Cybersécurité et rançongiciel : faut-il payer la rançon ?

Qu’est-ce-qu’un rançongiciel ?

Nicolas Eslous. Un rançongiciel est un logiciel malveillant qui bloque l’accès aux ordinateurs, serveurs informatiques et à leurs documents et données. Le paiement d’une rançon est réclamé pour en obtenir de nouveau l’accès. À cette atteinte s’ajoute souvent un ultimatum : à son expiration et en l’absence de paiement, les données seront rendues publiques par les cybercriminels. Pour l’organisation qui en est victime, la pression est très forte, toutes les activités et les données se retrouvent prises en otage.

Le rançongiciel n’est en fait que l’étape ultime de la cyberattaque. Elle fait généralement suite à de l’hameçonnage (phishing), à des fuites d’identifiants et de mots de passe, à des défauts de mise à jour de sites ou d’applications, ou encore à des défauts de sécurisation de l’infrastructure informatique (voir l’article L'humain face aux attaques cyber).

Le ransomware reste-t-il la menace n°1 pour les entreprises françaises aujourd’hui ?

Nicolas Eslous. Selon l’état de la menace 2025 de Cybermalveillance.gouv.fr, le rançongiciel représente la 3e menace pour les collectivités territoriales et la 4e pour les TPE-PME. Ce type de cyberattaque reste néanmoins la plus redoutée et la plus impactante pour les organisations qui en sont victimes.

En panorama plus large, l’analyse des parcours d’assistance 2025 des TPE-PME et des associations réalisée par Cybermalveillance.gouv.fr classe en première position les piratages de comptes (21% des assistances), suivis en seconde position par l’hameçonnage (16%), puis les faux ordres de virement (13%). Le ransomware a fait l’objet en 2025 de 8% des assistances, avec un volume en hausse de 10%.

Faut-il payer la rançon ?

Nicolas Eslous. Plusieurs raisons conduisent à déconseiller le paiement d'une rançon. Rien ne garantit que le cybercriminel fournisse effectivement la clé de déchiffrement après paiement. Un rançongiciel peut aussi comporter des défauts : il arrive que les données restituées après paiement d’une rançon ne soient plus intègres et demeurent inexploitables. Payer une rançon contribue par ailleurs à financer le cybercrime et le renforce, sans apporter aucune garantie contre une extorsion ultérieure si l'attaquant a conservé une copie des données.

Même lorsque la clé de déchiffrement est obtenue et que les données sont récupérées, cela ne supprime pas pour autant les failles et vulnérabilités initiales qui ont permis la cyberattaque et qui restent présentes. Il est déjà arrivé que des attaquants réalisent une seconde attaque par rançongiciel ou revendent leurs accès à d’autres groupes cybercriminels.

En droit français, le paiement d’une rançon n’est pas en soi interdit : la victime d’un rançongiciel est juridiquement qualifiée de victime d’extorsion au sens de l’article 312-1 du Code pénal. Il faut néanmoins avoir déposé plainte au préalable et avoir déclaré l’incident à l’ANSSI ainsi qu’à la CNIL dans les 72 heures.

Comment l’intelligence artificielle générative change-t-elle les méthodes des groupes de rançongiciel ?

Nicolas Eslous. Les groupes cybercriminels utilisent désormais l’IA pour préparer et réaliser leurs cyberattaques. Ces moyens leur permettent d’automatiser la sélection et les phases de reconnaissance de leurs cibles, de concevoir des campagnes d’hameçonnage (phishing) plus réalistes pour obtenir des accès initiaux, d’accélérer l’intrusion initiale jusqu’au cœur du réseau (quelques heures désormais, contre quelques jours auparavant), de découvrir plus rapidement des failles et vulnérabilités, et de rendre leurs outils plus évolutifs, donc plus difficile à détecter.

