Payer la rançon : ce que doit peser une PME

Faut-il payer la rançon après une attaque par rançongiciel ? Pour une PME, la réponse des autorités françaises est non, et dans la grande majorité des cas c’est aussi la décision la plus rationnelle : le paiement ne garantit ni la récupération des données, ni leur suppression chez l’attaquant, ni l’absence d’une seconde attaque.

Cette réponse courte ne suffit pourtant pas le jour où la production est arrêtée et où le dirigeant reçoit une demande chiffrée en cryptomonnaie. Ce guide détaille ce que la décision engage réellement, les obligations qui courent dès les premières heures, et ce qui se prépare en amont pour ne jamais avoir à se poser la question sous pression.

Pourquoi payer la rançon ne règle presque jamais le problème

Le guide de l’ANSSI « Attaques par rançongiciels, tous concernés » et la fiche réflexe de Cybermalveillance.gouv.fr convergent : ne payez pas, car vous n’êtes pas certain de récupérer vos données et vous financez directement le groupe criminel. Concrètement, plusieurs risques se cumulent.

• Un déchiffreur partiel ou défaillant : l’outil fourni par l’attaquant est souvent lent, buggé, ou échoue sur les gros fichiers et les bases de données. La restauration reste un chantier de plusieurs jours.
• La double extorsion : la plupart des groupes copient les données avant de les chiffrer. Payer pour le déchiffrement n’empêche pas une publication ou une revente, et la promesse de suppression n’est vérifiable par personne.
• La porte reste ouverte : payer ne supprime ni le compte compromis, ni la porte dérobée, ni la faille d’entrée. Une entreprise qui a payé est identifiée comme solvable et coopérative, donc une cible de choix pour une nouvelle tentative.
• Le risque juridique : certains groupes ou leurs portefeuilles relèvent de régimes de sanctions internationaux. Un paiement peut exposer l’entreprise, ses dirigeants et ses intermédiaires.

Les obligations qui démarrent avant toute décision

Qu’il y ait paiement ou non, plusieurs horloges se déclenchent dès que l’attaque est découverte. Les manquer coûte souvent plus cher que l’incident lui-même.

Déposer plainte dans les 72 heures pour être indemnisé

Depuis la loi n° 2023-22 du 24 janvier 2023 (article 5), une assurance « cyber » ne peut indemniser une victime que si elle a déposé plainte dans les 72 heures suivant la connaissance de l’attaque, comme le rappelle Cybermalveillance.gouv.fr. La plainte se dépose au commissariat, à la gendarmerie ou par écrit au procureur. Ce délai est indépendant de la décision de payer.

Notifier la CNIL si des données personnelles sont touchées

Un rançongiciel qui chiffre ou exfiltre des fichiers clients, RH ou fournisseurs constitue presque toujours une violation de données personnelles. Le RGPD impose une notification à la CNIL dans les 72 heures lorsque la violation présente un risque pour les personnes, et une information des personnes concernées si ce risque est élevé.

Prévenir l’assureur avant toute négociation

La plupart des contrats cyber imposent de déclarer le sinistre rapidement et d’obtenir l’accord de l’assureur avant d’engager des frais, prestataires de réponse à incident compris. Relisez dès aujourd’hui les clauses de votre contrat, et vérifiez les mesures qu’il exige en amont : notre article sur les 8 mesures exigées par les assureurs détaille les plus courantes.

Le négociateur, maillon de confiance à vérifier

Face à une demande de rançon, certaines entreprises font appel à un négociateur spécialisé. La pratique n’est pas illégale en soi, mais elle repose entièrement sur la confiance accordée à cet intermédiaire. Dark Reading revient cette semaine sur des cas où le négociateur mandaté par la victime travaillait en réalité pour l’autre camp.

Pour une PME, la leçon est simple : n’acceptez jamais un intermédiaire trouvé dans l’urgence. Passez par votre assureur, par un prestataire de réponse à incident identifié à l’avance, ou par les dispositifs publics. La plateforme Cybermalveillance.gouv.fr oriente gratuitement vers des prestataires référencés.

Les alternatives au paiement d’une rançon

Ne pas payer ne veut pas dire subir. Trois leviers permettent de reprendre l’activité sans financer l’attaquant.

• Chercher un déchiffreur gratuit : le projet No More Ransom, porté par Europol et des éditeurs de sécurité, publie des outils de déchiffrement pour de nombreuses familles de rançongiciels. Conservez une note de rançon et quelques fichiers chiffrés pour l’identification.
• Restaurer depuis une sauvegarde saine : c’est la seule vraie assurance. Elle suppose une copie hors ligne ou immuable, testée régulièrement, que l’attaquant n’a pas pu atteindre.
• Reconstruire plutôt que nettoyer : un serveur compromis se réinstalle à partir d’une image connue, avec de nouveaux mots de passe. Restaurer des données sur un système encore infecté relance l’incident.

Préparer la décision avant l’attaque

La question « payer ou non » se pose rarement de façon froide. Elle arrive à 6 heures du matin, avec des salariés à l’arrêt et des clients qui appellent. Les entreprises qui s’en sortent le mieux sont celles qui ont tranché à l’avance.

• Une position de principe écrite : la direction formalise qu’elle ne paie pas, sauf circonstances exceptionnelles décidées collégialement avec l’assureur et les conseils juridiques.
• Une cellule de crise nommée : qui décide, qui parle aux salariés, qui contacte l’assureur, la CNIL et les forces de l’ordre. Notre modèle de plan de réponse à incident en une page fournit une trame prête à remplir.
• Des contacts prêts : numéro de l’assureur, prestataire de réponse à incident, gendarmerie ou commissariat, imprimés hors du système d’information.
• Une sauvegarde déjà testée : un test de restauration complet par trimestre transforme un arrêt de plusieurs semaines en reprise de quelques jours.

Que faire maintenant

1. Imprimez la fiche réflexe rançongiciel de Cybermalveillance.gouv.fr et rangez-la avec les contacts d’urgence, hors réseau.
2. Relisez votre contrat cyber : délai de déclaration, accord préalable, prestataires imposés, exclusions liées au paiement.
3. Testez une restauration complète d’un serveur critique depuis votre sauvegarde hors ligne.
4. Formalisez avec la direction une position écrite sur le paiement et la composition de la cellule de crise.

Le meilleur moyen de ne jamais avoir à choisir est de repérer l’intrusion avant le chiffrement, souvent plusieurs jours plus tôt : c’est le rôle de notre SOC managé 24/7 pour PME et ETI, qui surveille vos serveurs et vos postes en continu.

Ce qu’il faut retenir

• Les autorités françaises recommandent de ne pas payer la rançon : aucune garantie de récupération ni de suppression des données.
• La plainte sous 72 heures conditionne l’indemnisation par l’assurance cyber.
• Une violation de données personnelles se notifie à la CNIL sous 72 heures.
• Un négociateur se choisit à l’avance, jamais dans l’urgence.
• Une sauvegarde hors ligne testée reste la seule vraie alternative au paiement.

Sources

• ANSSI — Attaques par rançongiciels, tous concernés
• Cybermalveillance.gouv.fr — Rançongiciel : que faire si votre organisation est victime ?
• CNIL — Notifier une violation de données personnelles
• No More Ransom — outils de déchiffrement gratuits
• Dark Reading — When Your Ransomware Negotiator Works for the Other Side