Qu'est-ce qu'un ransomware et comment il fonctionne
Un ransomware est un malware qui chiffre les données d'une organisation et exige une rançon pour la clé de déchiffrement. Les campagnes modernes recourent à la double extorsion : elles exfiltrent d'abord les données, puis chiffrent, et menacent de publier. Ce n'est pas un événement instantané : l'attaquant reste dans le réseau pendant des jours ou des semaines (accès initial, mouvement latéral, exfiltration) avant le chiffrement. C'est dans cette fenêtre qu'on l'arrête.
Pas un événement, un processus
On imagine le ransomware comme un coup de foudre : un instant tout fonctionne, l’instant d’après tout est chiffré. La réalité est différente : l’attaquant est dans le réseau depuis des jours ou des semaines avant le chiffrement. Accès initial, reconnaissance, mouvement latéral, exfiltration : le chiffrement est le dernier acte. Et c’est avant cet acte qu’on gagne ou qu’on perd.
Double (et triple) extorsion
Les groupes modernes exfiltrent les données avant de les chiffrer : ainsi, même avec des sauvegardes parfaites, ils peuvent extorquer par la menace de publication. Certains ajoutent des attaques DDoS ou une pression directe sur les clients et partenaires. C’est pourquoi la sauvegarde, bien qu’essentielle, ne suffit pas à elle seule.
Se défendre : arrêter avant le chiffrement
Une défense efficace agit dans la fenêtre antérieure au chiffrement : détection & réponse continue pour saisir le mouvement latéral et l’exfiltration, identités protégées, sauvegardes isolées et un plan d’incident response prêt. Si l’attaque est déjà en cours, c’est le guide d’urgence qui compte : que faire après une attaque ransomware.
Les phases d'une attaque ransomware
| Phase | Ce qui se passe | Où agir |
|---|---|---|
| Accès initial | Phishing, VPN/RDP exposés, exploits de bordure | Détection précoce, ITDR |
| Mouvement latéral | Élévation, reconnaissance, persistance | MDR : arrêter ici |
| Exfiltration | Données copiées vers l'extérieur | Containment, blocage C2 |
| Chiffrement | Ransomware exécuté, rançon | Trop tard : restauration |
Lors de l'Operation Storming Tide, l'équipe Fortgale a repéré l'attaquant dans les phases antérieures au chiffrement (Matanbuchus 3.0 → Astarion → SystemBC) et a empêché l'exfiltration et le ransomware par la containment.
Lire l'analyse →Questions fréquentes.
Dois-je payer la rançon ?
Presque jamais. Payer ne garantit ni la récupération ni la suppression des copies exfiltrées, finance le crime et peut enfreindre la réglementation. Voir le guide d'urgence attaque ransomware : que faire.
Comment un ransomware entre-t-il dans une entreprise ?
Les vecteurs les plus fréquents : phishing et vol d'identifiants, services exposés (VPN, RDP), exploits de dispositifs de périmètre (pare-feu, passerelles VPN) et accès vendus par des Initial Access Brokers.
Qu'est-ce que change la double extorsion ?
L'attaquant exfiltre les données avant de les chiffrer et menace de les publier. Même avec des sauvegardes parfaites, le risque de divulgation demeure : c'est pourquoi il importe d'arrêter l'attaque avant l'exfiltration, et pas seulement de pouvoir restaurer.
Comment se défendre contre un ransomware ?
Des sauvegardes testées et isolées, un durcissement de l'identité et des accès, une détection & réponse continue (MDR) pour saisir l'attaquant dans les phases antérieures au chiffrement, et un plan de réponse à incident prêt à l'emploi.
De la théorie à une opération réelle.
Ce que vous lisez ici, Fortgale le met en œuvre chaque jour avec un SOC européen 24·7·365 : 287 outils et acteurs profilés, <30 min de confinement médian. Voir le service : Protection ransomware Fortgale.
Ressources liées : Attaque ransomware : que faire (urgence) · Qu'est-ce que le MDR · Protection ransomware · Groupes ransomware suivis (profils techniques)
Une conversation technique, pas un funnel.
Laissez vos coordonnées : un analyste vous rappelle sous un jour ouvré. SOC européen, même fuseau horaire, intelligence propriétaire sur les acteurs actifs dans l'UE.