Ransomware-as-a-Service (RaaS) : Pourquoi les PME sont la Cible n°1
CyberLord Threat Intel Profil de l'auteur
Il fut un temps où les cyberattaques visaient le CAC 40, les ministères ou les centrales nucléaires.
En 2025, la réalité est différente. La victime typique d'une attaque par rançongiciel (Ransomware) est un cabinet d'architectes à Lyon, une usine de décolletage en Savoie ou un hôpital local.
Pourquoi ? À cause d'un modèle économique redoutable : le Ransomware-as-a-Service (RaaS).
C'est l'ubérisation du cybercrime. Et pour le tissu économique français (les PME et ETI), c'est une menace existentielle qui mène souvent au dépôt de bilan.
Comprendre le Modèle RaaS (La "Franchise" du Crime)
Avant, un hacker devait tout savoir faire : coder le virus, pénétrer le réseau, gérer les clés de chiffrement et négocier la rançon. C'était complexe.
Aujourd'hui, le travail est divisé :
1. Les Opérateurs (La Tête Pensante)
Des groupes comme LockBit, BlackCat ou Play. Ils développent le logiciel malveillant (le produit), gèrent l'infrastructure de paiement et le site de "Service Client". Ils sont comme le siège de McDonald's.
2. Les Affiliés (Les Franchisés)
N'importe quel criminel peut s'inscrire au programme. Il reçoit le virus prêt à l'emploi. Sa seule mission est de rentrer dans votre réseau (par un mail de phishing ou un accès RDP volé) et de lancer le programme.
3. Le Partage des Profits
Sur une rançon de 100 000 € :
- L'Affilié garde 70% à 80%.
- L'Opérateur prend 20% à 30% de commission.
Ce modèle a fait exploser le nombre d'attaques, car des criminels peu compétents techniquement peuvent désormais lancer des attaques de niveau militaire.
Pourquoi les PME Françaises sont la Cible Idéale
Les groupes RaaS raisonnent en termes de ROI (Retour sur Investissement).
- Les Grands Groupes : Ils sont riches, mais très bien protégés (SOC 24/7, équipes dédiées). Une attaque prend 6 mois de préparation et risque d'échouer.
- Les PME/ETI :
- Elles ont de l'argent (chiffre d'affaires de 5 à 500M €).
- Leur informatique est souvent gérée par un prestataire externe ou une très petite équipe interne débordée.
- Elles ne peuvent pas se permettre 1 semaine d'arrêt de production (sinon c'est la faillite).
Pour un pirate, attaquer 50 PME est plus rentable et moins risqué que d'attaquer une seule multinationale. C'est la stratégie du "Chasse au chalut".
Anatomie d'une Attaque en 2025
Comment cela se passe-t-il concrètement ?
Phase 1 : L'Accès Initial
Souvent, l'affilié n'entre même pas lui-même. Il achète un accès "prêt à l'emploi" à un Initial Access Broker (IAB) pour 500€.
- Un mot de passe VPN volé.
- Un accès RDP (Bureau à distance) non sécurisé.
Phase 2 : La Latence (Dwell Time)
Une fois entré, le virus ne se lance pas tout de suite. Les pirates restent dans votre réseau pendant 10 à 30 jours.
- Ils scannent votre réseau pour trouver les sauvegardes et les supprimer.
- Ils lisent vos e-mails pour connaître votre couverture d'assurance cyber et votre santé financière (pour fixer le montant de la rançon).
- Ils exfiltrent vos données sensibles (RH, brevets, clients).
Phase 3 : Le Chiffrement (Le "Big Bang")
Généralement un vendredi soir ou un veille de jour férié (quand votre support IT est absent). Tous les serveurs sont chiffrés simultanément. Les fonds d'écran changent et affichent la demande de rançon. L'usine s'arrête.
Comment se défendre ? Les Recommandations de l'ANSSI
L'Agence Nationale de la Sécurité des Systèmes d'Information (ANSSI) a publié un guide d'hygiène informatique indispensable.
1. Sauvegardes Déconnectées (Hors Ligne)
C'est votre seule assurance-vie. Si vos sauvegardes sont connectées au réseau (sur un NAS ou un Cloud synchronisé), le Ransomware les chiffrera aussi. Vous devez avoir une copie "Immuable" ou sur Bande magnétique (LTO), totalement isolée du réseau.
2. L'Authentification Multi-Facteurs (MFA)
C'est non-négociable en 2025. Tous les accès distants (VPN, Office 365, RDP) doivent exiger un second facteur (une notification sur mobile) en plus du mot de passe. Cela bloque 99% des attaques par vol d'identifiants.
