Rançongiciel : faut-il payer la rançon ?

↑ Ce conseil fait partie du guide : Rançongiciel

Pourquoi la question se pose quand même

Dire « ne payez pas » est facile quand ce ne sont pas ses propres photos de famille, ou la comptabilité d'une entreprise de six personnes, qui sont devenues illisibles. La tentation est légitime : la somme demandée paraît parfois dérisoire face à ce qui est en jeu, et le message promet une solution en dix minutes.

Il faut donc répondre sérieusement, avec trois éléments : ce que le paiement achète réellement, ce qu'il déclenche, et ce qui existe comme alternative. C'est l'objet de cette fiche. Pour les gestes d'urgence des premières heures — couper le réseau, ne rien formater, photographier le message —, voyez rançongiciel : que faire dans les premières heures.

Ce qui se passe réellement quand on paie

Payer n'achète pas une clé : cela achète une promesse, faite par la personne qui vous a attaqué. Voici ce que l'expérience montre, et qui vaut d'être connu avant de décider.

• Le déchiffrement est souvent partiel. Quand un outil est fourni, il est fréquemment lent, instable, et laisse des fichiers abîmés. Une partie des données ne revient pas.
• Rien ne garantit la livraison. Il arrive que rien n'arrive, ou qu'une deuxième demande suive la première.
• La victime devient une cible connue. Une organisation qui a payé est réattaquée plus souvent que la moyenne : elle est passée dans la catégorie « solvable ».
• La porte d'entrée reste ouverte. Payer ne nettoie pas le réseau : si le moyen d'accès initial n'est pas refermé, tout recommence.
• Le paiement finance la suite, et peut poser des difficultés juridiques selon le groupe destinataire.

Autrement dit : même dans le meilleur scénario, le paiement ne règle qu'une partie du problème, et la partie la moins importante.

Ce qu'il faut essayer avant

Dans l'ordre, avant même d'envisager quoi que ce soit :

1. Isoler la machine du réseau et débrancher les disques externes, pour arrêter la progression.
2. Identifier la famille du rançongiciel : l'extension ajoutée aux fichiers et le fichier de rançon suffisent souvent. C'est ce qui conditionne toute la suite.
3. Chercher les sauvegardes oubliées : un disque débranché au moment de l'attaque, un ancien téléphone, une synchronisation en ligne avec historique de versions, une clé USB dans un tiroir.
4. Vérifier les clichés instantanés et les versions antérieures de Windows : souvent détruits par l'attaque, mais pas toujours.
5. Conserver les fichiers chiffrés. Certaines familles voient leurs clés publiées des mois plus tard : un disque mis de côté aujourd'hui peut redevenir lisible plus tard.

Ce dernier point est sous-estimé : on ne formate pas, on met de côté.

Les outils gratuits de déchiffrement

Le projet No More Ransom, porté par Europol et plusieurs éditeurs de sécurité, met à disposition des outils gratuits pour les familles dont les clés ont été saisies ou dont le chiffrement était défaillant. Le site propose de déposer un fichier chiffré et le message de rançon pour identifier la famille, puis renvoie vers l'outil correspondant s'il existe.

Deux points d'honnêteté. D'abord, cela ne fonctionne que pour une partie des familles : les groupes actifs aujourd'hui utilisent un chiffrement correctement implémenté, et sans la clé des attaquants, il n'y a rien à déchiffrer. Ensuite, méfiez-vous des « déchiffreurs » vendus en ligne : une grande partie sont des intermédiaires qui paient la rançon à votre place en prenant une marge, quand ce ne sont pas de simples arnaques visant des victimes.

C'est pour cette raison que nous parlons toujours de tentative de récupération, et jamais de garantie. Quand rien n'est récupéré, la tentative n'est pas facturée : voyez récupération de données.

Négociateurs et intermédiaires

Dès qu'une attaque devient publique, des offres apparaissent : sociétés promettant un « déchiffrement garanti », intermédiaires proposant de « négocier » à votre place. Il faut savoir de quoi il s'agit pour décider en connaissance de cause.

• Les faux déchiffreurs. Une partie de ces sociétés paie simplement la rançon à votre place en facturant une marge, sans vous le dire. Vous payez donc la rançon — plus des honoraires — en croyant l'avoir évitée.
• Les arnaques pures. Une victime de rançongiciel est une victime deux fois ciblée : encaissement d'acompte, puis silence. C'est le même mécanisme que les « récupérateurs de fonds » après une escroquerie bancaire.
• Les vrais spécialistes de la réponse à incident existent, pour les entreprises assurées et les cas lourds ; ils sont mandatés par l'assureur ou identifiés via les dispositifs publics, pas par un message reçu après l'attaque.

