Ransomware : définition et mécanisme de fonctionnement

Un ransomware — appelé rançongiciel en français — est un logiciel malveillant conçu pour chiffrer les fichiers d’un système informatique et réclamer une rançon en échange de la clé de déchiffrement. Ce type d’attaque informatique a progressivement quitté la sphère des curiosités techniques pour s’imposer comme l’une des menaces les plus redoutées par les organisations de toutes tailles. Des hôpitaux aux multinationales, des collectivités locales aux PME, aucun secteur n’est épargné. La mécanique est brutale : des données deviennent subitement illisibles, un message de rançon s’affiche, un délai commence à s’égrener. La pression est immédiate, souvent paralysante. Ce que révèlent les grandes attaques de ces dernières années, c’est que la menace ne se limite plus au simple chiffrement : les groupes criminels structurés comme de véritables entreprises ont introduit des techniques d’extorsion multiples, ciblant à la fois la disponibilité et la confidentialité des données. Comprendre ce mécanisme en profondeur — de l’infection initiale jusqu’aux stratégies de réponse — est la condition première pour pouvoir s’en prémunir efficacement.

1. Ransomware : définition technique et distinction avec les autres logiciels malveillants
2. Les cinq phases d’une attaque ransomware de A à Z
3. Les principaux vecteurs d’infection utilisés par les cybercriminels
4. Les attaques ransomware les plus marquantes de l’histoire récente
5. Comment fonctionne concrètement le chiffrement utilisé par les ransomwares ?
6. Réagir face à une attaque : les étapes critiques des premières heures
7. Les stratégies de protection efficaces contre les ransomwares

Ransomware : définition technique et distinction avec les autres logiciels malveillants

Le terme ransomware est la contraction des mots anglais ransom (rançon) et software (logiciel). En français, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et le site gouvernemental cybermalveillance.gouv.fr emploient officiellement le terme rançongiciel. La définition fonctionnelle est précise : il s’agit d’un logiciel malveillant qui, une fois exécuté sur un système, rend inaccessibles les données qu’il contient — soit en les chiffrant, soit en verrouillant l’accès au système d’exploitation — puis affiche une demande de rançon à la victime.

Ce qui distingue le ransomware des autres catégories de malwares, c’est son caractère explicitement extorsif. Un virus classique cherche à se reproduire ou à endommager des fichiers silencieusement. Un spyware collecte des informations à l’insu de l’utilisateur. Le ransomware, lui, se manifeste délibérément : l’attaquant a besoin que la victime sache ce qui s’est passé pour espérer recevoir un paiement. Cette logique de chantage numérique le place dans une catégorie à part, à l’intersection du crime organisé et de la cybercriminalité.

Deux grandes familles coexistent. Les crypto-ransomwares chiffrent les fichiers (documents, bases de données, images, archives) sans bloquer le système d’exploitation lui-même — l’ordinateur fonctionne encore, mais les données sont illisibles. Les lockers, moins sophistiqués, verrouillent l’accès à l’interface du système : l’écran affiche uniquement le message de rançon, rendant toute interaction impossible. Les attaques actuelles utilisent presque exclusivement la première catégorie, avec des algorithmes de chiffrement robustes qui rendent toute tentative de récupération sans clé mathématiquement impraticable.

Les cinq phases d’une attaque ransomware de A à Z

Une attaque par ransomware ne se résume pas à un simple clic sur un fichier piégé. Elle suit une progression structurée, souvent planifiée sur plusieurs jours ou semaines avant que la victime ne réalise qu’elle est compromise. Décomposer ces phases permet de comprendre où les défenses peuvent être efficaces — et pourquoi certaines organisations se retrouvent dépassées malgré des mesures apparemment suffisantes.

Phase 1 — Accès initial et reconnaissance

Le premier objectif de l’attaquant est d’obtenir un point d’entrée dans le système cible. Les vecteurs les plus fréquents sont détaillés dans la section suivante, mais dès l’accès obtenu, une phase de reconnaissance silencieuse commence. Le malware ou l’opérateur humain cartographie le réseau : quels lecteurs partagés sont accessibles, où se trouvent les sauvegardes, quels comptes disposent de privilèges administrateurs. Cette phase peut s’étaler sur plusieurs jours. L’attaquant attend souvent un moment stratégique — un vendredi soir, un jour férié, une période de forte activité — pour déclencher le chiffrement quand les équipes de sécurité sont moins disponibles.

