Un logiciel malveillant, ou maliciel, est un programme conçu pour nuire : voler des informations, prendre le contrôle d’une machine, chiffrer des fichiers contre rançon ou détourner de la puissance de calcul. Le terme recouvre des objets très différents, dont les conséquences pour une entreprise n’ont rien de comparable.
Les familles à connaître
| Famille | Ce qu’elle fait | Comment on s’en aperçoit |
|---|---|---|
| Rançongiciel | Chiffre les fichiers et réclame un paiement, après avoir souvent volé une copie | Brutalement, quand tout est déjà fait |
| Voleur d’identifiants | Récupère les mots de passe enregistrés dans les navigateurs et les jetons de session | Presque jamais, sauf par une connexion anormale détectée |
| Porte dérobée | Maintient un accès discret à la machine pour plus tard | Rarement, et souvent des semaines après |
| Cheval de Troie bancaire | Détourne les virements en modifiant les coordonnées au moment de la saisie | Au relevé bancaire, trop tard |
| Cryptomineur | Utilise vos machines pour produire de la cryptomonnaie | Des postes lents et des ventilateurs bruyants |
| Logiciel espion | Enregistre la frappe, les écrans, les documents | Très difficilement sans outil de détection |
Une observation ressort de la colonne de droite : à l’exception du rançongiciel, aucune de ces familles ne se signale d’elle-même. C’est exactement pourquoi la protection ne peut pas reposer sur ce que les utilisateurs remarquent.
La chaîne réelle d’une attaque par rançongiciel
L’image du courriel piégé ouvert à 9 h et de l’entreprise bloquée à 9 h 05 ne correspond plus à rien. Le déroulement observé aujourd’hui tient en cinq étapes, étalées sur plusieurs jours.
- L’accès initial. Un identifiant valide acheté ou volé, une faille non corrigée sur un équipement exposé, ou un utilisateur qui autorise une application malveillante. Le logiciel malveillant n’intervient pas encore.
- La reconnaissance. L’intrus regarde, cartographie le réseau, identifie les comptes d’administration et repère où sont les sauvegardes. Cette phase dure des jours et ne déclenche aucune alerte de disponibilité.
- L’élévation et la propagation. Il obtient des droits élevés et se déplace de machine en machine, souvent avec des outils d’administration légitimes qu’aucun antivirus ne signalera.
- L’exfiltration. Une copie des données part avant tout chiffrement. C’est ce qui permet la double extorsion : payer pour déchiffrer, puis payer pour que rien ne soit publié.
- Le chiffrement. En dernier, un week-end ou un soir de pont, après suppression des sauvegardes accessibles depuis le réseau.
La conséquence pratique est décisive : le seul moment où l’on peut encore agir se situe entre l’étape 1 et l’étape 5, et il ne produit aucun symptôme visible. Il faut donc quelqu’un qui surveille les comportements, ce qu’assure notre surveillance de sécurité 24/7.
Par où ils entrent réellement
- Un compte volé. C’est devenu le premier vecteur. Le mot de passe circule dans une fuite ou a été donné sur une fausse page de connexion. Aucun logiciel malveillant n’est nécessaire pour entrer.
- Un équipement exposé non corrigé. Un accès distant, un pare-feu ou un serveur publié sur internet dont la faille est connue depuis des mois.
- Un consentement accordé à une application. L’utilisateur clique « accepter » et une application obtient l’accès à sa messagerie, durablement. Le mécanisme est détaillé sur notre page attaque par consentement illicite.
- Un faux support technique. Un appel ou une fenêtre alarmante amène un collaborateur à installer lui-même un outil de prise en main à distance.
- Une pièce jointe ou un fichier téléchargé, qui reste un vecteur mais n’est plus le principal.
Cette page vous a aidé ? C’est notre métier.
- Support 8h-20h · 7j/7
- SOC 24/7
- < 10 min
- Équipe dédiée
Ce qui protège, par ordre d’efficacité
- Sécuriser les comptes. Double authentification partout, fermeture des protocoles anciens, droits d’administration limités et nominatifs. C’est le meilleur rapport effort sur risque, et cela coupe le premier vecteur. Voir notre page authentification multifacteur.