3. Segmentation du Réseau
Séparez le réseau des bureaux (compta/RH) du réseau industriel (machines) et du réseau invité. Si la comptable clique sur un lien piégé, l'usine ne doit pas s'arrêter.
4. EDR (Endpoint Detection & Response)
Les antivirus classiques sont aveugles face aux RaaS modernes qui utilisent des outils légitimes (PowerShell) pour attaquer. Un EDR surveille le comportement. S'il voit Word essayer de lancer un script inconnu en pleine nuit, il bloque le processus et alerte.
Comment le Montant de la Rançon Est Fixé pour une PME
La double extorsion est le levier principal : vos données sont chiffrées et exfiltrées ; sans copie hors ligne, la restauration dépend de l'attaquant, et votre marge de négociation s'effondre.
Pour calibrer la demande, l'affilié exploite ce qu'il a glané : chiffre d'affaires, plafond de votre assurance cyber, nombre de serveurs touchés, données personnelles ou brevets menacés de publication sous 72 heures.
Résultat : des demandes de quelques milliers à quelques centaines de milliers d'euros — assez bas pour paraître raisonnables, assez hauts pour briser une trésorerie de 10 à 50 salariés.
Les Quatre Portes d'Entrée Principales chez les PME
- Accès distant sans MFA : un serveur RDP ou un portail VPN gardé par un simple mot de passe est repéré par scan et testé en quelques heures ; c'est le premier point d'entrée constaté par les CERT.
- Équipements non corrigés : une seule faille sur un pare-feu ou un concentrateur VPN permet des intrusions en série ; corriger vite est votre mur d'enceinte.
- Réutilisation de mots de passe : un identifiant repris d'une ancienne fuite est essayé sur vos services ; un coffre-fort et des mots de passe uniques suffisent à le neutraliser.
- Phishing : le point d'entrée le plus fréquent ; un second facteur et des sauvegardes testées neutralisent sa suite.
Un Plan de Durcissement sur 90 Jours
- Jours 1 à 30 — fermer les portes : inventaire des accès distants, MFA sur VPN, messagerie et prise en main à distance, correctifs des équipements exposés, comptes dormants supprimés.
- Jours 31 à 60 — rendre les données survivables : sauvegardes 3-2-1 dont une copie hors ligne testée (un plan n'existe que si vous avez déjà restauré un serveur), EDR supervisé, moindre privilège.
- Jours 61 à 90 — préparer l'épreuve : segmentation des serveurs, de la bureautique et du réseau industriel ; fiche réflexe d'une page (qui débranche, qui prévient CERT-FR et cybermalveillance.gouv.fr) ; MFA et sauvegardes inscrites au contrat de votre prestataire.
Le checklist de réponse aux ransomwares détaille chaque étape.
Ne Pas Payer : La Ligne Officielle
L'ANSSI, le CERT-FR et Europol recommandent de ne pas payer : payer ne garantit ni décrypteur fonctionnel ni suppression des données volées, finance l'attaque suivante et vous signale aux gangs comme « bon payeur », cible de reprise quelques mois plus tard.
La CNIL et l'EDPS rappellent qu'une exfiltration reste une violation de données personnelles : notification sous 72 heures et information des personnes s'imposent, quelle que soit votre décision.
Doctrine : la donnée d'abord — cerner l'étendue du chiffrement, isoler, restaurer depuis la copie hors ligne, constater avec un prestataire forensique ; puis, si la question du paiement se pose quand même, avocat et assureur avant toute décision, chaque échange documenté.
Pour identifier la souche et repérer les décrypteurs disponibles : base de données des demandes de rançon.
L'Assurance Cyber : Un Filet, Pas un Bouclier
Souscrire aide ; s'y reposer, non : le contrat exige la preuve du MFA, de sauvegardes hors ligne testées et d'un EDR — une déclaration inexacte expose la garantie. Il couvre forensique, volet juridique, notification et une partie du manque à exploiter, pas vos clients partis ni votre réputation ; la prise en charge d'une rançon est de plus en plus encadrée, parfois exclue.
Enfin, le meilleur investissement est préventif : MFA, sauvegardes 3-2-1 et EDR réduisent le risque davantage qu'une prime ne le rachète. Souscrivez après votre plan de durcissement pour négocier ; nos modèles de politiques de cybersécurité servent de base écrite.
Conclusion
Le Ransomware n'est pas une fatalité. C'est un risque commercial qui se gère. Ne soyez pas le fruit mûr que les pirates veulent cueillir. En augmentant votre niveau de sécurité (MFA, Backups, EDR), vous devenez une cible trop coûteuse en temps pour les affiliés RaaS, qui préféreront aller voir ailleurs.
Audit de vulnérabilité Ransomware pour votre PME
Aperçu
Décisions clés, risques et actions de mise en oeuvre pour ce sujet.