Qu'est-ce qu'un ransomware ? Définition et principe du rançongiciel

Un ransomware, ou rançongiciel en français, est un logiciel malveillant qui prend en otage les données d'un ordinateur ou de tout un réseau, le plus souvent en les chiffrant, puis exige une rançon en échange de leur restitution. Du jour au lendemain, les photos de famille, les dossiers comptables ou les fichiers des patients d'un hôpital deviennent illisibles, et un message à l'écran explique comment payer, généralement en cryptomonnaie, pour obtenir la clé qui permettrait de les déverrouiller. Apparue à la fin des années 1980 sous une forme rudimentaire, cette menace est devenue en une dizaine d'années l'une des plus redoutées en matière de cybersécurité, au point de paralyser des entreprises internationales, des collectivités, des établissements de santé ou des infrastructures stratégiques. Les attaques actuelles ne se contentent d'ailleurs plus de bloquer les fichiers : elles s'accompagnent souvent d'un vol de données, avec la menace de les publier. Cette définition explique ce qu'est un ransomware, comment il chiffre les données, d'où il vient, par quels chemins il s'introduit dans un système, comment s'organise l'économie criminelle qui l'entoure et quelles mesures permettent de s'en protéger ou de réagir en cas d'attaque.

Qu'est-ce qu'un ransomware ? Définition du rançongiciel

Le mot ransomware est formé de l'anglais ransom, « rançon », et de la fin de software, « logiciel ». Il désigne une famille de malwares, terme général qui regroupe tous les programmes conçus pour nuire, dont la particularité est d'exercer un chantage numérique : bloquer l'accès à un système ou à ses données jusqu'au paiement d'une somme d'argent. Le rançongiciel arrive rarement seul et sous son vrai visage ; il se cache dans une pièce jointe d'apparence banale, un faux logiciel ou une mise à jour piégée, exactement comme le cheval de Troie, qui sert d'ailleurs souvent de porte d'entrée aux attaquants. Une fois actif, il laisse dans chaque dossier une note de rançon, sous la forme d'un fichier texte ou d'une page affichée en plein écran, qui indique le montant exigé, le mode de paiement, souvent une cryptomonnaie comme le bitcoin ou le monero pour compliquer le traçage, et un délai au-delà duquel la rançon augmenterait ou les données seraient détruites. Certains groupes proposent même de déchiffrer gratuitement un ou deux fichiers pour prouver qu'ils détiennent la clé. Les victimes vont du simple particulier à la multinationale, en passant par les mairies, les écoles et les hôpitaux.

Comment un ransomware chiffre-t-il les données ?

Le cœur d'un ransomware moderne est le chiffrement, une technique mathématique qui transforme un fichier lisible en une suite de données incompréhensible, que seule une clé secrète permet de remettre en ordre. Les attaquants combinent généralement deux méthodes. Le chiffrement symétrique, comme l'algorithme AES, utilise la même clé pour verrouiller et déverrouiller : il est très rapide, ce qui permet de traiter des milliers de fichiers en quelques minutes. Le chiffrement asymétrique, comme RSA, repose sur une paire de clés : une clé publique, qui peut seulement verrouiller, et une clé privée, qui seule peut déverrouiller. Le rançongiciel chiffre les fichiers avec une clé symétrique générée sur place, puis enferme cette clé à l'aide de la clé publique des criminels, dont ils sont les seuls à détenir la contrepartie privée. C'est ce qui rend la récupération si difficile : ces algorithmes, les mêmes que ceux qui protègent nos paiements en ligne, ne peuvent pas être « cassés » en pratique. Il arrive pourtant que des erreurs de programmation, ou la saisie des serveurs des criminels par la police, permettent aux chercheurs de publier des outils de déchiffrement gratuits pour certaines familles de ransomwares.