- Une sauvegarde hors de portée. Non modifiable pendant une durée définie, séparée des identifiants du domaine, injoignable depuis un poste compromis. C’est elle qui décide si vous redémarrez en un jour ou en trois semaines, sujet traité sur notre page sauvegarde externalisée et selon la règle 3-2-1.
- Une détection comportementale exploitée par quelqu’un. Un EDR repère l’étape 3 ; encore faut-il que son alerte soit lue la nuit.
- Les correctifs appliqués sans délai sur tout ce qui est exposé à internet.
- La segmentation du réseau, qui limite la propagation quand quelque chose passe, décrite sur notre page réseau d’entreprise.
- La sensibilisation des équipes, utile, mais qui vient en dernier : miser la protection de l’entreprise sur le fait que personne ne se trompera jamais n’est pas une stratégie.
Que faire le jour où cela arrive
Cinq gestes, dans cet ordre, et surtout pas d’improvisation.
- Isoler sans éteindre. Débranchez le réseau, laissez les machines allumées : la mémoire contient des éléments précieux pour comprendre, et un arrêt brutal peut détruire des données récupérables.
- Prévenir votre prestataire et votre direction, et déclencher la cellule de crise si elle existe.
- Ne pas payer sans analyse. Le paiement ne garantit ni le déchiffrement complet, ni l’absence de publication, et il vous désigne comme cible solvable.
- Déposer plainte et prévenir l’autorité de protection des données si des données personnelles sont concernées, dans le délai réglementaire.
- Restaurer depuis une sauvegarde vérifiée, sur un environnement reconstruit, jamais sur les machines compromises. La démarche complète relève de la reprise d’activité.
Questions fréquentes sur les logiciels malveillants
Qu’est-ce qu’un logiciel malveillant ?
C’est un programme conçu pour agir contre l’intérêt de l’utilisateur ou de l’organisation : voler des données, ouvrir un accès, chiffrer des fichiers, détourner des ressources. Le terme regroupe les rançongiciels, les voleurs d’identifiants, les chevaux de Troie, les logiciels espions et les cryptomineurs.
Qu’est-ce qu’un rançongiciel ?
C’est un logiciel malveillant qui chiffre les fichiers d’une organisation et réclame un paiement en échange de la clé de déchiffrement. Depuis plusieurs années, les attaquants volent également une copie des données avant de chiffrer, afin de menacer de les publier : c’est ce qu’on appelle la double extorsion, et elle rend la sauvegarde nécessaire mais plus suffisante à elle seule.
Faut-il payer la rançon ?
Les autorités le déconseillent, et l’expérience leur donne raison : le déchiffrement obtenu est fréquemment partiel, rien ne garantit la destruction des données volées, et le paiement vous inscrit sur la liste des cibles ayant payé. La décision appartient à la direction, éclairée par l’état réel des sauvegardes et l’avis de l’assureur, mais elle ne devrait jamais être prise dans les premières heures.
Un antivirus suffit-il à s’en protéger ?
Non. Un antivirus reconnaît ce qui est déjà répertorié, alors que la phase de propagation utilise des outils d’administration parfaitement légitimes. Il faut une détection comportementale et, surtout, quelqu’un qui traite ses alertes, y compris la nuit et le week-end, moments choisis par les attaquants.
Comment savoir si nous sommes déjà infectés ?
Sans outil de détection, on ne le sait généralement pas : c’est la définition même du problème. Les signaux à prendre au sérieux sont une connexion réussie depuis un pays inhabituel, la création d’une règle de redirection de messagerie, un compte d’administration créé sans demande, et des postes anormalement lents. Notre prédiagnostic cybersécurité permet de faire ce premier point.
La sauvegarde suffit-elle ?
Elle est indispensable et elle ne suffit pas. Elle vous permet de redémarrer, mais elle ne fait rien contre la publication de données volées avant le chiffrement. C’est pourquoi elle se combine à la protection des comptes, qui empêche l’entrée, et à la surveillance, qui raccourcit le temps de présence de l’intrus.
Mesurer votre exposition
Les questions utiles sont peu nombreuses : vos comptes sont-ils tous protégés par un second facteur, votre sauvegarde est-elle hors de portée d’un administrateur compromis, et qui lit les alertes la nuit. Prenez 30 minutes avec un ingénieur : nous répondons à ces trois questions sur votre environnement réel.