Avec l’IA, il n’est plus nécessaire de disposer de fortes compétences informatiques pour concevoir et réaliser une cyberattaque. On peut parler d’une forme de démocratisation des moyens d’attaque : l’actualité récente a confirmé l’émergence de profils de cybercriminels sans compétences avancées en informatique. L’IA est aussi utilisée du côté défensif, dans les solutions de cybersécurité, pour augmenter les capacités de détection et faciliter la recherche automatisée de vulnérabilités à corriger.

Bon à savoir : ce que change la loi Lopmi sur l’indemnisation

La loi d’orientation et de programmation du ministère de l’Intérieur (Lopmi), entrée en vigueur en 2023, conditionne le remboursement d’une rançon par l’assurance cyber au dépôt d’une plainte dans un délai de 72 heures suivant la connaissance de l’attaque. Sans ce dépôt de plainte dans les temps, l’entreprise perd le bénéfice de la garantie, même si son contrat d’assurance couvre en principe la cyber-extorsion. Ce mécanisme a une conséquence directe sur la gestion de crise : le dépôt de plainte doit être traité comme une action des toutes premières heures, au même titre que l’isolement des machines touchées, un réflexe à intégrer dans votre Plan de Continuité d’Activité.

Deux autres obligations réglementaires s’y ajoutent : déclarer l’incident à la CNIL dans les 72 heures en vertu du règlement général sur la protection des données (RGPD) et signaler l’incident à l’agence nationale de la sécurité des systèmes d’information (ANSSI).

Le référentiel ReCyF de l’ANSSI et NIS2 changent-ils réellement la donne pour les PME ?

Nicolas Eslous. La réglementation NIS2, dont la transposition en France est annoncée fin 2026, va concerner de nombreuses entités en France : environ 15 000 organisations devront se conformer sous trois ans à des exigences de cybersécurité selon deux niveaux : les entités essentielles et les entités importantes.

Le référentiel ReCyF, consultable depuis mars 2026 sur le site de l’ANSSI, regroupe l’ensemble des objectifs et mesures de sécurisation à couvrir selon le niveau de sensibilité d’une organisation. Toutes les PME ne relèveront pas bien sûr de cette réglementation, mais ce référentiel reste, dans ce cas, un guide complet de sécurisation cyber pour tout type d’organisation.

Bon à savoir : les premiers réflexes en cas d’attaque par un rançongiciel

Isolez les machines touchées en débranchant le câble réseau ou en coupant le Wi-Fi, isolez vos moyens de sauvegarde pour les préserver, et ne redémarrez pas les appareils infectés.
Organisez une cellule de crise réunissant la direction générale, le juridique, la communication et l’informatique.
Ne payez pas la rançon dans l’urgence, quelle que soit la pression exercée par le message affiché.
Préservez les preuves : photographiez la note de rançon, conservez les journaux systèmes et réseaux, ne supprimez rien.
Prévenez votre assureur cyber si vous en disposez, dès les premières heures.
Déposez plainte sans délai et déclarer l’incident à la CNIL et à l’ANSSI, au maximum dans les 72 heures, pour préserver votre conformité et vos droits à indemnisation si vous êtes assuré.
Si vous ne disposez pas de ressources internes ou de prestataire spécialisé en cybersécurité, réalisez un parcours d’assistance sur le site 17cyber.gouv.fr afin d’être mis en relation avec un prestataire ExpertCyber ou un centre cyber régional selon votre localisation.

Quel rôle joue un écosystème comme Cybermalveillance.gouv.fr pour aider une PME qui n’a pas les moyens d’un grand groupe ?

Nicolas Eslous. Cybermalveillance.gouv.fr est le dispositif national d’assistance et de prévention face aux risques numériques. Ce groupement d’intérêt public s’adresse justement aux petites et moyennes entreprises, tout comme aux particuliers, aux associations et aux collectivités territoriales.
Cybermalveillance.gouv.fr publie gratuitement en ligne de très nombreux contenus pour comprendre les menaces cyber et adopter les bonnes pratiques, et a créé le service de sécurisation « Mon ExpertCyber » pour accompagner les entreprises et leur permettre de se protéger en amont, en s’appuyant sur des prestataires de confiance labellisés.
En cas d’incident, Cybermalveillance.gouv.fr propose également un service d’assistance disponible 24/7 appelé 17Cyber, qui permet réaliser un autodiagnostic et de bénéficier de conseils adaptés à la situation. Selon la menace, ce service permet notamment d’être mis en relation avec des professionnels labellisés ExpertCyber pour une remédiation technique et d’échanger par tchat avec des policiers et gendarmes en préalable notamment d’un dépôt de plainte.

Ressources clés de Cybermalveillance.gouv.fr : Comprendre les menaces et agir, Adopter les bonnes pratiques , Assistance en cas d’incident , Sensibilisation gratuite en ligne « SensCyber », Sécurisation avec appui d’un prestataire labellisé « ExpertCyber ».

Bon à savoir : prévenir plutôt que subir

Sept mesures ont un effet démontré sur la réduction du risque et de son impact.

Des sauvegardes déconnectées et testées régulièrement : la règle des trois copies, sur deux supports différents, dont un hors ligne, reste la référence.
Des mots de passe uniques et complexes associés à la double-authentification sur tous les accès à distance.
La sensibilisation des collaborateurs aux menaces cyber et aux bonnes pratiques à adopter, détaillée dans l’article L’humain face aux attaques cyber.
L’application systématique des mises à jour de sécurité.
La protection des postes de travail et des serveurs par des solutions adaptées, antivirus ou solutions plus avancées dites de nouvelle génération (EDR).
La protection et la supervision des accès extérieurs au réseau informatique (pare-feux, vérification automatisée des actifs exposés sur internet ou audits ponctuels).
Une assurance cyber adaptée, qui couvre la cyber-extorsion en plus de la remédiation technique, voir notre article Comment choisir la meilleure assurance cyber pour votre entreprise ? . Les amendes CNIL, en revanche, ne sont jamais assurables. C’est un arbitrage budgétaire qui engage la direction financière autant que la DSI, voir notre article DAF, la cybersécurité est aussi votre responsabilité.

Si vous deviez donner une seule recommandation à un dirigeant de PME aujourd’hui, laquelle serait-ce ?

Nicolas Eslous. Identifier et prendre en compte les risques cyber, en faisant évaluer le niveau de protection par un état des lieux, puis sponsoriser les projets de renforcement de la cybersécurité de son organisation.

FAQ

Payer une rançon est-il illégal en France ?

Non, le paiement en lui-même n’est pas interdit. La victime est qualifiée juridiquement de victime d’extorsion. Mais l’ANSSI et Cybermalveillance.gouv.fr déconseillent fermement de payer, car cela ne garantit ni la récupération des données ni l’absence de nouvelle attaque.

Que se passe-t-il si je ne dépose pas plainte dans les 72 heures ?

Vous risquez de perdre le bénéfice du remboursement de la rançon par votre assurance cyber, si votre contrat inclut cette garantie, en application de la loi Lopmi. L’incident doit aussi être déclaré à l’ANSSI et à la CNIL sous 72 heures, sous peine d’une amende importante.

Une PME peut-elle vraiment être ciblée par un rançongiciel ?

Oui, à partir du moment où une structure dispose de données, elle suscite l'intérêt de cybercriminels et devient une cible potentielle. Selon son ampleur, ce type d'attaque peut même interrompre totalement l'activité de l'organisation.

Le 17Cyber est-il un numéro payant ou réservé aux grandes entreprises ?

Non, c'est un dispositif national gratuit, ouvert à toutes les entreprises et aux particuliers, qui oriente vers des prestataires qualifiés.

Qu'est-ce que Cybermalveillance.gouv.fr ?

Un groupement d'intérêt public, dispositif national d'assistance et de prévention face aux risques numériques, qui s'adresse aux petites et moyennes entreprises, aux particuliers, aux associations et aux collectivités territoriales.