Rançongiciel : faut-il payer ?

La question arrive toujours au même moment. Les serveurs sont chiffrés, une note attend sur un partage réseau, et quelqu’un autour de la table demande combien ils veulent.

Personne n’a envie de la poser. Elle se pose quand même, et il vaut mieux y avoir réfléchi à froid.

Ce que dit la loi française

Payer une rançon n’est pas interdit en France. Le législateur a écarté cette option pendant les débats sur la LOPMI, et le mot « rançon » a fini par disparaître du texte adopté.

Ce qui a été retenu est différent, et bien plus structurant au quotidien. L’article L. 12-10-1 du code des assurances, en vigueur depuis le 24 avril 2023, subordonne le versement de toute indemnité au titre d’une garantie cyber au dépôt d’une plainte pénale dans les soixante-douze heures suivant la connaissance de l’atteinte.

Deux précisions changent la portée pratique de cette règle. Elle est d’ordre public : ni vous ni votre assureur ne pouvez y déroger par contrat, et elle s’applique même si votre police n’en fait aucune mention. Et elle ne vise pas que le paiement d’une rançon — elle conditionne l’ensemble des garanties couvrant les pertes et dommages résultant d’une atteinte à un système de traitement automatisé de données. Frais de gestion de crise, perte d’exploitation, honoraires d’investigation : tout passe par là.

Le délai part de la connaissance de l’atteinte, pas de la fin des investigations. C’est l’erreur la plus fréquente et la plus coûteuse : on attend de mesurer l’étendue du sinistre pour porter plainte, et pendant ce temps le compteur tourne.

Payer résout moins de choses qu’on ne l’imagine

L’argument avancé en cellule de crise est presque toujours le même : la clé de déchiffrement remettra l’activité en route plus vite qu’une restauration. C’est parfois vrai. C’est souvent surestimé.

Un outil de déchiffrement fourni par un attaquant est un logiciel écrit à la hâte, jamais testé sur votre environnement. Il est lent, il échoue sur une partie des fichiers, et il faut reconstruire ce qu’il abîme. Des entreprises ayant payé se retrouvent à restaurer quand même, avec plusieurs jours perdus en supplément.

Le déchiffrement ne traite d’ailleurs qu’une moitié du problème. Dans la quasi-totalité des cas actuels, les données ont été exfiltrées avant d’être chiffrées. Payer pour la clé ne récupère rien : les fichiers sont ailleurs, et la promesse de destruction n’engage personne. La violation de données personnelles a eu lieu, avec ses obligations propres, que le paiement ne suspend pas.

Reste enfin l’accès initial, ouvert tant qu’il n’a pas été identifié et refermé. Payer sans investigation revient à financer la remise en route d’un système auquel l’attaquant a toujours accès.

Ce qui se décide avant, pas pendant

La cellule de crise n’est pas le lieu où l’on arbitre correctement. Sous pression, avec une activité à l’arrêt et des clients qui appellent, la tentation de payer devient mécanique.

Quelques éléments gagnent à être écrits à froid, et rangés quelque part d’accessible en dehors du système d’information.

Qui décide. Le paiement d’une rançon relève de la direction générale, pas de la technique. Le nom doit être écrit, avec un suppléant.

Où porter plainte. Commissariat ou brigade de gendarmerie, avec les éléments à réunir. Soixante-douze heures passent vite un week-end du 15 août.

Ce que couvre réellement votre contrat. La plupart des dirigeants découvrent le contenu de leur police pendant le sinistre. La lire une fois, en repérant les exclusions et le délai de déclaration, prend une heure.

Combien de temps l’activité tient sans système d’information. C’est la seule donnée qui permet d’arbitrer. Une entreprise qui sait qu’elle tient dix jours ne raisonne pas comme une entreprise qui s’arrête en quarante-huit heures — et celle qui ne s’est jamais posé la question paiera.

Le vrai levier est en amont

Ce qui évite d’avoir à se poser la question, c’est une sauvegarde restaurable. Pas une sauvegarde qui tourne : une sauvegarde inaccessible depuis le domaine compromis, et dont la restauration a été testée et chronométrée.

C’est la mesure la moins spectaculaire du catalogue, la moins valorisante à présenter en comité, et de très loin la plus déterminante le jour où ça tombe.

Sources

• Loi n° 2023-22 du 24 janvier 2023 (LOPMI), article 5 — article L. 12-10-1 du code des assurances, en vigueur depuis le 24 avril 2023
• Code pénal, articles 323-1 à 323-3-1
• Règlement (UE) 2016/679 (RGPD), articles 33 et 34
• ANSSI — « Attaques par rançongiciels, tous concernés »