Veille technologique

C’est quoi, un rançongiciel ?

Un rançongiciel (ou ransomware) est un logiciel malveillant qui chiffre les données d’une organisation, puis réclame une rançon en échange de la clé de déchiffrement. Une fois entré, il se propage sur le réseau pour toucher le plus de postes et de serveurs possible, sauvegardes comprises s’il les trouve.

Aujourd’hui, les attaquants volent souvent les données avant de les chiffrer, puis menacent de les publier si la victime ne paie pas : c’est la double extorsion. Même avec de bonnes sauvegardes, la fuite de données reste un problème.

Par où entre-t-il ?

• Un courriel piégé (hameçonnage) : pièce jointe ou lien qui installe le logiciel malveillant ou vole un mot de passe.
• Une faille non corrigée sur un équipement exposé à Internet (VPN, pare-feu, serveur).
• Un accès à distance mal protégé : bureau à distance ouvert sur Internet, mot de passe faible ou réutilisé.
• Un prestataire compromis, qui sert de porte d’entrée vers ses clients.

Comment s’en protéger ?

• Appliquer la règle de sauvegarde 3-2-1 (3 copies, 2 supports, 1 hors site), avec au moins une copie hors ligne ou immuable que l’attaquant ne peut pas atteindre.
• Tester régulièrement la restauration : une sauvegarde jamais testée n’est pas une sauvegarde fiable.
• Appliquer les correctifs de sécurité rapidement, en priorité sur les équipements exposés à Internet.
• Activer l’authentification multifacteur sur les accès sensibles et à distance.
• Limiter les droits : un utilisateur n’a pas besoin d’être administrateur de son poste.
• Segmenter le réseau pour freiner la propagation, et sensibiliser les utilisateurs à l’hameçonnage.

Et en cas d’attaque ?

• Isoler immédiatement les machines touchées du réseau, sans les éteindre (utile pour l’enquête).
• Ne pas payer : rien ne garantit la récupération des données, et cela finance les attaquants.
• Se faire accompagner (Cybermalveillance.gouv.fr, ANSSI pour les structures concernées) et déposer plainte.
• Prévenir la CNIL si des données personnelles ont pu fuiter.

Ce que j’en retiens

La protection ne repose pas sur un seul outil : sauvegardes isolées, correctifs, MFA et vigilance des utilisateurs se complètent. Et le jour J, avoir une procédure de réaction prête fait toute la différence.

Sources : ANSSI, Cybermalveillance.gouv.fr, CERT-FR.

Le principe

L’authentification multifacteur combine au moins deux facteurs de nature différente :

• ce que je sais : un mot de passe, un code PIN ;
• ce que je possède : un téléphone, une clé de sécurité ;
• ce que je suis : une empreinte digitale, la reconnaissance du visage.

Si un attaquant vole le mot de passe, par hameçonnage ou dans une fuite de données, il lui manque toujours le second facteur.

Toutes les MFA ne se valent pas

• Code par SMS : mieux que rien, mais le plus faible. Le SMS peut être intercepté ou détourné (échange frauduleux de carte SIM).
• Application d’authentification (code à 6 chiffres qui change toutes les 30 secondes) : bon niveau, gratuit, facile à déployer.
• Notification à valider sur le téléphone : pratique, mais exposée à la « fatigue MFA », quand l’attaquant envoie des demandes en boucle jusqu’à ce que l’utilisateur valide par erreur. Il faut exiger la saisie d’un numéro affiché à l’écran.
• Clé de sécurité physique ou passkey (norme FIDO2) : le plus robuste, car liée au vrai site. Elle ne fonctionne pas sur un faux site d’hameçonnage.

Ses limites

Certains kits d’hameçonnage se placent entre l’utilisateur et le vrai site, et récupèrent la session une fois la MFA validée. Seules les méthodes résistantes à l’hameçonnage (FIDO2, passkeys) bloquent cette technique. La MFA réduit donc fortement le risque, mais ne remplace pas la vigilance.

Où l’activer en priorité ?

• Les comptes administrateurs.
• La messagerie, porte d’entrée de nombreuses attaques.
• Les accès à distance (VPN, bureau à distance) et les services en ligne de l’organisation.

Ce que j’en retiens

La MFA est l’une des mesures les plus efficaces pour un coût faible. Le vrai enjeu est l’accompagnement : une MFA mal expliquée est contournée ou rejetée par les utilisateurs.

Sources : ANSSI, Cybermalveillance.gouv.fr, CNIL.

L’essentiel

• Directive européenne de 2022, à transposer avant le 17 octobre 2024.
• En France, une partie des collectivités serait concernée, sous le contrôle de l’ANSSI.
• Le projet de loi « Résilience », adopté par le Sénat en mars 2025, n’est toujours pas promulgué en septembre 2026.
• En juillet 2026, la Commission européenne a saisi la Cour de justice de l’UE contre la France pour ce retard.
• L’ANSSI a publié en mars 2026 le Référentiel Cyber France (ReCyF), qui détaille les mesures attendues.

Pour une mairie

Pas besoin d’attendre la loi : inventaire, sauvegardes, gestion des accès et des incidents sont déjà des bonnes pratiques, et une partie de mon quotidien.

Sources : ANSSI, suivis spécialisés de la transposition (septembre 2026).

L’essentiel

• Sans mises à jour étendues (ESU, payantes), chaque nouvelle faille reste ouverte.
• Trois options : migrer vers Windows 11, remplacer le matériel incompatible, ou payer l’ESU en solution transitoire.

Pour une mairie

La masterisation Windows 11 que je réalise va dans ce sens : un parc homogène et à jour se sécurise mieux. L’inventaire repère les postes incompatibles.

Sources : Microsoft, CERT-FR.

Le problème

Une faille publiée est vite exploitée. Chaque jour sans correctif augmente le risque.

La réponse

• Déployer depuis un outil central (WSUS, Intune) plutôt que poste par poste.
• Tester sur quelques postes, puis généraliser.
• Traiter en priorité les failles critiques signalées par le CERT-FR.

Et la base : un inventaire à jour. On ne corrige que ce que l’on connaît.

Sources : CERT-FR (ANSSI), Le Monde Informatique.