Sauvegardes 3-2-1 : la meilleure assurance contre le rançongiciel.
3 copies, 2 supports, 1 hors ligne : la règle qui fait la différence le jour d'une attaque. Et pourquoi une sauvegarde non testée ne compte pas.
C'est la question que tout dirigeant pose dans les premières heures, et celle sur laquelle la plupart des ressources restent évasives. Elle mérite mieux qu'une posture morale : quand la production est à l'arrêt, que les salaires doivent partir vendredi et qu'un compte à rebours tourne sur un écran, « il ne faut pas payer » n'est pas une réponse suffisante.
Voici ce que l'on sait, ce que dit le droit français, et pourquoi la décision se prépare bien avant la nuit où elle se pose.
En résumé
- Payer une rançon n'est pas, en soi, un délit en France : c'est une décision de gestion, pas une infraction. Mais elle est sérieusement encadrée.
- Trois contraintes : le bénéficiaire peut être sous sanctions internationales et vous ne savez pas à qui vous payez ; l'indemnisation par l'assurance est subordonnée au dépôt d'une plainte dans un délai contraint ; et payer n'efface aucune obligation de notification.
- Ce que les victimes découvrent trop tard : payer achète une clé de déchiffrement, pas une restauration. L'outil fourni est lent, imparfait, échoue sur une partie des fichiers et ne remet aucune application en route.
- La double extorsion change la nature du problème : de bonnes sauvegardes règlent le chiffrement, jamais la publication des données déjà copiées. Et une promesse de suppression ne se vérifie pas.
- La décision ne se prend jamais sur le montant, mais sur quatre questions : les sauvegardes sont-elles testées et hors d'atteinte, combien de temps pour redémarrer sans payer, que contiennent les données parties, et qui décide - la direction, pas l'équipe technique à 4 h du matin.
- Négocier n'est pas payer : le dialogue fait gagner du temps pendant l'évaluation des sauvegardes, oblige les attaquants à prouver ce qu'ils détiennent, et renseigne sur l'interlocuteur.
- Dès la première heure et quelle que soit la décision : porter plainte, prévenir l'assureur, et ne rien détruire - isoler oui, réinstaller non.
Ce que le droit français dit, et ne dit pas
Point essentiel, souvent mal compris : payer une rançon n'est pas, en soi, un délit en France. La victime qui paie n'est pas poursuivie pour avoir payé. C'est une décision de gestion, pas une infraction.
En revanche, plusieurs éléments encadrent sérieusement cette décision :
- Le versement peut vous exposer par ailleurs. Si le bénéficiaire est une entité ou une personne sous sanctions internationales, le paiement devient un problème juridique d'une tout autre nature. Or vous ne savez pas à qui vous payez.
- L'assurance est conditionnée. Le droit français subordonne l'indemnisation d'une rançon par un contrat d'assurance au dépôt d'une plainte par la victime, dans un délai contraint après la connaissance de l'infraction. Un paiement fait discrètement, sans plainte, peut donc coûter la garantie.
- Les obligations de notification ne disparaissent pas. Payer ne règle pas la question de la violation de données personnelles ni des déclarations dues au titre de votre secteur ou de NIS2. Le chiffrement des données ne fait pas disparaître le fait qu'elles ont pu être copiées.
La position constante des autorités françaises - ANSSI, ministère de l'Intérieur - est de décourager le paiement. Ce n'est pas de la morale : c'est que le paiement finance le modèle économique qui produit l'attaque suivante, et qu'il désigne votre organisation comme une cible qui paie.
Le point que les victimes découvrent trop tard
Payer achète une clé de déchiffrement, pas une restauration. Ce sont deux choses très différentes. L'outil fourni par les attaquants est souvent lent et imparfait : il faut le lancer machine par machine, il échoue sur une partie des fichiers, et il ne remet pas en route les applications - il rend seulement les fichiers lisibles. Plusieurs organisations ayant payé ont mis autant de temps à redémarrer qu'avec leurs sauvegardes. Elles avaient payé pour rien, ou presque.
