Un lundi matin, Daniel A. apprend qu'un atelier d'usinage du canton, à peine plus grand que le sien, tourne à l'arrêt depuis l'aube. Les machines attendent, les postes affichent tous le même message : les fichiers sont verrouillés, il faut payer pour les récupérer. Personne, sur place, ne sait par où commencer. Une attaque ransomware, il le comprend en raccrochant, ne prévient pas — et Daniel regarde son propre atelier autrement.
Comment se déroule vraiment une attaque ransomware
Un ransomware — on dit aussi rançongiciel — est un logiciel malveillant qui chiffre vos fichiers, c'est-à-dire qui les rend illisibles, puis réclame une rançon pour livrer la clé. Le mot fait peur, mais le déroulé est beaucoup plus banal qu'un film. Dans le cas voisin, tout est parti d'un e-mail piégé : de l'hameçonnage (phishing), un message habillé aux couleurs d'un fournisseur connu, avec une pièce jointe qui semblait légitime. Un collaborateur pressé l'ouvre. À cet instant, rien ne se passe de visible.
L'intrus n'agit pas tout de suite. Il regarde, il se déplace de poste en poste, il repère où sont les sauvegardes et les dossiers qui comptent. Comme dans beaucoup de PME industrielles, le réseau était « plat » : le poste de supervision de l'atelier, la comptabilité et le serveur de plans partageaient le même espace, sans cloison. Ce que l'attaquant touche à un endroit, il finit par l'atteindre partout. Le chiffrement, lui, ne survient qu'à la fin — souvent la nuit ou un week-end, pour maximiser l'effet de surprise et laisser le moins de monde possible pour réagir.
Ce temps d'installation, invisible, est aussi une bonne nouvelle : entre l'e-mail piégé et le blocage, il s'écoule souvent des jours, parfois des semaines. Autrement dit, une attaque ransomware n'est pas un coup de foudre imparable, c'est un cambriolage qui laisse des traces. Une PME qui sait où sont ses données sensibles, qui a séparé l'atelier du bureau et qui garde une sauvegarde inaccessible à distance ne rend pas l'attaque impossible — elle la rend beaucoup moins rentable, et souvent réparable.
Le détail le plus instructif de cette étude de cas n'est pas technique. L'atelier voisin n'était pas négligent : il avait un pare-feu, un antivirus, des sauvegardes, et son référent informatique avait déjà sensibilisé l'équipe. Ce qui a manqué, ce ne sont pas des outils, mais leur mise à l'épreuve. Une faille connue dans un logiciel n'avait pas été corrigée à temps. Les sauvegardes existaient, mais personne n'avait jamais tenté de restaurer réellement à partir d'elles — et elles étaient branchées en permanence, donc chiffrées elles aussi. Ce qui distingue une PME qui encaisse le coup d'une PME qui coule, ce n'est pas le budget : c'est de s'être posé les bonnes questions avant, pas pendant.
Ce qu'il faut retenir
Trois idées méritent de rester, une fois refermé le cas voisin.
D'abord, une attaque ransomware vise moins les moins protégés que les trop confiants. Une PME qui a « fait le nécessaire » il y a deux ans et n'y a plus touché offre une cible plus tranquille qu'on ne l'imagine. La sécurité n'est pas un achat, c'est un entretien.
Ensuite, une sauvegarde n'existe vraiment que le jour où on l'a restaurée. Tant que vous n'avez pas récupéré un fichier depuis votre sauvegarde, vous ne savez pas si elle fonctionne — vous l'espérez. Et si elle reste connectée en permanence au réseau, le rançongiciel la chiffre en même temps que le reste.
Enfin, le pire moment pour improviser, c'est pendant l'incident. Le voisin a perdu des heures précieuses à chercher qui appeler, sous quelle assurance il était couvert, et s'il devait annoncer quelque chose. En Suisse, une fuite de données personnelles peut devoir être annoncée au Préposé fédéral (PFPDT) au titre de la nLPD, la loi suisse sur la protection des données — un réflexe qu'il vaut mieux avoir décidé à froid.