D'où vient le ransomware ? Histoire du rançongiciel

Le premier ransomware connu date de 1989. Baptisé AIDS Trojan ou PC Cyborg, il a été diffusé sur des disquettes envoyées par la poste à des participants d'une conférence sur le sida, sous couvert d'un questionnaire d'information. Après un certain nombre de démarrages de l'ordinateur, il masquait et brouillait les noms des fichiers, puis réclamait l'envoi d'environ 189 dollars à une boîte postale au Panama. Son auteur, un biologiste américain, avait déjà posé les trois ingrédients du genre : blocage des données, demande de rançon et paiement à distance. Pendant une quinzaine d'années, ce type d'attaque reste pourtant marginal, faute de moyen de paiement anonyme et de chiffrement robuste facilement accessible. Au milieu des années 2000, des programmes comme Gpcode commencent à utiliser un véritable chiffrement asymétrique, tandis que d'autres se contentent de bloquer l'écran avec de faux avertissements d'une autorité de police. Le tournant arrive avec l'essor du bitcoin, créé en 2009, qui permet aux criminels d'encaisser des paiements internationaux difficiles à tracer. En 2013, CryptoLocker, diffusé par des pièces jointes piégées, chiffre les fichiers de très nombreuses victimes et rapporte plusieurs millions de dollars à ses opérateurs avant d'être neutralisé en 2014 par une opération internationale associant polices et entreprises de sécurité.

Les attaques de ransomware qui ont marqué les esprits

En mai 2017, WannaCry frappe en quelques jours des centaines de milliers d'ordinateurs dans plus d'une centaine de pays. Il se propage tout seul d'une machine à l'autre en exploitant une faille de Windows, découverte par un service de renseignement américain puis divulguée par des pirates ; Microsoft avait pourtant publié un correctif quelques semaines plus tôt, mais de nombreux systèmes n'étaient pas à jour. Des hôpitaux britanniques doivent reporter des soins, des usines automobiles s'arrêtent. Un mois plus tard, NotPetya se répand à partir d'un logiciel de comptabilité ukrainien piégé et touche de grands groupes internationaux, dont plusieurs entreprises françaises ; on comprend vite qu'il s'agit d'une arme de sabotage déguisée, puisque aucun déchiffrement n'est possible, et les dégâts mondiaux sont estimés à plusieurs milliards de dollars. En 2021, l'attaque contre Colonial Pipeline conduit à l'arrêt préventif d'un grand oléoduc de la côte Est des États-Unis, provoquant des pénuries de carburant. La même année, l'attaque menée via le logiciel de l'éditeur Kaseya touche par rebond des centaines d'entreprises clientes de prestataires informatiques. En France, plusieurs hôpitaux et collectivités ont dû fonctionner en mode dégradé, parfois pendant des semaines, après une attaque.

Comment un ransomware infecte-t-il un ordinateur ?

Les vecteurs d'infection d'un ransomware sont variés et souvent combinés. Le plus répandu reste l'hameçonnage, ou phishing : un courriel convaincant, qui imite une facture, un colis en attente ou un message d'un collègue, contient une pièce jointe piégée ou un lien vers un faux site. Il suffit qu'un document bureautique soit ouvert et que ses macros, de petits programmes intégrés, soient activées pour que le logiciel malveillant se télécharge en arrière-plan. Deuxième grande voie, l'exploitation de failles dans des logiciels non mis à jour : système d'exploitation, navigateur, messagerie, équipements de réseau ou passerelles d'accès à distance exposées sur Internet. Les accès à distance mal protégés constituent d'ailleurs une cible privilégiée, en particulier le protocole de bureau à distance de Windows, lorsqu'il est accessible depuis Internet avec un mot de passe faible ou déjà volé. Les attaquants achètent aussi des identifiants dérobés par d'autres programmes espions, revendus sur des marchés clandestins par des « courtiers en accès initiaux ». Plus rarement, une clé USB infectée ou un logiciel piraté téléchargé sur un site douteux suffit. Enfin, une attaque peut passer par un prestataire de confiance compromis, qui sert alors de rebond pour atteindre ses clients.