La double extorsion change la nature de la question
Le schéma courant ne se limite plus au chiffrement. Les données sont d'abord copiées, puis chiffrées. La menace est double : vous ne pouvez plus travailler, et vos données seront publiées si vous ne payez pas.
Cette évolution a une conséquence qu'il faut regarder en face : de bonnes sauvegardes règlent le premier problème, pas le second. Vous redémarrez en trois jours - et vos données partent quand même en ligne. C'est précisément le cas où la tentation de payer redevient forte alors même que la restauration s'est bien passée.
Or, sur ce second volet, ce qu'on achète est encore plus incertain : la promesse de supprimer des copies. Rien ne permet de la vérifier, personne ne peut prouver une suppression, et l'historique montre des cas de seconde demande quelques mois plus tard, auprès d'organisations qui avaient déjà payé.
Comment la décision se prend réellement
Elle ne se prend jamais sur le seul montant. Les questions qui comptent, dans l'ordre :
- Nos sauvegardes sont-elles intactes et testées ? Pas « existent-elles » - ont-elles été restaurées récemment, pour de vrai ? Une sauvegarde jamais testée est une hypothèse, pas une garantie. Et une sauvegarde accessible depuis le réseau compromis a probablement été chiffrée avec le reste.
- Combien de temps pour redémarrer sans payer ? Ce délai, comparé à ce que l'organisation peut absorber, est le vrai terme de l'arbitrage.
- Que contiennent les données parties ? Des données personnelles, des secrets industriels, des informations couvertes par un secret professionnel ? Cela change l'exposition et les obligations.
- Qui décide ? Cette décision engage l'entreprise. Elle appartient à la direction générale, avec le conseil juridique et l'assureur - jamais à l'équipe technique seule, à 4 h du matin, sous pression.
Ce qu'il faut faire dès la première heure, quelle que soit la décision
Déposez plainte et prévenez votre assureur immédiatement. C'est ce qui conditionne l'indemnisation et vous ouvre l'accès aux services de l'État. Ne détruisez rien : isoler les machines, oui ; les réinstaller tout de suite, non - vous effaceriez les traces nécessaires à comprendre par où l'attaquant est entré, donc à éviter qu'il revienne par le même chemin. Et signalez-vous sur cybermalveillance.gouv.fr, qui oriente vers des prestataires et des interlocuteurs.
Négocier n'est pas payer
Un point mal connu : engager le dialogue ne vous engage pas à payer. Passer par des spécialistes de la négociation permet, indépendamment de la décision finale, de gagner du temps pendant que les équipes évaluent les sauvegardes, d'obtenir une preuve que les attaquants détiennent réellement ce qu'ils prétendent, et de savoir à qui l'on parle. Beaucoup d'organisations ont négocié plusieurs jours, puis n'ont pas payé - le temps gagné avait suffi à restaurer.
La seule réponse durable se prépare à froid
Toutes les organisations qui ont bien traversé cet épisode ont un point commun : elles n'improvisaient pas. Concrètement :
- Des sauvegardes hors ligne ou immuables, que l'attaquant ne peut pas atteindre depuis le réseau qu'il contrôle - c'est le point unique qui fait le plus de différence.
- Une restauration testée, chronométrée, dont on connaît la durée réelle.
- Une position arrêtée d'avance par la direction sur le principe du paiement, écrite, connue.
- Des numéros qui répondent la nuit : assureur, conseil, prestataire de réponse à incident, et un moyen de communiquer si la messagerie d'entreprise est inutilisable.
La bonne question n'est pas « faut-il payer ? ». C'est « dans quel état serons-nous le jour où quelqu'un nous posera cette question ? ». La réponse se construit maintenant, pas cette nuit-là.
Se préparer avant d'avoir à choisir
Kenawek intervient en réponse à incident, et surtout en amont : sauvegardes réellement hors d'atteinte, restauration chronométrée, décisions arbitrées à froid. Parlons-en.