Un lundi matin, Daniel A. arrive à l'atelier avant tout le monde. Les machines sont sous tension, mais l'écran de supervision affiche un message qu'il ne comprend pas : ses fichiers sont verrouillés et une adresse anonyme réclame un paiement pour les débloquer. En quelques heures, c'est toute la production qui s'arrête — pas à cause d'une panne mécanique, mais parce qu'un ransomware — un logiciel qui verrouille vos fichiers et exige une rançon — a pris ses données en otage.
Ce scénario n'a rien d'exceptionnel, et il ne vise pas les grands groupes en priorité. Les ateliers de sous-traitance, les fiduciaires, les cabinets : ce sont justement les organisations les moins préparées qui font les meilleures cibles. Comprendre pourquoi, c'est déjà commencer à se défendre.
Pourquoi une PME industrielle est une cible de choix pour un ransomware
Un ransomware — ou rançongiciel — est un logiciel malveillant qui chiffre vos fichiers, c'est-à-dire qu'il les rend illisibles avec une sorte de cadenas numérique, puis vous réclame une rançon pour vous rendre la clé. Tant que vous ne payez pas — et souvent même après — vos plans, vos gammes d'usinage, votre comptabilité et votre carnet de commandes restent inaccessibles.
La première idée fausse à évacuer : on n'est pas visé parce qu'on est important, mais parce qu'on est joignable. Les attaquants ne choisissent pas une PME sur un carnet d'adresses. Ils lancent des programmes automatiques qui balaient Internet à la recherche d'une porte mal fermée — une messagerie où l'on clique sur une pièce jointe piégée, un logiciel qu'on n'a pas mis à jour depuis des mois, un accès à distance protégé par un simple mot de passe. Quand la porte cède, le programme entre, se propage, et chiffre tout ce qu'il trouve.
Or une PME industrielle cumule souvent les portes entrouvertes. Le réseau est « à plat » : le poste de la comptabilité et la machine à commande numérique de l'atelier parlent sur le même câble, si bien qu'une infection côté bureau se répand jusqu'à la production. Un vieux poste de supervision tourne sous un système que « le logiciel machine ne supporte plus autrement », donc jamais mis à jour. Les sauvegardes existent — Marc K., le référent informatique à mi-temps, en est certain — mais personne n'a jamais vérifié qu'on savait vraiment les restaurer. Et il n'y a pas d'équipe informatique à plein temps pour surveiller tout cela.
Ajoutez un point que Daniel A. connaît bien : dans l'usinage de précision, l'arrêt coûte immédiatement. Chaque heure sans production, c'est une commande qui prend du retard, un client qui s'impatiente, des plans techniques — souvent la propriété intellectuelle d'un donneur d'ordre — soudain hors de portée. Les attaquants le savent : une entreprise qui perd de l'argent chaque heure est une entreprise tentée de payer vite, sans réfléchir.
Souvent, c'est un événement extérieur qui ouvre les yeux. Un confrère de la région se fait chiffrer ses données et reste trois jours à l'arrêt ; un donneur d'ordre commence à poser des questions sur la manière dont ses plans sont protégés. Daniel A. réalise alors que la question n'est plus « est-ce que ça peut m'arriver ? » mais « est-ce que je serais capable de redémarrer si ça m'arrivait demain ? ». C'est une bien meilleure question, parce qu'elle appelle des réponses concrètes.
En clair (Camille). Le ransomware ne teste pas votre importance, il teste vos serrures. Une PME de quelques dizaines de personnes n'a pas moins de valeur qu'un grand groupe aux yeux d'un attaquant — elle a simplement, trop souvent, des serrures plus faciles à crocheter.
Ce qu'il faut retenir
Trois idées suffisent à changer de posture, sans devenir un expert.
On ne vous vise pas, on vise une faille. L'attaque est industrielle et automatique. La bonne question n'est donc pas « suis-je une cible intéressante ? » mais « quelles portes ai-je laissées ouvertes ? ». C'est une question à laquelle on peut répondre, poste par poste, accès par accès.