Phase 2 — Élévation de privilèges et mouvement latéral

Avec un accès initial souvent limité (compte utilisateur standard, poste de travail isolé), l’attaquant cherche à élever ses privilèges pour obtenir les droits administrateurs. Des outils légitimes du système d’exploitation — PowerShell, WMI, PsExec — sont détournés à cette fin, une technique connue sous le nom de living-off-the-land qui complique la détection par les outils traditionnels. Une fois les privilèges obtenus, le mouvement latéral permet de se propager vers les serveurs de fichiers, les contrôleurs de domaine, les systèmes de sauvegarde. C’est ce qui transforme un incident localisé en catastrophe à l’échelle d’une organisation entière.

Phase 3 — Exfiltration des données (double extorsion)

Depuis 2019-2020, les groupes les plus sophistiqués ajoutent une étape cruciale avant le chiffrement : l’exfiltration des données sensibles. Des gigaoctets de documents confidentiels, de données clients, de contrats ou de dossiers RH sont copiés vers des serveurs contrôlés par les attaquants. Cette copie préalable constitue le levier de la double extorsion : même si la victime dispose de sauvegardes et peut restaurer ses systèmes sans payer, elle reste exposée à la publication de ces données sur des sites dédiés (leak sites), avec les conséquences juridiques et réputationnelles que cela implique.

Phase 4 — Chiffrement massif

Le déclenchement du chiffrement est l’étape visible de l’attaque. Les ransomwares modernes combinent deux algorithmes complémentaires : un chiffrement symétrique (généralement AES-256) pour sa rapidité sur de gros volumes de données, et un chiffrement asymétrique (RSA-2048 ou courbes elliptiques) pour protéger la clé symétrique. Concrètement, chaque fichier est chiffré avec une clé unique, elle-même chiffrée avec la clé publique de l’attaquant. Sans la clé privée correspondante, conservée sur les serveurs de l’attaquant, aucun décryptage n’est possible. Le brute-force — tenter de deviner la clé par essais successifs — est mathématiquement hors de portée avec les algorithmes actuels et les capacités de calcul disponibles.

Phase 5 — Demande de rançon et négociation

Une fois le chiffrement terminé, le message de demande de rançon s’affiche sur chaque machine compromise. Il indique le montant exigé (généralement en cryptomonnaie, le plus souvent en Bitcoin ou Monero), un délai avant augmentation ou destruction des données, et un lien vers une interface de communication sécurisée. Les groupes les plus organisés disposent de véritables portails de négociation, parfois avec un service client réactif. Certains proposent même un déchiffrement gratuit de quelques fichiers en guise de « preuve de vie » pour démontrer que le paiement donnera bien accès à une clé fonctionnelle.

Les principaux vecteurs d’infection utilisés par les cybercriminels

Comprendre par où les ransomwares s’introduisent dans les systèmes est fondamental pour construire des défenses pertinentes. Les trois vecteurs suivants représentent la grande majorité des incidents documentés par les agences de sécurité européennes et nord-américaines.

Le phishing : la porte d’entrée privilégiée

L’email malveillant reste, de loin, le vecteur le plus utilisé. Une campagne de phishing bien construite imite un fournisseur connu, un service administratif ou un collègue interne. La pièce jointe est un document Office avec une macro malveillante, un fichier PDF exploitant une faille du lecteur, ou un lien vers un site d’exploitation. Le spear-phishing pousse la personnalisation encore plus loin : l’attaquant étudie au préalable l’organigramme, les fournisseurs et les projets en cours de l’organisation via LinkedIn ou les documents publics disponibles en ligne, pour rédiger un message suffisamment crédible pour tromper même un utilisateur averti.

Les accès RDP exposés et mal sécurisés

Le protocole RDP (Remote Desktop Protocol), qui permet l’accès distant aux postes de travail Windows, a été massivement ouvert pendant la période de généralisation du télétravail. Des millions de ports 3389 sont restés exposés directement sur Internet, accessibles avec des identifiants faibles ou réutilisés depuis d’autres services compromis. Des places de marché clandestines vendent ces accès compromis pour quelques dizaines de dollars. Un attaquant achète l’accès, élève ses privilèges, dépose le ransomware. L’ensemble de l’opération peut prendre quelques heures seulement.

Les vulnérabilités logicielles non corrigées

La faille EternalBlue, exploitée par WannaCry en 2017, avait été corrigée par Microsoft deux mois avant l’attaque. Des centaines de milliers de systèmes n’avaient toujours pas appliqué le patch. Ce schéma se répète régulièrement avec Log4Shell, ProxyLogon sur Exchange, ou les vulnérabilités Citrix et Fortinet. Les groupes criminels surveillent activement la publication des CVE (Common Vulnerabilities and Exposures) et développent des exploits en quelques jours. La fenêtre de vulnérabilité — entre la publication d’un correctif et son déploiement effectif dans les organisations — est précisément le moment choisi pour lancer les campagnes d’exploitation à grande échelle. Pour approfondir les mécanismes de sécurité liés au stockage des données, la ressource sur la sécurité du stockage des données offre un éclairage complémentaire utile.

Les attaques ransomware les plus marquantes de l’histoire récente

L’histoire des ransomwares est jalonnée d’incidents qui ont redéfini la perception du risque numérique — non plus comme une menace abstraite, mais comme une réalité capable de paralyser des infrastructures critiques, de mettre en danger des vies humaines et de coûter des milliards à l’économie mondiale.

WannaCry (2017) : le premier choc mondial

WannaCry reste l’attaque de référence. En mai 2017, ce ransomware exploitant la faille EternalBlue s’est propagé comme un ver à travers 150 pays en quelques heures. Plus de 230 000 systèmes ont été touchés. Le NHS britannique a été paralysé — des opérations ont été reportées, des patients réorientés vers d’autres établissements. Renault a stoppé plusieurs lignes de production en France. Toyota a suspendu des activités au Japon. Le coût total de l’incident a été estimé à plusieurs milliards de dollars. Un chercheur en sécurité a découvert un « kill switch » codé dans le malware, ce qui a limité l’ampleur finale des dégâts, mais la démonstration était faite : un ransomware pouvait provoquer une disruption mondiale en quelques heures. Pour comprendre en détail la mécanique d’une attaque ransomware, plusieurs analyses techniques détaillées sont disponibles en ligne.

Colonial Pipeline (2021) : les infrastructures critiques sous pression

En mai 2021, le groupe DarkSide a frappé Colonial Pipeline, opérateur du plus grand oléoduc des États-Unis approvisionnant la côte Est en carburant. La direction a choisi d’arrêter les opérations par précaution, le temps d’évaluer l’étendue de la compromission. Les conséquences ont été immédiates : pénuries dans plusieurs États, files d’attente aux stations-service, état d’urgence décrété dans 17 États américains. L’entreprise a versé environ 4,4 millions de dollars en bitcoin. Le FBI a ensuite réussi à récupérer une partie de la rançon. Cet incident a définitivement inscrit les ransomwares dans l’agenda des gouvernements comme menace pour la sécurité nationale, et non plus seulement comme problème de cybersécurité d’entreprise.

Les hôpitaux français : cibles répétées

La France a été frappée à plusieurs reprises dans ses établissements de santé. Le CHU de Rouen en 2019, l’hôpital de Dax en 2021, le Centre Hospitalier Sud Francilien de Corbeil-Essonnes en 2022 — dans ce dernier cas, le groupe LockBit a publié 11 Go de données après que l’établissement a refusé de payer les 10 millions d’euros demandés. Des dossiers patients, des données RH, des contrats se sont retrouvés en ligne. Ces attaques ont des conséquences concrètes sur les soins : systèmes de monitoring débranchés, personnel contraint de revenir aux procédures papier, soins reportés. L’ANSSI a depuis multiplié les ressources et alertes dédiées au secteur hospitalier, identifié comme cible prioritaire des groupes criminels.

Comment fonctionne concrètement le chiffrement utilisé par les ransomwares ?

Le chiffrement est le cœur technique du ransomware. C’est ce qui rend l’attaque aussi difficile à contrer une fois déclenchée. Comprendre son fonctionnement permet de saisir pourquoi il n’existe pas de solution miracle pour récupérer des données sans la clé de l’attaquant.

Les ransomwares modernes n’utilisent pas un seul algorithme mais une combinaison hybride. Le chiffrement symétrique (AES-256) est appliqué directement aux fichiers : rapide et efficace, il peut traiter des centaines de gigaoctets en quelques minutes. Mais sa faiblesse réside dans la gestion de la clé : si la clé symétrique était stockée localement, un analyste pourrait la retrouver. C’est pourquoi cette clé est elle-même chiffrée avec un algorithme asymétrique (RSA-2048 ou courbes elliptiques Curve25519), dont la clé publique est intégrée dans le malware et la clé privée conservée sur les serveurs de l’attaquant.

