Un lundi matin, un écran rouge. Vos fichiers sont chiffrés, et une rançon s’affiche en bitcoins. Pour trop de PME québécoises, ce scénario n’est plus théorique. Le Centre canadien pour la cybersécurité, dans sa vue d’ensemble des menaces par rançongiciel 2025-2027, publiée en janvier 2026, classe le rançongiciel comme la principale menace de cybercriminalité pour les infrastructures essentielles du pays. Et les petites entreprises ne sont pas épargnées, loin de là. La bonne nouvelle, c’est que la plupart des attaques exploitent des failles simples, que vous pouvez fermer sans budget d’armée. Voici comment vous y prendre, concrètement.
Pourquoi les rançongiciels s’attaquent aux PME
On imagine souvent le pirate qui vise la grande banque. La réalité est plus terre à terre. Les PME sont ciblées parce qu’elles sont nombreuses, souvent mal protégées, et assez solvables pour payer. Un attaquant préfère cent cibles faciles à une forteresse.
Les chiffres officiels confirment la tendance. Le Centre pour la cybersécurité a relevé davantage d’incidents en 2024 qu’en 2023, et rappelle que le nombre réel dépasse presque certainement les cas déclarés. Beaucoup de dirigeants gardent le silence après une attaque, par crainte pour leur réputation. Les travaux de Statistique Canada sur la cybersécurité et le cybercrime mesurent d’ailleurs les répercussions financières de ces incidents sur les entreprises, et elles sont rarement anodines pour une petite structure.
Autre idée reçue à corriger: la taille ne protège pas. Une entreprise de cinq employés manipule souvent des données clients, des accès bancaires et des courriels tout aussi monnayables que ceux d’un grand groupe. Aux yeux d’un rançongiciel automatisé, vous n’êtes pas une petite entreprise. Vous êtes une adresse IP vulnérable parmi des millions scannées chaque jour.
Ce qui a changé récemment, c’est l’outillage des criminels. Ils utilisent maintenant l’intelligence artificielle pour rédiger des courriels d’hameçonnage sans fautes, et la cryptomonnaie pour encaisser discrètement. Le modèle du rançongiciel comme service permet même à des amateurs de louer des outils d’attaque clés en main. Résultat: la barrière à l’entrée pour attaquer votre PME n’a jamais été aussi basse.
La porte d’entrée: courriel piégé, mot de passe faible, logiciel oublié
Un rançongiciel n’apparaît pas par magie. Il entre par une porte, et ces portes sont presque toujours les mêmes.
La première, c’est le courriel. Un employé clique sur une pièce jointe ou un lien, saisit ses identifiants sur une fausse page, et l’attaquant est dans la place. L’hameçonnage reste le vecteur numéro un, et l’IA le rend plus crédible que jamais.
La deuxième, c’est le mot de passe. Un accès à distance protégé par un simple mot de passe se force en quelques heures. S’il a été réutilisé sur un autre site déjà piraté, c’est encore plus rapide.
La troisième, c’est le logiciel non corrigé. Un pare-feu, un VPN ou un serveur avec une faille publique connue reste une invitation ouverte. Les attaquants scannent Internet en continu pour trouver ces oublis. J’ai vu des intrusions réussir sur des équipements dont le correctif existait depuis des mois.
Cinq gestes qui bloquent la plupart des attaques
Bonne nouvelle: fermer ces portes ne demande ni génie ni fortune. Cinq mesures couvrent l’essentiel du risque pour une PME.
L’authentification multifacteur arrive en tête. En exigeant un second facteur, un code sur le téléphone par exemple, elle neutralise la majorité des vols de mot de passe. Activez-la partout, en priorité sur les courriels et les accès à distance.
Viennent ensuite les mises à jour, la réduction des droits d’accès au strict nécessaire, la formation des équipes à reconnaître un courriel douteux, et un plan de réponse écrit. Le tableau suivant les classe par priorité et par effort.
| Mesure | Ce qu’elle contre | Effort | Priorité |
|---|---|---|---|
| Authentification multifacteur | Vol et réutilisation de mots de passe | Faible | Immédiate |
| Mises à jour et correctifs | Failles logicielles connues | Moyen | Immédiate |
| Sauvegardes 3-2-1 testées | Perte de données, chiffrement | Moyen | Immédiate |
| Droits d’accès minimaux | Propagation interne de l’attaque | Moyen | Élevée |
| Formation au hameçonnage | Clics sur courriels piégés | Faible | Élevée |
| Plan de réponse écrit | Panique et pertes en cas de crise | Faible | Élevée |
Aucune de ces mesures n’est spectaculaire. Mises bout à bout, elles arrêtent la grande majorité des attaques opportunistes. Ma règle: commencez par la multifacteur et les sauvegardes, aujourd’hui, pas le trimestre prochain.