La règle de prudence : aucun prestataire sérieux ne garantit de récupérer des fichiers chiffrés. S'il le garantit, c'est qu'il paie, ou qu'il ment. Pour trouver un interlocuteur, passez par cybermalveillance.gouv.fr, qui référence des prestataires — c'est d'ailleurs à ce titre que Fix72 Sécurité y figure.

Le chantage à la divulgation

Depuis quelques années, beaucoup de groupes pratiquent la double extorsion : avant de chiffrer, ils copient les données, puis menacent de les publier si la rançon n'est pas payée. Le calcul change, parce qu'une sauvegarde ne protège plus de tout : elle rend les fichiers, pas la confidentialité.

Ce qu'il faut savoir pour décider : payer n'efface rien. Il n'existe aucun moyen de vérifier qu'une copie a été supprimée, et des cas de publication après paiement sont documentés. La meilleure réponse reste de traiter la fuite comme une fuite : prévenir les personnes concernées, changer ce qui peut l'être, et documenter.

Pour un professionnel, la perte de données personnelles impose une notification à la CNIL sous 72 heures, et souvent l'information des personnes concernées. Ce n'est pas une option.

Assurance, plainte, et le cas des entreprises

Trois démarches, à mener en parallèle du travail technique :

• Le dépôt de plainte, systématique : il conditionne l'intervention de l'assurance et nourrit des enquêtes souvent internationales.
• La déclaration à l'assureur, dans les délais du contrat. Les contrats cyber prévoient généralement des obligations précises ; les lire avant de décider quoi que ce soit évite de perdre la garantie.
• Le signalement via cybermalveillance.gouv.fr ou 17Cyber, qui orientent vers les bons interlocuteurs selon votre situation.

Pour une TPE, ajoutez l'information des clients ou fournisseurs si leurs données sont concernées : c'est désagréable, mais cela vaut mieux que de l'apprendre par ailleurs.

Reconstruire sans la clé

Quand il n'y a rien à déchiffrer, le travail devient une remise en état. Il se déroule toujours dans le même ordre :

1. Copier les fichiers chiffrés sur un disque mis de côté, avant toute autre opération.
2. Reconstruire un système propre : réinstallation complète, jamais un simple nettoyage sur un système compromis.
3. Refermer la porte d'entrée : mot de passe d'accès distant, compte sans double authentification, logiciel non mis à jour — sans cela, l'attaque revient.
4. Restaurer les données disponibles et reconstituer le reste à partir des mails, des impressions, des documents partagés.
5. Remettre en place une sauvegarde correcte, dont une copie déconnectée.

Ce chantier se chiffre au cas par cas : un rançongiciel se traite sur devis, et il faut généralement compter une demi-journée. La page rançongiciel décrit le déroulé, et tarifs le cadre général.

Que la question ne se pose plus

La seule vraie réponse au rançongiciel est en amont, et elle tient en une règle : une sauvegarde déconnectée. Un disque externe branché en permanence est chiffré en même temps que le reste ; un disque qu'on rebranche une fois par semaine, non.

• Trois copies des données, sur deux supports différents, dont une hors du lieu — la règle dite 3-2-1.
• Tester la restauration au moins une fois : une sauvegarde jamais testée n'est pas une sauvegarde.
• Double authentification sur les accès distants et la messagerie professionnelle.
• Mises à jour appliquées, en particulier sur tout ce qui est accessible depuis internet.

C'est exactement le programme d'une séance de prévention. Si vous êtes en train de vivre l'attaque, appelez plutôt : le diagnostic au téléphone dure quinze minutes et ne coûte rien, et l'ordre des gestes des premières heures compte plus que tout le reste.

Questions fréquentes

Payer la rançon est-il illégal en France ?

Payer n'est pas en soi une infraction pour une victime, mais c'est fortement déconseillé par les autorités, et des sanctions internationales peuvent viser certains groupes. Pour une entreprise assurée, le contrat encadre souvent strictement cette décision.

Les fichiers chiffrés sont-ils perdus pour toujours ?

Sans la clé des attaquants, il n'y a généralement rien à déchiffrer. Conservez tout de même une copie des fichiers : des clés sont parfois publiées des mois plus tard, et un outil gratuit apparaît alors.

Une sauvegarde dans le cloud protège-t-elle ?

Seulement si elle conserve un historique de versions et n'est pas montée comme un simple lecteur réseau. Une synchronisation propage le chiffrement : c'est l'historique, et la copie déconnectée, qui sauvent.

Une société me garantit de déchiffrer mes fichiers, est-ce sérieux ?

Non. Sans la clé des attaquants, personne ne peut garantir un déchiffrement : une telle promesse signifie soit que la rançon sera payée à votre place avec une marge, soit qu'il s'agit d'une arnaque visant les victimes.

Et pour que la question ne se pose plus, tout se joue en amont, sur une sauvegarde déconnectée et testée : la méthode complète est dans sauvegarder ses données avant qu'il ne soit trop tard.

À lire aussi : le guide rançongiciel · rançongiciel : les premières heures.