Rançongiciel : payer ou ne pas payer.
La question que tout dirigeant pose et que peu de ressources traitent franchement : cadre juridique français, ce que le paiement achète vraiment, et comment décider.
Un lundi matin, un dirigeant allume son poste et découvre un écran noir : « Vos fichiers ont été chiffrés. Pour les récupérer, versez… ». En quelques heures, la comptabilité, les commandes, les dossiers clients sont devenus illisibles. La question qui décide de tout n'est pas « faut-il payer ? », mais « avons-nous une copie saine, ailleurs, que l'attaquant n'a pas pu toucher ? ». Si la réponse est oui, l'incident dure quelques heures. Si elle est non, il dure quelques semaines - parfois il ne se termine jamais.
Contre le rançongiciel, la meilleure assurance n'est ni l'antivirus, ni la cyberassurance : c'est une sauvegarde saine, isolée et testée. Et la recette tient en trois chiffres : 3-2-1.
En résumé
- La question qui décide de tout n'est pas « faut-il payer » mais « avons-nous une copie saine, ailleurs, que l'attaquant n'a pas pu toucher ». Selon la réponse, l'incident dure des heures ou des semaines.
- La règle 3-2-1 : trois copies, deux types de support, une copie hors site et hors ligne. C'est ce troisième point qu'on néglige le plus, et c'est le seul qui compte vraiment le jour venu.
- Une sauvegarde branchée au réseau pendant l'attaque, c'est un extincteur enfermé dans la pièce en feu : un rançongiciel moderne chasse activement les sauvegardes accessibles pour les effacer.
- Quatre échecs classiques : la sauvegarde était en ligne, la restauration n'a jamais été testée, le périmètre est incomplet (on restaure la coque sans le moteur), les délais ne collent pas au métier.
- Une sauvegarde non testée n'est pas une sauvegarde : c'est une hypothèse. Tant qu'on n'a pas restauré pour de vrai dans un environnement isolé, on ne sait pas si le filet existe.
- RPO et RTO se fixent service par service : une passerelle de paiement arrêtée une heure coûte une fortune, un partage d'archives peut attendre le lendemain.
- Les sauvegardes sont elles-mêmes une cible : comptes dédiés, authentification forte, journalisation - et une procédure exécutable par plusieurs personnes, pas seulement par l'expert en vacances ce jour-là.
La règle 3-2-1 : ceinture, bretelles et parachute
Recommandée de longue date par l'ANSSI et Cybermalveillance.gouv.fr, elle se lit ainsi :
- 3 copies de vos données : l'originale, plus deux sauvegardes. Un seul filet, ça se déchire.
- 2 supports différents : par exemple un stockage réseau et un support externe. On ne met pas tous ses œufs dans le même panier technologique : le jour où ce type de support tombe, l'autre tient.
- 1 copie hors site et hors ligne : physiquement déconnectée, hors de portée d'un attaquant qui a pris la main sur votre réseau.
Le troisième point est vital, et c'est celui qu'on néglige le plus. Une sauvegarde branchée au réseau au moment de l'attaque, c'est un extincteur enfermé dans la pièce en feu : il existe, mais il brûle avec le reste. Un rançongiciel moderne ne se contente pas de chiffrer vos fichiers : dès qu'il obtient un compte à privilèges, il part chasser les sauvegardes accessibles pour les effacer, justement parce qu'il sait qu'elles sont votre seule porte de sortie. Seule une copie déconnectée (ou immuable, c'est-à-dire impossible à modifier) survit à coup sûr. C'est le coffre à la banque, pas le double de clés laissé sous le paillasson.
Sources : ANSSI / CERT-FR et Cybermalveillance.gouv.fr - voir les liens en bas d'article.
Le piège du parachute jamais plié
Voici la vérité qui dérange : la plupart des organisations qui se croient protégées échouent quand même le jour de l'incident. Pas parce qu'elles n'ont pas de sauvegardes, mais parce que ces sauvegardes ne valent rien au moment de restaurer. Les quatre échecs classiques :
- La sauvegarde était en ligne. Elle a été chiffrée avec le reste. L'extincteur dans la pièce en feu.
- La restauration n'a jamais été testée. C'est un parachute qu'on n'a jamais ouvert : on découvre le jour du saut qu'il est mal plié. Le fichier est corrompu, incomplet, ou remonte si lentement que l'entreprise coule avant la fin.
- Le périmètre est incomplet. On sauvegarde les fichiers, mais on a oublié la base de données, une configuration critique, tout un pan du cloud. On restaure la coque du bateau sans le moteur.
- Les délais ne collent pas au métier. Restaurer prend trois jours quand l'activité n'en tolère qu'un.
Une sauvegarde non testée n'est pas une sauvegarde
C'est une hypothèse, une promesse non vérifiée. Tant que vous n'avez pas restauré pour de vrai, dans un environnement isolé, et constaté de vos yeux que les données remontent et sont exploitables, vous ne savez pas si votre filet existe. Le test de restauration se planifie - idéalement chaque trimestre. C'est la répétition avant le vrai incendie.
Combien de photos acceptez-vous de perdre ? (RPO et RTO)
Deux questions, en langage clair, cadrent tout le dispositif :
- Le RPO (Recovery Point Objective) : combien de données pouvez-vous vous permettre de perdre ? Si vous sauvegardez une fois par nuit, vous acceptez de perdre jusqu'à une journée de travail. C'est le nombre de photos qu'on est prêt à ne pas retrouver. Il fixe la fréquence des sauvegardes.
- Le RTO (Recovery Time Objective) : en combien de temps devez-vous rouvrir la boutique ? Une heure ? Une journée ? Il fixe la façon de restaurer.
Ces objectifs ne se fixent pas dans l'absolu, mais service par service. Une passerelle de paiement et un partage d'archives n'ont ni la même valeur ni la même urgence : l'une, arrêtée une heure, coûte une fortune ; l'autre peut attendre le lendemain. Prioriser, c'est mettre l'énergie là où l'interruption fait le plus mal.
Cinq réflexes qui changent tout
- Isoler au moins une copie du réseau : support déconnecté, ou stockage immuable en écriture unique. C'est le parachute de secours qu'on ne peut pas saboter.
- Tester les restaurations régulièrement, et chronométrer le temps réel de remise en service (souvent bien plus long qu'on ne le croit).
- Couvrir tout le périmètre critique : postes, serveurs, bases de données, configurations, environnements cloud. Le moteur avec la coque.
- Protéger les sauvegardes elles-mêmes : comptes dédiés, authentification forte, journalisation. Vos sauvegardes sont une cible ; elles se défendent comme un bijou.
- Documenter la procédure pour qu'elle soit exécutable sous pression, par plusieurs personnes - et pas seulement par l'expert qui, ce jour-là, sera en vacances.
En conclusion
La sauvegarde 3-2-1 n'est pas une formalité technique : c'est le curseur entre une crise de quelques heures et une paralysie de plusieurs semaines. Trois copies, deux supports, une hors ligne - et surtout des restaurations testées, parce qu'un parachute qu'on n'a jamais ouvert n'est qu'un sac sur le dos. C'est simple à énoncer, exigeant à tenir dans la durée, et c'est exactement le dispositif que nous aidons nos clients à mettre en place et à éprouver.
Vos sauvegardes résisteraient-elles à un rançongiciel ?
Kenawek évalue votre stratégie de sauvegarde, teste vos restaurations et vous aide à bâtir un plan de reprise réaliste. Parlons-en.