Pour Daniel A., la vraie question n'est donc pas « suis-je à l'abri ? » — personne ne l'est totalement — mais « suis-je prêt à encaisser ? ». Un atelier prêt, c'est un atelier qui redémarre en deux jours à partir d'une sauvegarde saine, au lieu de négocier une rançon dans la panique, sans garantie de récupérer quoi que ce soit. La différence entre les deux tient rarement à un gros investissement. Elle tient à quelques décisions prises tranquillement, un mardi après-midi, avant que le problème n'arrive.
Les gestes à installer cette semaine
Aucun de ces gestes ne demande de budget ni de compétence informatique. Ils demandent une décision.
1. Vérifiez qu'une sauvegarde est hors ligne — et testez-la
Assurez-vous qu'au moins une copie de vos données critiques (plans, ERP, comptabilité) est déconnectée du réseau une fois la sauvegarde terminée : un disque débranché, un stockage que le rançongiciel ne peut pas atteindre parce qu'il n'est pas « visible » en permanence. Puis faites l'exercice le plus utile de la semaine : demandez à restaurer un seul fichier depuis cette sauvegarde. S'il revient intact, vous savez. S'il ne revient pas, vous venez d'éviter une très mauvaise surprise.
2. Écrivez, sur une feuille de papier, qui appelle qui
Un ransomware coupe souvent l'accès à vos e-mails et à vos annuaires internes : le jour de l'incident, votre carnet d'adresses numérique est justement ce qui a disparu. Préparez une fiche simple, imprimée et rangée hors du système : qui décide, quel numéro pour votre référent informatique, celui de votre assurance, celui de l'Office fédéral de la cybersécurité (OFCS/NCSC) qui conseille les PME, et le rappel de vérifier une éventuelle annonce au PFPDT. Ajoutez une consigne claire : on ne paie pas et on ne rebranche rien sans avoir appelé. Cette feuille vaut, le jour J, dix outils sophistiqués.
3. Ralentissez les demandes qui pressent
La plupart des attaques commencent par un message qui crée de l'urgence : une facture à régler, une pièce jointe à ouvrir « avant ce soir ». Convenez avec l'équipe d'un réflexe simple : devant une pièce jointe inattendue ou un lien pressant, on ne clique pas, on vérifie par un autre canal — un appel au fournisseur sur son numéro connu. Et donnez à chacun un moyen de signaler un doute sans crainte d'être jugé. Un collaborateur qui ose dire « j'ai peut-être cliqué » vous fait gagner un temps décisif : plus l'alerte est précoce, plus il reste de marge avant que le chiffrement ne se déclenche.
Ces trois gestes ne remplacent pas une vraie stratégie de protection, et ce n'est pas leur rôle. Ils font autre chose : ils transforment une menace abstraite en une poignée de décisions concrètes que vous pouvez prendre cette semaine, sans attendre le prochain budget ni la prochaine machine. C'est souvent ainsi que commence une PME qui, le jour venu, encaisse au lieu de couler.
Où en êtes-vous vraiment ?
L'atelier voisin n'avait pas moins d'outils que vous. Il n'avait simplement jamais vérifié, à froid, si sa protection tenait la route face à une attaque ransomware réelle. C'est exactement ce que révèle une auto-évaluation : non pas si vous êtes « sécurisé », mais où votre organisation est solide et où elle repose sur des habitudes jamais testées.
Cyber Passport ne certifie rien et ne vous déclare pas conforme. L'outil vous fait passer, question par question, en revue votre préparation — sauvegardes, cloisonnement de l'atelier et du bureau, réponse à un incident — et vous montre noir sur blanc où concentrer vos efforts. Pour aller plus loin et bâtir un plan complet, étape par étape, le blueprint « Préparation ransomware » déroule le comment : sauvegardes immuables, segmentation, plan de réponse et exercice de crise.
