Ransomware Akira : pourquoi les PME françaises sont devenues la cible prioritaire

Ransomware PME France : pourquoi les petites et moyennes entreprises sont devenues des cibles privilégiées

Les attaques de ransomware visant les PME en France ne sont plus des incidents isolés mais un risque systémique pour l’économie. Selon le rapport d’activité 2023 de l’ANSSI, près d’un incident de sécurité significatif sur deux concerne désormais des collectivités, des PME ou des ETI, tandis que l’ENISA Threat Landscape 2023 confirme que la France figure parmi les pays européens les plus ciblés par les rançongiciels. Une part significative des campagnes de rançongiciels recensées dans le monde touche directement les entreprises françaises, avec une concentration sur quelques familles actives comme Akira, RansomHub, Qilin, DragonForce ou Medusa. Dans ce contexte, les PME et les TPE deviennent des cibles privilégiées face à des cybercriminels structurés. Pour un dirigeant de petite entreprise ou de moyennes entreprises, la cybersécurité n’est plus un sujet technique mais une question de continuité d’activité, de conformité réglementaire et de confiance clients.

Le mode opératoire d’Akira illustre cette bascule pour les PME françaises et les TPE PME qui dépendent fortement de leurs systèmes d’information. Le groupe exploite en priorité des VPN non patchés, des systèmes d’information exposés sur Internet et des sauvegardes connectées au réseau informatique, avant de déployer des logiciels malveillants de chiffrement et d’exfiltration de données personnelles. Une fois les systèmes compromis, l’entreprise se retrouve face à une double extorsion avec menace de publication de données sensibles de clients partenaires et de blocage durable de l’activité, ce qui place la direction sous une pression financière et juridique considérable.

Dans ce contexte, les PME françaises et les TPE doivent considérer la cybersécurité des entreprises comme un volet à part entière de la stratégie de gestion des risques. De nombreuses études de l’ANSSI et d’organismes européens comme l’ENISA montrent qu’une large majorité des cyberattaques réussies démarre par un simple email de phishing, parfois plus de 70 % des compromissions initiales selon l’ENISA Threat Landscape 2022, ce qui souligne la fragilité humaine au sein des systèmes d’information et des réseaux internes. Sans mesures de sécurité adaptées, chaque boîte mail, chaque accès distant et chaque poste informatique deviennent des portes d’entrée pour une cyberattaque ciblant les données, les applications métiers et la sécurité des systèmes.

Les autorités françaises comme l’ANSSI et la plateforme Cybermalveillance.gouv.fr alertent régulièrement sur la montée en puissance des cyberattaques visant les PME et les TPE. Les entreprises qui n’ont pas mis en place de plan de réponse aux incidents ni de plan de reprise d’activité testé subissent des arrêts complets de plusieurs jours, avec un risque de défaillance financière accru. Pour beaucoup de petites entreprises, la perte de données, la mobilisation imprévue de la trésorerie et la perte de confiance des clients après une cyberattaque de type ransomware se traduisent par une baisse durable du chiffre d’affaires et un allongement des délais de recouvrement.

Le label « PME cybersécurité », présenté par les pouvoirs publics comme un futur référentiel pour les TPE PME, met notamment l’accent sur des sauvegardes déconnectées et une authentification multifacteur généralisée, ce qui change la norme minimale attendue en matière de sécurité des systèmes. Les dirigeants de PME françaises doivent intégrer ces exigences dans la mise en place de leurs politiques de sécurité informatique et de protection des données personnelles, sous peine de rester des cibles privilégiées. La France Num, qui accompagne la transformation numérique des TPE PME, insiste de plus en plus sur la cybersécurité comme condition préalable à tout projet de digitalisation des systèmes d’information, en recommandant par exemple l’intégration de la sécurité dès la phase de conception des nouveaux services.

Pour les entreprises qui souscrivent une assurance cyber, les assureurs exigent désormais des preuves concrètes de maturité en matière de cybersécurité des entreprises. Sans sauvegardes isolées, sans supervision minimale du réseau et sans procédures de réponse aux incidents, les primes augmentent fortement ou les garanties sont limitées, ce qui renforce le risque de défaillance en cas de cyberattaque majeure. La cybersécurité n’est plus un centre de coût abstrait mais un levier direct de protection du P&L, de la trésorerie et de la valeur globale de l’entreprise.