Les étapes d'une attaque par ransomware

Les attaques visant les organisations sont rarement instantanées. Une fois entrés, les attaquants prennent souvent le temps d'explorer le réseau : ils repèrent les serveurs importants, les sauvegardes, les comptes d'administrateur, et cherchent à obtenir des droits de plus en plus étendus. Ils se déplacent ensuite d'une machine à l'autre, ce que les spécialistes appellent la propagation latérale, en utilisant souvent des outils d'administration légitimes pour passer inaperçus. Avant de frapper, ils désactivent si possible l'antivirus, suppriment les copies de secours automatiques de Windows et s'attaquent aux sauvegardes accessibles depuis le réseau, afin que la victime n'ait pas d'autre choix que de payer. Dans les attaques récentes, ils copient aussi discrètement une partie des données vers leurs propres serveurs. Le chiffrement proprement dit est déclenché en dernier, souvent la nuit ou pendant un week-end, quand les équipes sont réduites, et il peut toucher des centaines de machines en même temps. Le programme parcourt les disques à la recherche des documents, bases de données, images et archives, les chiffre, change parfois leur extension, puis dépose la note de rançon. Pour un particulier, le scénario est plus simple et plus rapide : le chiffrement suit de près l'ouverture de la pièce jointe piégée.

Double extorsion et ransomware-as-a-service : l'industrialisation du crime

Pour contourner les victimes qui disposaient de bonnes sauvegardes et refusaient de payer, les groupes de ransomware ont inventé à la fin des années 2010 la double extorsion : les données sont volées avant d'être chiffrées, et les criminels menacent de les publier sur un site de fuite si la rançon n'est pas versée. Fichiers clients, contrats, dossiers du personnel ou données médicales deviennent alors un moyen de pression supplémentaire, d'autant plus fort que la divulgation peut engager la responsabilité de l'organisation vis-à-vis de ses clients et des autorités. Certains vont plus loin, avec ce que l'on appelle parfois la triple extorsion : ils contactent directement les clients ou partenaires de la victime, ou lancent une attaque par déni de service contre ses sites pour accroître la pression. Les négociations elles-mêmes se déroulent sur des portails dédiés, avec messagerie, délais affichés et parfois un « service client » chargé d'expliquer comment acheter des cryptomonnaies. Cette professionnalisation brouille les repères : face à la victime ne se trouve plus un pirate isolé mais une organisation structurée, qui calcule le montant de la rançon en fonction de la taille et des finances supposées de sa cible.

Le ransomware-as-a-service, un modèle de franchise criminelle

Le ransomware-as-a-service, abrégé RaaS, reprend le vocabulaire des logiciels vendus par abonnement sur Internet, le software as a service. Une équipe centrale développe le programme malveillant, l'infrastructure de paiement et les sites de fuite, puis loue l'ensemble à des affiliés qui se chargent de pénétrer les réseaux des victimes ; les gains sont ensuite partagés entre eux, la plus grosse part revenant généralement à l'affilié. Ce système permet à des criminels peu compétents techniquement de mener des attaques sophistiquées, et il explique la multiplication des victimes parmi les petites et moyennes entreprises, les collectivités et les professions libérales, souvent moins bien protégées. Plusieurs noms ont dominé ce marché au fil des années, comme REvil, DarkSide, Conti, BlackCat ou LockBit. Autour d'eux gravite tout un écosystème : courtiers qui revendent des accès à des réseaux compromis, services de blanchiment de cryptomonnaies, hébergeurs complaisants. Les polices du monde entier ont multiplié les opérations coordonnées, avec saisies de serveurs, arrestations et publication de clés de déchiffrement, mais les groupes démantelés tendent à se reformer sous d'autres noms, ce qui fait de la lutte contre les rançongiciels un effort de longue haleine.

