de la vie privée, de sécurité et de conformité, les informations fournies dans cet article de blog n'ont pas valeur d'avis juridique. Nous encourageons vivement nos clients actuels et potentiels à faire preuve de diligence raisonnable en évaluant la conformité avec les lois applicables.