Akira et consorts : anatomie d’une cyberattaque sur une PME française

Une cyberattaque de type ransomware sur une PME française suit désormais un scénario bien rodé, largement industrialisé par des groupes comme Akira. Dans un cas récent survenu en 2023 et touchant une ETI industrielle anonymisée, l’attaque a débuté par un email de phishing envoyé à un cadre, qui a permis le vol d’identifiants VPN et l’accès aux systèmes d’information sans authentification multifacteur. Les attaquants ont ensuite cartographié le réseau informatique, identifié les sauvegardes connectées et déployé progressivement des logiciels malveillants pour préparer le chiffrement massif des données, en s’appuyant sur des outils d’administration détournés.

La chronologie de l’incident illustre la rapidité de propagation : J0, réception du mail de phishing et saisie des identifiants ; J1, connexion frauduleuse au VPN et élévation de privilèges ; J2 à J4, exploration du réseau, désactivation de certains antivirus et exfiltration discrète de données sensibles ; J5, déploiement silencieux du rançongiciel sur les serveurs de fichiers et les postes critiques ; J7, déclenchement du chiffrement simultané ; J10, début de reprise partielle de l’activité. Le délai de détection a dépassé plusieurs jours, faute de supervision 24/7 de la sécurité des systèmes et des journaux d’événements, ce qui a laissé aux cybercriminels une large fenêtre d’action.

Pendant cette période silencieuse, les cybercriminels ont exfiltré des données personnelles de salariés, des contrats de clients partenaires et des informations financières sensibles, augmentant la pression sur l’entreprise face à la menace de divulgation publique. Lorsque le chiffrement a été déclenché, l’activité a été totalement paralysée, avec des systèmes de production, de facturation et de logistique rendus inaccessibles, et des équipes contraintes de revenir temporairement à des procédures manuelles.

Dans ce cas concret, l’arrêt complet de l’activité a duré dix jours calendaires, avec une reprise partielle au bout d’une semaine grâce à la restauration de serveurs critiques depuis des sauvegardes incomplètes. Le coût de remédiation pour cette entreprise a été multiplié par plusieurs facteurs, incluant la restauration des systèmes, l’audit de cybersécurité, la communication de crise, l’assistance juridique et la mise en conformité renforcée sur les données. Sans plan de réponse aux incidents ni plan de réponse structuré pour les ransomwares, la direction a perdu de précieuses heures à reconstituer une cellule de crise, à coordonner les prestataires informatiques et à informer les autorités compétentes. La perte de confiance des clients et la crainte d’une fuite de données personnelles ont pesé durablement sur la réputation de l’entreprise et sur ses relations avec ses clients partenaires.

Dans ce type de scénario, les TPE et les PME françaises sont particulièrement exposées en raison d’un sous-investissement chronique en matière de cybersécurité des entreprises. Beaucoup de petites structures n’ont pas de RSSI dédié, délèguent entièrement la sécurité informatique à un prestataire et ne disposent pas de procédures écrites de réponse aux incidents, ce qui complique la mise en place rapide de mesures de confinement. Les cybercriminels ciblent ces organisations comme des cibles privilégiées, sachant que leurs systèmes d’information sont souvent hétérogènes, peu segmentés et mal supervisés, avec des droits d’accès trop larges et des comptes administrateurs partagés.

Les incidents de cybersécurité récents montrent que les TPE PME qui n’ont pas de sauvegardes déconnectées subissent des arrêts d’activité de plusieurs jours, voire de plusieurs semaines. Sans architecture de sauvegarde de type 3 2 1, avec trois copies des données sur deux supports différents dont une sauvegarde hors ligne, la restauration des systèmes devient incertaine et lente, ce qui accroît le risque de défaillance économique. Dans la pratique, cela implique au minimum une sauvegarde quotidienne des serveurs critiques, une copie hebdomadaire externalisée et des tests de restauration trimestriels documentés. Dans ces conditions, l’assurance cyber ne peut pas compenser l’absence de préparation opérationnelle, car elle intervient après la crise et non dans la prévention des cyberattaques.

Les recommandations de l’ANSSI et de la plateforme Cybermalveillance.gouv.fr convergent pour rappeler que la mise en place de mesures de sécurité de base réduit fortement l’impact des cyberattaques. Pour les PME françaises, cela implique de traiter la cybersécurité comme un projet d’entreprise, avec un budget identifié, des indicateurs de suivi (temps moyen de détection, délai de reprise, nombre d’incidents bloqués) et un plan de montée en maturité sur plusieurs années. Sans cette approche structurée, chaque nouveau projet numérique soutenu par France Num ou par d’autres dispositifs publics augmente la surface d’attaque sans renforcer la sécurité des systèmes d’information.

