Ransomware PME : se protéger et réagir en Belgique

Une PME belge peut se protéger efficacement du rançongiciel sans budget de grand groupe : l'essentiel tient à quelques mesures ciblées (authentification forte, mises à jour, sauvegardes immuables, sensibilisation) et à un plan de réaction préparé à l'avance. En 2023, 22,3 % des entreprises belges ont subi les conséquences d'un incident de sécurité [1].

Qu'est-ce qu'un ransomware et comment se déroule une attaque ?

Un ransomware, ou rançongiciel, est un logiciel malveillant qui chiffre les fichiers d'une organisation pour les rendre inutilisables, puis réclame une rançon en échange de la clé de déchiffrement. Depuis quelques années, les attaquants ajoutent une seconde pression : ils volent les données avant de les chiffrer et menacent de les publier, une technique dite de double extorsion.

Une attaque suit presque toujours les mêmes grandes étapes. L'intrusion initiale se fait le plus souvent par un courriel piégé, un mot de passe volé ou une faille non corrigée sur un service exposé à Internet. Une fois entré, l'attaquant explore discrètement le réseau, élève ses privilèges et repère les serveurs et les sauvegardes. Le chiffrement n'intervient qu'à la fin, souvent la nuit ou un week-end, quand personne ne surveille.

Comprendre cette chronologie est utile pour une raison simple : entre l'intrusion et le chiffrement, il s'écoule fréquemment plusieurs jours. Cette fenêtre est précisément celle où une PME correctement outillée peut détecter l'anomalie et couper la progression avant le blocage total. Il n'existe aucune protection absolue, mais chaque étape franchie par l'attaquant offre une occasion de l'arrêter.

Pourquoi les PME belges sont-elles des cibles privilégiées ?

Le rançongiciel figure durablement parmi les principales menaces recensées en Europe, et il ne vise pas que les grandes entreprises [2]. Les petites et moyennes structures sont même souvent visées en priorité, non parce qu'elles détiennent des données plus précieuses, mais parce qu'elles sont statistiquement moins bien défendues.

Plusieurs facteurs expliquent cette exposition :

• Des moyens de sécurité limités : pas d'équipe dédiée, des outils grand public, une supervision partielle ou absente.
• Une surface d'attaque mal cartographiée : accès distants ouverts pendant la pandémie et jamais refermés, serveurs oubliés, comptes d'anciens collaborateurs encore actifs.
• Une dépendance forte à l'informatique : une PME à l'arrêt quelques jours perd du chiffre d'affaires et la confiance de ses clients, ce qui augmente la tentation de payer.

Le SPF Économie souligne que la cybersécurité est devenue un enjeu central pour les PME belges, au-delà des seules grandes organisations [5]. Autrement dit, l'idée rassurante du « nous sommes trop petits pour intéresser qui que ce soit » ne correspond plus à la réalité du marché des rançongiciels, largement industrialisé et automatisé.

Comment se protéger d'un rançongiciel : les mesures qui comptent vraiment ?

La bonne nouvelle est que la majorité des attaques exploitent un petit nombre de faiblesses connues. Une PME n'a pas besoin de tout faire : elle doit faire les bonnes choses, dans le bon ordre. Les agences de cybersécurité convergent sur un socle de mesures à fort impact [3].

1. Activer l'authentification multifacteur (MFA) partout où c'est possible, en priorité sur la messagerie, les accès distants (VPN, bureau à distance) et les comptes administrateurs. Un mot de passe volé ne suffit alors plus à entrer.
2. Corriger les vulnérabilités rapidement : appliquer les mises à jour de sécurité des systèmes, des logiciels et surtout des équipements exposés à Internet, qui sont les portes d'entrée les plus fréquentes.
3. Mettre en place des sauvegardes immuables et hors ligne : au moins une copie que personne, même un administrateur compromis, ne peut effacer ni modifier pendant une durée définie. C'est la mesure qui permet de restaurer sans payer.
4. Segmenter le réseau : cloisonner les postes, les serveurs et les sauvegardes pour qu'une machine infectée ne contamine pas l'ensemble du système.
5. Sensibiliser les équipes : la plupart des intrusions commencent par un clic. Des collaborateurs entraînés à repérer un courriel suspect constituent une ligne de défense décisive.

Ces mesures se renforcent mutuellement. La règle de sauvegarde dite « 3-2-1 » (trois copies, sur deux supports différents, dont une hors site) reste une base solide, à condition d'y ajouter l'immuabilité et de tester régulièrement la restauration. Une sauvegarde qu'on ne sait pas restaurer n'est pas une sauvegarde.

Pour une vision plus complète de votre posture, un audit de cybersécurité et de conformité RGPD permet d'identifier les écarts prioritaires avant qu'ils ne soient exploités. Aucune de ces mesures ne garantit une sécurité absolue, mais leur combinaison réduit fortement la probabilité et l'impact d'une attaque.

Comment détecter une attaque avant qu'elle ne se propage ?

La prévention ne dispense pas de la détection. Puisque plusieurs jours séparent souvent l'intrusion du chiffrement, savoir repérer les signaux faibles change tout. Une PME n'a pas besoin d'un centre de surveillance à plein temps pour progresser sur ce terrain.

Quelques signaux méritent une vigilance particulière : des connexions à des heures inhabituelles, la création de comptes administrateurs inconnus, la désactivation soudaine de l'antivirus, ou des sauvegardes qui échouent sans raison claire. Un outil de détection sur les postes et serveurs (EDR) alerte automatiquement sur ces comportements anormaux et permet d'isoler une machine à distance.

