Nous écrireAttaque par ransomware en entreprise : comment réagir ?
Attaque par rançongiciel : les réflexes de secours immédiats en entreprise
Les ransomwares ou, en français, rançongiciels (contraction de « rançon » et « logiciels ») sont des virus qui chiffrent les données et forcent les victimes à payer une rançon pour les récupérer.
En 2025, l'ANSSI a traité 128 compromissions de ce type en France (1), et près d'une victime sur deux est une TPE, une PME ou une ETI.
Ces attaques représentent actuellement l’une des menaces informatiques les plus sérieuses pour les entreprises, en raison de leur impact sur la continuité de l’activité.
Voici les réflexes à adopter dès les premières minutes, et les mesures qui réduisent durablement votre exposition.
mis a jour le 25/09/2026
Comment les ransomwares infiltrent-ils vos systèmes d’information ?
Les pirates informatiques s’introduisent d’abord via l’ouverture de pièces jointes infectées, de clics sur des liens contaminés ou par l’incitation à des téléchargements malveillants. Pire : une cyberattaque peut survenir sans action de votre part, en utilisant les plugins des navigateurs Web.
Un code malveillant, une fois installé dans l’ordinateur, va mettre en place le piège : il va chiffrer les documents stockés sur le disque dur. Impossible pour le collaborateur de les ouvrir pour travailler ou même de les transférer. Vos fichiers sont alors inaccessibles.
L'infection peut se propager à d'autres postes connectés au réseau en quelques secondes. Les virus se cachent souvent dans des documents bureautiques, images ou extraits vidéo.
Par exemple, les cyber attaquants ciblent les DRH avec des CV infectés. Ils utilisent le phishing pour tromper les utilisateurs, un vecteur toujours dominant : il concentre 55 % des incidents significatifs recensés par le CESIN.
Pour un panorama complet des familles de malwares, notre guide de la cybersécurité en entreprise y consacre un chapitre dédié.
L’impact d’une attaque par ransomware sur l'activité de l’entreprise
L'impact d'une cyberattaque par rançongiciel dépasse le simple cadre informatique. Pour les entreprises, les conséquences d'un sinistre cyber se mesurent principalement à deux niveaux : la paralysie opérationnelle des systèmes d'information et les pertes financières directes ou indirectes.
Paralysie de l'activité et interruption d'exploitation des systèmes
Un rançongiciel a un impact majeur sur l’activité de votre entreprise. La remise en service mobilise vos équipes, sans oublier les prestataires informatiques, et ce parfois pendant plusieurs jours, semaines voire mois.
Ainsi, une nuit en octobre 2025, le centre hospitalier intercommunal de Haute-Comté, situé à Pontarlier dans le Doubs, en a fait l'amère expérience. En effet, une attaque par rançongiciel a totalement paralysé son système informatique. Six mois plus tard, l’établissement n’avait toujours pas rétabli totalement la situation.
Le panorama de la cybermenace de l’ANSSI 2025 indique qu’en France, l’essentiel des attaques par rançongiciel s’est réparti en trois groupes de cybercriminels : Qilin (21 % des incidents), Akira (9 %) et Lockbit 3.0 (5 %).
Coûts financiers directs et indirects du rançongiciel
Une cyber attaque par rançongiciel trouble non seulement votre activité mais induit aussi des coûts organisationnels. Selon le CESIN dans son baromètre de la cybersécurité des entreprises françaises 2026, 81 % des entreprises victimes d'une attaque réussie en 2025 ont subi un impact direct sur leur activité.
Un plan de continuité, même sommaire, désignant qui décide de couper le réseau et qui informe vos clients pendant l'incident, réduit le temps de flottement post-cyberattaque.
Consultez aussi notre infographie avec les chiffres clés et le plan d’action en cas de cyber attaque, de quelque nature que ce soit.6 étapes incontournables pour réagir immédiatement face à un ransomware
1. Déconnecter et isoler immédiatement tous les postes du réseau informatique
Le premier réflexe est de déconnecter immédiatement l’ordinateur infecté (arrêt du Wi-Fi, câble Ethernet débranché), et également tous les autres postes de travail afin de contenir la propagation du code malveillant.
2. Refuser de payer la rançon exigée par les hackers
Le paiement ne garantit en rien le 'déchiffrement' des données. Contrairement à ce qu’il affirme dans le message affiché sur l’écran du terminal pris en otage, le pirate informatique n’a aucune obligation de transmettre la 'clé' permettant de récupérer les documents. Ne faites pas confiance aux cybercriminels !
Par ailleurs, le versement de la rançon expose les données du moyen de paiement utilisé. S’il s’agit d’une carte bancaire, l’escroc peut alors les utiliser pour effectuer des achats frauduleux.
3. Lancer une info-analyse antivirus complète et traquer le code malveillant
Votre troisième réflexe consiste à lancer une analyse complète de chaque ordinateur, avec un antivirus (voire plusieurs) bien à jour. Mieux, la supervision d’un Smart SOC vous aidera à repérer et supprimer le ransomware avant sa réactivation.