Payer ne règle rien. Rien ne garantit qu'on vous rende vos données, ni qu'une copie n'ait pas déjà été volée au passage. L'Office fédéral de la cybersécurité (OFCS, l'ancien NCSC) déconseille de céder à la demande de rançon et invite à signaler l'incident. Et si des données personnelles ont fuité, la nLPD — la loi suisse sur la protection des données — peut vous obliger à annoncer la violation à l'autorité compétente. Payer, c'est financer l'attaque suivante sans récupérer la vôtre.
La protection tient à des habitudes, pas à un produit miracle. Aucun logiciel ne vous « rend inattaquable ». Ce qui fait la différence, ce sont des sauvegardes qu'on a réellement testées, des accès verrouillés et un réflexe partagé au premier signe suspect. Rien de tout cela ne demande le budget d'un grand groupe : ce sont des décisions d'organisation, pas d'informatique.
Les gestes à installer cette semaine
Voici trois gestes que Daniel A. peut lancer sans investissement lourd et sans attendre une refonte informatique. Ils ne remplacent pas une vraie préparation — c'est l'objet du blueprint — mais ils ferment déjà les portes les plus faciles.
1. Testez une vraie restauration, pas seulement l'existence des sauvegardes
« On a des sauvegardes » ne veut rien dire tant qu'on n'a pas récupéré un fichier à partir d'elles. Cette semaine, demandez à Marc K. de choisir un dossier au hasard et de le restaurer réellement, puis de vérifier qu'il s'ouvre. Vous découvrirez peut-être que la sauvegarde est incomplète, trop ancienne, ou branchée en permanence sur le réseau — donc chiffrable en même temps que le reste. C'est exactement ce qu'il vaut mieux apprendre un mardi tranquille qu'un lundi de crise.
2. Fermez les portes d'entrée les plus faciles
Deux serrures rapides. D'abord, activez la double authentification (MFA) — en plus du mot de passe, une seconde preuve, par exemple un code sur le téléphone — partout où l'on se connecte depuis l'extérieur : messagerie, accès distant à l'atelier. Un mot de passe volé ne suffit alors plus à entrer. Ensuite, rappelez à l'équipe le réflexe le plus rentable qui soit : dans le doute sur une pièce jointe ou un lien, on ne clique pas, on demande. La plupart des rançongiciels entrent par un clic de trop.
3. Préparez la fiche « qui appeler » avant d'en avoir besoin
En pleine crise, on ne cherche pas un numéro : on l'a déjà. Sur une seule feuille, notez le contact de votre prestataire informatique, celui de votre assurance (vérifiez si votre police couvre le risque cyber) et la marche à suivre pour signaler l'incident à l'OFCS. Ajoutez la première consigne, celle qui limite les dégâts : débrancher du réseau la machine touchée — sans l'éteindre — pour couper la propagation. Affichez cette fiche là où Marc K. et vous la retrouverez les yeux fermés.
Où en êtes-vous vraiment ?
Ces trois gestes ferment les portes les plus visibles. Mais une vraie préparation au ransomware va plus loin : des sauvegardes hors ligne ou « immuables » — qu'une attaque ne peut ni modifier ni effacer —, une séparation nette entre le réseau du bureau et celui de l'atelier, un plan de réponse écrit et un exercice pour le tester avant le jour J. C'est précisément ce que déroule, étape par étape, notre blueprint dédié.
Avant d'en arriver là, encore faut-il savoir où vous en êtes. Cyber Passport ne certifie rien et ne vous déclare pas « protégé » : il vous fait passer une auto-évaluation structurée qui montre, question après question, là où votre organisation tient et là où elle repose encore sur la confiance ou l'habitude. Pour une PME industrielle comme celle de Daniel A., c'est souvent le premier pas concret — celui qui transforme une inquiétude diffuse en un plan clair.