Beaucoup de PME belges externalisent cette surveillance auprès d'un prestataire, sous forme de service géré. C'est une option raisonnable, à condition de vérifier concrètement ce que couvre le contrat : périmètre surveillé, délais de réaction annoncés, plan de réversibilité et références. Un engagement de niveau de service doit rester réaliste et vérifiable, jamais une promesse de protection totale.

Que faire en cas d'attaque par ransomware ?

Le moment de l'attaque n'est pas celui où l'on improvise. Une PME qui a préparé et documenté sa marche à suivre limite considérablement les dégâts. Voici les priorités, dans l'ordre.

Isoler, pas éteindre. Déconnectez immédiatement les machines touchées du réseau (câble débranché, Wi-Fi coupé) pour stopper la propagation, mais évitez d'éteindre brutalement les serveurs : certains éléments utiles à l'analyse disparaissent à l'extinction. Coupez aussi les accès distants et les connexions aux sauvegardes encore saines.

Ne pas payer par réflexe. Les autorités déconseillent le paiement de la rançon : rien ne garantit la restitution des données, le versement finance l'activité criminelle et signale l'entreprise comme une cible qui paie [4]. Le paiement doit rester un dernier recours envisagé avec un accompagnement spécialisé et juridique, pas une réaction de panique.

Alerter et documenter. Prévenez la direction, votre prestataire informatique et, selon les cas, votre assureur. En Belgique, le Centre pour la Cybersécurité Belgique et le portail Safeonweb proposent des ressources pour signaler et gérer un incident. Notez l'heure des faits, les machines concernées et les messages affichés : ces éléments serviront à l'enquête et aux notifications légales.

Restaurer depuis des sauvegardes vérifiées. Une fois l'intrusion comprise et l'accès de l'attaquant coupé, reconstruisez à partir des sauvegardes saines, après vous être assuré qu'elles ne sont pas elles-mêmes compromises. C'est ici que l'investissement dans des copies immuables porte ses fruits.

• À faire : isoler, préserver les traces, notifier, restaurer depuis des sauvegardes contrôlées.
• À éviter : payer dans l'urgence, réutiliser des identifiants potentiellement volés, remettre en service sans avoir compris le point d'entrée.

Quelles obligations légales après une attaque en Belgique ?

Une attaque par rançongiciel n'est pas qu'un problème technique : c'est aussi, très souvent, une violation de données à caractère personnel. Dès que des données sont chiffrées, volées ou rendues indisponibles, les obligations du RGPD s'appliquent et ne doivent jamais être minimisées.

Concrètement, l'entreprise doit évaluer le risque pour les personnes concernées (clients, employés, fournisseurs). Si ce risque n'est pas improbable, la violation doit être notifiée à l'Autorité de protection des données dans un délai de 72 heures après en avoir pris connaissance, conformément à l'article 33 du RGPD [6]. Lorsque le risque est élevé, les personnes touchées doivent elles aussi être informées. Ces obligations existent indépendamment de la question du paiement de la rançon.

Certaines organisations relèvent en outre de la directive NIS2, qui impose ses propres exigences de sécurité et de signalement d'incident. Si votre secteur est concerné, ces obligations se cumulent avec celles du RGPD : notre guide sur la conformité NIS2 pour les PME belges détaille le périmètre et les démarches. En cas de doute sur votre situation réglementaire, il est prudent de faire vérifier votre exposition plutôt que de découvrir vos obligations le jour d'une crise.

Anticiper le volet légal fait partie intégrante de la protection : une PME qui sait à l'avance qui notifier, dans quels délais et avec quelles informations traverse la crise avec beaucoup plus de sérénité. Chez ITOPS.be, nous accompagnons les PME belges selon une logique en deux temps, un Blueprint (cadrage de la posture de sécurité, plan de sauvegarde et de réaction) suivi d'un Build (mise en œuvre des mesures et tests de restauration), pour que la protection contre le rançongiciel soit conçue puis réellement déployée, pas seulement recommandée.

Questions fréquentes

Faut-il payer la rançon en cas d'attaque par ransomware ?

Les autorités déconseillent de payer : rien ne garantit la récupération des données, le paiement finance l'écosystème criminel et désigne l'entreprise comme cible rentable pour une nouvelle attaque [4]. La priorité est d'isoler, de restaurer depuis des sauvegardes et de notifier les autorités compétentes.

Une petite PME est-elle vraiment une cible pour les rançongiciels ?

Oui. Le rançongiciel reste l'une des principales menaces en Europe et frappe des organisations de toute taille, souvent parce que les petites structures sont moins protégées [2]. En Belgique, 22,3 % des entreprises ont subi les conséquences d'un incident de sécurité en 2023 [1].

Une attaque par rançongiciel doit-elle être déclarée à l'Autorité de protection des données ?

Si des données personnelles sont chiffrées, exfiltrées ou rendues indisponibles, l'incident constitue en général une violation de données à notifier à l'Autorité de protection des données dans les 72 heures au titre de l'article 33 du RGPD, sauf risque improbable pour les personnes concernées [6].

Qu'est-ce qu'une sauvegarde immuable et pourquoi est-elle essentielle ?

Une sauvegarde immuable ne peut être ni modifiée ni supprimée pendant une durée définie, y compris par un administrateur compromis. Conserver au moins une copie hors ligne ou immuable est la mesure qui permet de restaurer sans payer après un chiffrement [4].

Sources et Références

1. Statbel : Une entreprise sur cinq victime d'un incident de sécurité
2. ENISA : ENISA Threat Landscape 2024
3. CISA : StopRansomware Guide (bonnes pratiques de prévention)
4. CISA : How can I protect against ransomware ? (sauvegardes, non-paiement)
5. SPF Économie : La cybersécurité au sein des PME belges
6. GDPR / RGPD : Article 33 - Notification d'une violation à l'autorité de contrôle