Un ransomware chiffre les fichiers d’une entreprise et exige un paiement pour en restaurer l’accès. En Belgique, le Centre pour la Cybersécurité (CCB) a signalé une moyenne de 22 attaques de ransomware par jour, et une proportion significative de PME déclarent avoir déjà été touchées. Le phénomène n’épargne plus aucun secteur, et les petites structures paient le prix fort d’une protection souvent sous-dimensionnée.
Vol de données avant chiffrement : le vrai levier de pression sur les PME belges
Les articles concurrents décrivent le ransomware comme un logiciel qui chiffre puis réclame une rançon. Ce schéma reste courant, mais il ne reflète plus la mécanique dominante.
Lire également : Les risques liés aux réseaux wifi publics en entreprise
Selon Sophos, la double extorsion est devenue la norme. Les attaquants copient les données sensibles avant de lancer le chiffrement. Si l’entreprise refuse de payer ou restaure ses systèmes via une sauvegarde, ils menacent de publier les fichiers volés. Pour une PME belge qui traite des données clients, des contrats ou des documents comptables, cette menace de divulgation peut causer un préjudice commercial bien supérieur à l’arrêt temporaire de l’activité.
Sophos précise même que le chiffrement n’aboutit pas toujours. Dans certains cas, les attaquants se contentent du vol de données et de la pression par la menace de publication. La rançon ne porte alors plus sur la récupération des fichiers, mais sur le silence.
Lire également : Le phishing évolue avec des méthodes de plus en plus sophistiquées
Ce glissement change la donne pour la défense. Avoir des sauvegardes ne suffit plus. Il faut aussi surveiller les flux sortants, détecter les exfiltrations anormales et cloisonner l’accès aux données sensibles à l’intérieur du réseau.
Compromission d’identité : comment les ransomwares pénètrent le réseau d’une PME
Le vecteur d’entrée principal n’est plus une faille logicielle classique. Sophos indique que 79 % des attaques ransomware débutent par une compromission d’identité : identifiants volés, sessions détournées, accès VPN ou RDP récupérés sur des forums criminels.
Concrètement, un attaquant achète un lot d’identifiants issus d’une fuite de données, teste les combinaisons sur les portails d’accès distant d’entreprises belges, et entre dans le réseau avec un compte légitime. Aucune alerte ne se déclenche, parce que le système voit un utilisateur autorisé.
Pour une PME qui utilise un VPN standard ou un bureau à distance sans authentification multifacteur, le risque est direct. Trois mesures réduisent significativement cette surface d’attaque :
- Activer l’authentification multifacteur (MFA) sur tous les accès distants, y compris les comptes administrateurs et les outils cloud
- Surveiller les connexions inhabituelles (horaires atypiques, géolocalisation incohérente, tentatives multiples échouées)
- Révoquer immédiatement les accès des anciens employés et prestataires, un point souvent négligé dans les structures de moins de 50 personnes
La protection du périmètre réseau reste utile, mais la gestion des identités est devenue le premier rempart contre les ransomwares.
NIS2 et chaîne de fournisseurs : la pression réglementaire qui rattrape les PME belges
La directive européenne NIS2, transposée en droit belge, impose des obligations de cybersécurité aux entreprises considérées comme fournisseurs de services critiques. Beaucoup de PME pensent ne pas être concernées parce qu’elles ne figurent pas directement dans les secteurs visés (énergie, santé, transport).
En réalité, NIS2 touche les PME indirectement via la chaîne de fournisseurs. Une grande entreprise soumise à la directive doit auditer la sécurité de ses prestataires. Si une PME belge fournit des services informatiques, de la logistique ou du support technique à un acteur régulé, elle devra prouver un niveau de sécurité minimal sous peine de perdre le contrat.
Ce mécanisme de cascade transforme la cybersécurité en prérequis commercial. Les PME qui ne documentent pas leurs pratiques de sécurité, leurs politiques de sauvegarde et leur plan de réponse à incident risquent d’être écartées des appels d’offres, indépendamment de toute attaque.
Réponse à incident ransomware : les premières heures décident de tout
La prévention absorbe l’attention, mais les guides opérationnels récents insistent sur un point précis : la qualité de la réaction dans les premières heures détermine l’ampleur des dégâts.
Un ransomware qui se propage dans un réseau non segmenté peut chiffrer l’ensemble des postes et serveurs en moins d’une heure. La séquence de réponse recommandée suit un ordre strict :
- Isoler immédiatement les machines infectées du réseau (déconnexion physique ou désactivation du port réseau) pour stopper la propagation latérale
- Couper les accès VPN et RDP actifs, même ceux qui semblent non compromis, le temps d’évaluer le périmètre touché
- Déconnecter les sauvegardes partagées du réseau pour éviter que le ransomware ne les chiffre aussi, un scénario fréquent quand les sauvegardes sont accessibles via un partage réseau standard
- Contacter le CCB (cert.be) et, si des données personnelles sont exposées, notifier l’Autorité de protection des données dans les délais prévus par le RGPD
Le point le plus critique reste la sauvegarde immuable : une copie de données stockée de manière à ne pouvoir être ni modifiée ni supprimée, même par un administrateur compromis. Sans ce type de sauvegarde, la restauration après une attaque dépend entièrement de la négociation avec les attaquants.
Tester régulièrement la restauration complète à partir de ces sauvegardes est la seule façon de vérifier qu’elles fonctionnent réellement. Plusieurs PME découvrent au moment de l’incident que leurs sauvegardes étaient corrompues ou incomplètes depuis des mois.
La cybersécurité des PME belges se joue désormais sur trois fronts simultanés : la gestion des identités, la conformité réglementaire liée à NIS2, et la capacité à réagir dans un délai très court. Aucun de ces trois axes ne compense l’absence des deux autres.