Les dirigeants doivent accepter que la cybersécurité ne soit plus uniquement une affaire de technologie mais aussi de gouvernance et de culture interne. Les incidents récents montrent que les erreurs humaines, la méconnaissance des risques et l’absence de formation au phishing restent des facteurs déterminants dans la réussite d’une cyberattaque. Tant que ces dimensions organisationnelles ne sont pas intégrées dans la stratégie globale de sécurité, les PME et les TPE resteront vulnérables face aux groupes comme Akira et à leurs variantes de ransomwares, malgré les investissements techniques ponctuels.

Cinq mesures immédiates pour réduire l’impact des ransomwares sur les PME françaises

Pour une PME française confrontée à la montée des ransomwares, la priorité est de déployer cinq mesures immédiates à fort impact. La première consiste à généraliser l’authentification multifacteur sur tous les accès distants, en particulier les VPN et les outils de télétravail, afin de réduire le risque d’intrusion par vol d’identifiants. L’usage de solutions MFA basées sur des applications d’authentification ou des clés physiques FIDO2 est recommandé plutôt que les SMS, plus faciles à détourner. Cette action doit être pilotée par la DSI ou le prestataire informatique, avec un objectif de déploiement en moins de trois mois sur l’ensemble des comptes sensibles. La deuxième mesure est la mise en place de sauvegardes déconnectées selon le principe 3 2 1, avec des tests réguliers de restauration pour garantir la résilience des systèmes d’information.

La troisième mesure clé concerne la supervision minimale 24/7 de la sécurité des systèmes, même pour les TPE et les petites entreprises qui n’ont pas de centre opérationnel interne. Des services managés de cybersécurité permettent de surveiller les journaux des systèmes, de détecter les comportements anormaux sur le réseau informatique et de déclencher une réponse aux incidents en quelques minutes plutôt qu’en plusieurs jours. Un objectif réaliste pour une PME est de viser un temps de détection inférieur à une heure sur les alertes critiques et un temps de réaction inférieur à quatre heures. La quatrième mesure porte sur un patch management rigoureux des VPN, des serveurs exposés et des applications critiques, car les groupes comme Akira exploitent systématiquement les vulnérabilités connues non corrigées.

La cinquième mesure, souvent sous-estimée, est la sensibilisation régulière au phishing pour l’ensemble des collaborateurs des PME et des TPE. Comme une grande partie des cyberattaques réussies commence par un email malveillant, la formation pratique et répétée des équipes réduit significativement la probabilité d’ouverture de pièces jointes piégées ou de clics sur des liens frauduleux. Des campagnes de simulation de phishing trimestrielles, associées à des modules courts de e-learning, permettent de mesurer les progrès et d’adapter les messages. Cette démarche de sensibilisation doit être intégrée dans un plan de réponse aux incidents plus large, qui définit clairement les rôles, les procédures et les contacts en cas de cyberattaque.

Pour structurer ces actions, les dirigeants peuvent s’appuyer sur les guides de l’ANSSI, les ressources de Cybermalveillance.gouv.fr et les dispositifs d’accompagnement de France Num dédiés aux TPE PME. La mise en place d’un plan de réponse aux incidents et d’un plan de reprise d’activité testé au moins une fois par an devient un prérequis pour limiter la durée d’interruption de l’activité et la perte de confiance des clients. Les entreprises qui anticipent ces scénarios réduisent fortement l’impact financier d’un ransomware et améliorent leur position dans les négociations avec les assureurs en matière d’assurance cyber, en démontrant un niveau de préparation mesurable.

Les PME françaises qui traitent la cybersécurité comme un investissement stratégique plutôt que comme une charge subie renforcent leur compétitivité sur le long terme. En protégeant mieux les données personnelles, les informations sensibles et les systèmes d’information critiques, elles consolident la confiance des clients partenaires et des fournisseurs, ce qui devient un avantage concurrentiel tangible. Dans un environnement où les ransomwares ciblent massivement le tissu économique français, la ligne budgétaire de cybersécurité pèse moins que le coût d’un arrêt d’activité prolongé, d’une atteinte durable à la réputation et d’éventuelles sanctions réglementaires.

Pour les directions générales et les DSI, la question n’est plus de savoir si une cyberattaque surviendra mais comment l’entreprise y sera préparée. Les mesures techniques, organisationnelles et contractuelles comme l’assurance cyber doivent être articulées dans une stratégie cohérente, alignée sur les risques métiers et les priorités de croissance. En matière de ransomware visant les PME en France, la vraie rupture se joue désormais entre les entreprises qui planifient leur résilience, avec des objectifs chiffrés de temps de reprise, et celles qui improviseront leur survie après l’incident.