Le résultat de cette architecture à deux niveaux est qu’il n’existe aucune faiblesse exploitable par la force brute dans un délai raisonnable. Casser une clé RSA-2048 demanderait, selon les estimations actuelles, des ressources de calcul et un temps astronomiques — bien au-delà de tout ce qui est techniquement disponible. Cette robustesse mathématique n’est pas une vulnérabilité du système attaqué : c’est la même technologie que celle utilisée pour sécuriser les communications bancaires ou les transactions en ligne. Les attaquants retournent simplement ces outils légitimes contre leurs victimes.

Une nuance importante : certains ransomwares moins sophistiqués ont présenté des failles dans leur implémentation cryptographique — clés générées avec des sources d’aléatoire prévisibles, clés transmises en clair dans certaines conditions réseau. Ces erreurs ont parfois permis aux chercheurs en sécurité de développer des outils de déchiffrement gratuits, disponibles sur des plateformes comme No More Ransom (projet soutenu par Europol et plusieurs éditeurs de cybersécurité). Mais les groupes professionnels corrigent rapidement ces erreurs. Pour les ransomwares actuels des groupes structurés, il n’existe généralement aucun outil de déchiffrement alternatif.

Réagir face à une attaque : les étapes critiques des premières heures

Les premières minutes après la détection d’une attaque par ransomware sont décisives. Une réaction mal organisée peut aggraver considérablement la situation — propager davantage le malware, détruire des preuves forensiques utiles, ou prendre des décisions financières irréversibles sous la pression.

Isolation immédiate des systèmes compromis

La priorité absolue est d’isoler les machines compromises du reste du réseau pour stopper la propagation latérale. Concrètement : débrancher le câble Ethernet, désactiver le Wi-Fi, couper les accès VPN. Il est généralement déconseillé d’éteindre les machines immédiatement — la mémoire vive peut contenir des artefacts forensiques précieux, notamment des fragments de clés de chiffrement ou des traces de processus actifs utiles pour l’analyse ultérieure. L’équipe de sécurité interne ou le prestataire MSSP doit être alerté sans délai. L’objectif est de cartographier rapidement le périmètre exact : quels systèmes sont touchés, quelles sauvegardes sont intactes et accessibles, quels comptes ont été compromis.

La question du paiement de la rançon

L’ANSSI et cybermalveillance.gouv.fr déconseillent formellement de payer la rançon. Les raisons sont factuelles : le paiement finance les groupes criminels et les incite à poursuivre leurs activités ; il ne garantit pas la récupération des données (environ 20 % des victimes ayant payé ne récupèrent pas l’intégralité de leurs fichiers) ; il signale la victime comme une cible qui paie, augmentant le risque d’attaques futures. Toutefois, la décision est rarement simple dans les situations réelles. Pour un hôpital dont des patients sont en danger ou une PME sans sauvegardes avec vingt ans d’historique client, le calcul est plus complexe. Cette décision doit impérativement être prise avec un accompagnement juridique et technique spécialisé, et non dans la panique des premières heures.

Obligations légales : plainte et notification RGPD

Déposer plainte auprès de la police ou de la gendarmerie est une démarche obligatoire pour activer certaines garanties d’assurance cyber. Pour toute organisation traitant des données personnelles, la notification à la CNIL dans les 72 heures suivant la découverte de l’incident est une obligation imposée par le RGPD. Le non-respect de cette obligation expose l’organisation à des sanctions administratives supplémentaires, indépendantes des conséquences de l’attaque elle-même. La plateforme cybermalveillance.gouv.fr permet d’être mis en relation avec des prestataires certifiés PRIS (Prestataires de Réponse aux Incidents de Sécurité).

Les stratégies de protection efficaces contre les ransomwares

La protection antivirus traditionnelle ne constitue plus, à elle seule, une défense suffisante. Les ransomwares modernes utilisent des techniques d’évasion avancées — chiffrement de leurs propres charges utiles, exploitation d’outils système légitimes — qui contournent facilement les signatures statiques. Une stratégie de défense efficace repose sur plusieurs couches complémentaires, chacune couvrant les angles morts des autres.