Quelles sont les conséquences d'une attaque par ransomware ?

Une attaque par ransomware coûte bien plus que la rançon éventuelle. Il y a d'abord l'interruption d'activité : production arrêtée, commandes impossibles à traiter, rendez-vous annulés, salariés contraints de revenir au papier et au crayon. Viennent ensuite les frais de remise en état, avec l'intervention d'experts en réponse à incident, la reconstruction des serveurs, le remplacement de matériels et la communication de crise. La fuite de données entraîne des risques juridiques : en Europe, le RGPD impose de notifier les violations de données personnelles à l'autorité de contrôle, la CNIL en France, et parfois aux personnes concernées, sous peine de sanctions. La réputation peut aussi souffrir durablement, car clients et partenaires s'inquiètent de la sécurité de leurs informations. Quant au paiement, il est vivement déconseillé par les autorités : il ne garantit ni la remise d'une clé fonctionnelle, ni la suppression des données volées, ni l'absence de nouvelle attaque, et il finance directement les groupes criminels. Dans certains pays, payer des groupes visés par des sanctions internationales peut même exposer la victime à des poursuites. Les assureurs, de leur côté, ont fortement durci leurs conditions de couverture du risque cyber.

Comment se protéger d'un ransomware ?

La protection contre les ransomwares repose sur plusieurs couches complémentaires. La première est la mise à jour régulière des systèmes d'exploitation, des logiciels et des équipements réseau, qui referme les failles exploitées par les attaquants. La deuxième, sans doute la plus décisive, concerne les sauvegardes : la règle dite du 3-2-1 recommande de conserver trois copies des données, sur deux supports différents, dont une hors ligne ou hors site, inaccessible depuis le réseau, et de vérifier régulièrement que la restauration fonctionne réellement. En entreprise, il faut aussi limiter les droits de chacun au strict nécessaire, cloisonner le réseau pour qu'une infection ne puisse pas tout atteindre, protéger les accès à distance par une authentification à plusieurs facteurs, qui exige en plus du mot de passe un code reçu sur le téléphone, et déployer des outils de détection capables de repérer des comportements anormaux, comme le chiffrement soudain de nombreux fichiers. La sensibilisation des salariés reste enfin essentielle, car un clic malheureux suffit souvent : des exercices réguliers apprennent à reconnaître un courriel suspect et à le signaler plutôt qu'à l'ouvrir. Préparer à l'avance un plan de réponse, avec les contacts utiles et les procédures de restauration, fait gagner un temps précieux le jour d'une attaque.

Les bons réflexes pour les particuliers, et que faire en cas d'attaque

Pour un particulier, quelques habitudes suffisent à réduire fortement le risque de ransomware : activer les mises à jour automatiques, utiliser un antivirus à jour, ne pas ouvrir de pièce jointe inattendue même si l'expéditeur semble connu, télécharger ses logiciels et applications uniquement depuis les sites et boutiques officiels, et sauvegarder régulièrement ses fichiers importants sur un disque externe que l'on débranche ensuite, ou sur un service en ligne qui conserve les versions précédentes des fichiers. Un gestionnaire de mots de passe et la double authentification protègent en outre les comptes en ligne. Si l'infection survient malgré tout, il faut déconnecter immédiatement l'appareil du réseau, câble et Wi-Fi, pour limiter la propagation, ne pas éteindre brutalement les serveurs en entreprise sans avis d'expert, conserver les preuves, et ne pas payer. En France, le site Cybermalveillance.gouv.fr aide à identifier des prestataires et la plainte peut être déposée auprès de la police ou de la gendarmerie ; le projet international No More Ransom recense quant à lui des outils de déchiffrement gratuits pour certaines familles. Enfin, comme la plupart des rançongiciels arrivent par un courriel trompeur, apprendre à reconnaître le phishing reste l'une des protections les plus efficaces et les moins coûteuses.