4. Reconstruire et assainir les systèmes infectés en toute sécurité
Une fois l’analyse des experts terminée et les preuves préservées pour les assurances, procédez à une réinstallation complète des machines touchées à partir de sources d’origine saines. Cette reconstruction « à blanc » élimine définitivement toute trace du ransomware ou porte dérobée, évitant ainsi tout risque de réinfection.
5. Restaurer vos données d'entreprise depuis des sauvegardes sécurisées
Lorsque le formatage est terminé, lancez une restauration à partir des sauvegardes préalablement effectuées, en scannant d’abord les données pour vérifier leur intégrité.
6. Signaler la cyberattaque (dépôt de plainte, CNIL et plateforme Cybermalveillance)
Déposez plainte sous 72 heures à compter de la découverte de l'attaque : cette obligation issue de la loi LOPMI est indispensable pour que votre assurance cyber puisse indemniser vos pertes. En parallèle, enregistrez l’attaque sur le site cybermalveillance.gouv.fr, et notifiez la CNIL sous 72 heures si des données personnelles sont concernées.
« Toutes les mesures sont longues, parfois angoissantes et coûteuses. Si un commercial ou une secrétaire ne peut pas utiliser son ordinateur durant plusieurs jours, cela entraînes une perte d’argent. L’intervention d’un prestataire informatique pour reformater le ou les disques durs, faire une analyse complète par l’antivirus et gérer la restauration engendrent des frais importants. Il est donc indispensable que la direction en prenne conscience avant d’être touchée, et ce afin de limiter l’impact »,
3 actions clés pour réduire durablement votre exposition aux cybermenaces
La mise en place d’une véritable politique de sécurité repose sur trois points majeurs.
- La sauvegarde des informations stratégiques, réalisée en local sur un serveur ou dans le Cloud, à condition qu’une copie reste déconnectée de votre réseau. C’est cette copie qui demeure exploitable si le ransomware chiffre aussi vos sauvegardes connectées.
- La sensibilisation des salariés aux meilleurs usages en matière de cybersécurité. Les cybercriminels exploitent avant tout l’erreur humaine.
- La protection de vos accès Internet et de vos postes de travail repose sur des technologies de détection de malwares avancés. Elles neutralisent les menaces, même lorsqu'elles mutent ou se camouflent pour échapper aux antivirus classiques (Sandboxing), tout en bloquant l'exploitation des failles (IPS). Pour compléter ce dispositif, notre solution Smart SOC assure une supervision continue afin de répondre à vos besoins de sécurité les plus avancés.
Ce que vous devez retenir pour faire face aux risques de rançongiciels
Un ransomware ne prévient pas ! Aussi, votre capacité à réagir dans l'heure qui suit sa détection détermine souvent l'ampleur des dégâts. Dans l'urgence, la priorité reste celle détaillée plus haut : isoler le poste touché, sans jamais céder au paiement de la rançon.
La protection la plus solide se construit en amont. Elle repose d'abord sur des sauvegardes testées régulièrement. Vos équipes, formées à reconnaître un mail suspect, en sont le second rempart. Une détection en continu vient fermer la porte avant que le chiffrement ne démarre.
SFR Business accompagne les entreprises dans la mise en place de cette défense, n'hésitez pas à prendre contact avec l’un de nos experts.
Besoin d'aide pour choisir une offre SFR Business ?
Nos conseillers vous accompagnent sur nos offres
de 9h à 18h - du lundi au vendredi, hors jour férié. Services et appels gratuits.
FAQ : Réponses aux questions fréquentes sur les ransomwares
Faut-il payer la rançon demandée par les pirates ?
Non. Rien n'assure que les pirates vous transmettront la clé de déchiffrement après paiement, et le versement d'une rançon finance l'activité criminelle. Privilégiez le signalement et la restauration depuis une sauvegarde saine.
Comment savoir si mes sauvegardes sont fiables après une attaque ?
Avant toute restauration, analysez la sauvegarde avec un antivirus ou une solution de détection à jour, pour vous assurer qu'elle n'a pas elle-même été compromise avant l'incident.
Une entreprise victime d'un ransomware doit-elle le signaler ?
Oui. Le dépôt de plainte et le signalement sur cybermalveillance.gouv.fr sont recommandés dans tous les cas. Si des données personnelles sont concernées, la notification à la CNIL est obligatoire sous 72 heures.
Les TPE et les PME sont-elles vraiment concernées, malgré leur taille ?
Oui, davantage encore que les grandes entreprises : en 2025, les TPE, PME et ETI représentaient 48 % des victimes de ransomware recensées par l'ANSSI, contre 37 % en 2024.
Quelle est la différence entre un ransomware et les autres cyberattaques ?
Un ransomware chiffre ou exfiltre vos données pour vous extorquer une rançon. D'autres attaques, comme le phishing ou le déni de service (DDoS), visent le vol d'identifiants ou l'interruption d'un service, sans nécessairement chiffrer vos fichiers.
Mentions légales
(1)https://www.cert.ssi.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf