Dans l’imaginaire collectif, le rançongiciel est un événement instantané : un clic, un écran rouge, tout est chiffré. La réalité est très différente, et cette différence est ce qui rend la détection possible.
Le chiffrement est la dernière étape. Elle survient souvent plusieurs semaines après l’entrée initiale.
Étape 1 — L’accès initial
Trois voies dominent : un service exposé sur Internet et vulnérable, des identifiants valides obtenus par hameçonnage ou achetés, et la compromission d’un prestataire disposant d’un accès.
Un phénomène structurant du marché : celui qui entre n’est souvent pas celui qui chiffre. Des acteurs se spécialisent dans l’obtention d’accès puis les revendent. Ce découpage explique le délai qu’on observe entre l’intrusion et l’attaque.
Ce qui aurait aidé : authentification multifacteur sur tous les accès distants, y compris prestataires. Correctifs prioritaires sur les services exposés — voir la priorisation par exploitation réelle.
Étape 2 — La reconnaissance
L’attaquant regarde. Il énumère l’annuaire, cartographie les partages, identifie les serveurs de fichiers, les bases, et surtout le système de sauvegarde.
Cette phase est bruyante : requêtes d’énumération massives, connexions vers des systèmes que le compte n’a jamais touchés. C’est la meilleure fenêtre de détection, et elle dure souvent plusieurs jours.
Ce qui aurait aidé : une détection comportementale sur les comptes — voir ce que l’analyse comportementale apporte réellement. Et une journalisation des authentifications réellement exploitée.
Étape 3 — L’élévation de privilèges
L’objectif est un compte d’administration du domaine. Les chemins habituels : mot de passe d’un compte de service ancien, identifiants en mémoire sur un serveur mal cloisonné, délégation mal configurée, ou simplement un administrateur qui s’est connecté sur une machine compromise.
Ce qui aurait aidé : le cloisonnement par niveaux. C’est la mesure qui, seule, transforme une compromission générale en incident circonscrit.
Étape 4 — La neutralisation des défenses
Avant de chiffrer, l’attaquant désactive ce qui pourrait le gêner : agents de protection, journalisation, et surtout les sauvegardes.
Suppression des points de restauration, chiffrement des volumes de sauvegarde, modification des rétentions. Cette étape est le signal le plus fiable qu’une attaque est imminente — et l’une des rares qui déclenche presque toujours une alerte, si tant est que quelqu’un la lise.
Ce qui aurait aidé : une copie immuable ou déconnectée, hors de portée de tout compte d’administration.
Étape 5 — L’exfiltration
Le chiffrement seul ne suffit plus à faire payer une entreprise qui a des sauvegardes. La double extorsion est devenue la norme : les données sont d’abord copiées, puis la publication est menacée.
Cette étape produit des volumes sortants anormaux, souvent vers des services de stockage légitimes pour se fondre dans le trafic. Elle dure de quelques heures à plusieurs jours.
Ce qui aurait aidé : une surveillance des volumes sortants et des destinations inhabituelles.
Étape 6 — Le chiffrement
Déclenché de préférence un vendredi soir ou la veille d’un jour férié, pour maximiser le délai avant réaction. Le déploiement est rapide : quelques heures suffisent une fois les privilèges obtenus.
À ce stade, il n’y a plus de détection à faire. Il n’y a plus qu’une gestion de crise à conduire.
Ce que cette chronologie change
Elle démonte l’idée que la protection se joue à l’instant du clic. Il y a, entre l’entrée et le chiffrement, plusieurs semaines et cinq occasions de détecter.
Elle explique aussi pourquoi les organisations qui s’en sortent le mieux ne sont pas celles qui ont le plus d’outils, mais celles qui ont trois choses : des sauvegardes hors de portée, un cloisonnement des comptes à privilèges, et quelqu’un qui regarde les alertes d’authentification.
Sur le paiement
Position constante des autorités françaises, dont l’ANSSI : le paiement est déconseillé. Il ne garantit ni la restitution, ni la non-publication, ni l’absence de seconde attaque — et il finance l’écosystème.
Précision utile : le dépôt de plainte conditionne, dans le cadre du régime français d’indemnisation, la possibilité d’une prise en charge assurantielle de la rançon lorsqu’elle est couverte. Ce point relève de votre contrat et de votre assureur, à instruire avant l’incident, pas pendant.
Sources
- CERT-FR — alertes et rapports sur les rançongiciels
- ANSSI — Attaques par rançongiciels, tous concernés
- MITRE ATT&CK — techniques par phase
- Cybermalveillance.gouv.fr — assistance et démarches
Aller plus loin
La détection de ces phases relève de notre infogérance SOC. L’évaluation de votre exposition et de votre capacité de reprise se fait par l’audit 360, et la préparation de la crise par la gouvernance et la continuité.