Un mot sur la réduction des droits d’accès, souvent mal comprise. L’idée n’est pas de compliquer la vie de vos employés. Elle est de limiter les dégâts quand un compte est compromis. Si la personne dont le mot de passe a fuité n’avait accès qu’à ses propres dossiers, l’attaquant reste cantonné à une petite zone. Si ce compte était administrateur de tout, il tient l’entreprise entière. Le principe du moindre privilège transforme une catastrophe potentielle en simple incident localisé et maîtrisable.
La sauvegarde 3-2-1, votre dernière ligne de défense
Si tout le reste échoue, la sauvegarde décide de votre survie. C’est elle qui vous permet de dire non à la rançon. Encore faut-il qu’elle soit bien conçue.
La règle du 3-2-1 tient en trois chiffres. Trois copies de vos données. Deux types de supports différents. Une copie hors site ou hors ligne. Pourquoi cette copie isolée? Parce qu’une sauvegarde branchée en permanence au réseau sera chiffrée en même temps que le reste. Elle ne vous protège donc de rien.
Un cran plus loin, visez une copie immuable, impossible à modifier ou supprimer, même par un administrateur. Plusieurs services infonuagiques l’offrent désormais. Contrairement à une idée répandue, payer la rançon ne règle pas tout: une évaluation fédérale récente estimait qu’en moyenne, seulement 60 pour cent des données étaient récupérées après paiement. Vous payez, et vous perdez quand même quatre fichiers sur dix.
Dernier point, et le plus négligé: testez vos restaurations. Une sauvegarde jamais restaurée est une promesse, pas une garantie. Pour beaucoup d’entreprises, la tranquillité passe par le fait de confier la surveillance et les sauvegardes à une équipe d’infogérance qui vérifie tout cela en continu, plutôt que de s’en remettre à la bonne volonté du vendredi après-midi.
Un rançongiciel a frappé: les premières heures
Même bien préparé, on peut être touché. Ce qui se joue dans les premières heures change tout.
Le premier réflexe n’est pas de payer, ni d’éteindre brutalement les machines. C’est d’isoler: débranchez du réseau les appareils atteints pour stopper la propagation, sans les formater. Les preuves serviront à l’enquête.
Ensuite, prévenez les bonnes personnes. Votre prestataire informatique, vos assurances, et selon la nature des données touchées, les autorités. Au Québec, la Loi 25 impose des obligations de déclaration quand des renseignements personnels sont compromis. Ne pas le faire aggrave la facture, juridique cette fois.
C’est là que le plan de réponse écrit prend tout son sens. En pleine crise, personne n’a les idées claires. Une feuille qui dit qui appeler, dans quel ordre, et où trouver les sauvegardes, vaut de l’or. Pendant l’exercice 2024-2025, le Centre canadien pour la cybersécurité a envoyé 336 alertes à plus de 300 organisations, évitant jusqu’à 18 millions de dollars de pertes. La préparation paie, au sens propre.
Questions fréquentes sur les rançongiciels
Faut-il payer la rançon en cas d’attaque?
Les autorités déconseillent de payer. Rien ne garantit la récupération des données, et une évaluation fédérale récente chiffrait à environ 60 pour cent la part des données réellement restaurées après paiement. Payer finance aussi le crime et vous désigne comme cible prête à recommencer. Une sauvegarde saine reste la meilleure réponse.
Mon antivirus suffit-il à me protéger?
Non. L’antivirus bloque une partie des menaces connues, mais il ne couvre ni un mot de passe volé, ni un courriel piégé où l’employé donne ses accès de bon gré. La protection repose sur plusieurs couches: multifacteur, sauvegardes, mises à jour et vigilance humaine.
Qu’est-ce que la règle de sauvegarde 3-2-1?
Elle consiste à garder trois copies de vos données, sur deux types de supports différents, dont une copie hors site ou hors ligne. L’objectif est qu’aucun incident unique, panne, vol ou chiffrement, ne puisse détruire toutes vos copies en même temps.
Une petite entreprise est-elle vraiment une cible?
Oui, et de plus en plus. Les attaquants automatisent leurs recherches et visent les cibles faciles, peu importe leur taille. Une PME mal protégée représente un effort faible pour un gain intéressant, ce qui en fait une proie de choix.
Combien de temps pour se remettre d’une attaque?
Cela varie de quelques heures à plusieurs semaines, selon la qualité des sauvegardes et du plan de réponse. Une entreprise qui teste ses restaurations redémarre souvent en un ou deux juours. Sans sauvegarde fiable, la reprise peut prendre des semaines, quand elle est possible.
