---
title: "Ransomware : comment protéger son entreprise à Paris et en petite couronne"
url: https://tech-computer.fr/blog/protection-ransomware-entreprise-paris/
description: "Protection ransomware en entreprise : portes d'entrée à fermer, sauvegardes 3-2-1, détection et réflexes en cas d'attaque pour les PME de Paris et d'IDF."
author: "Tech Computer"
publisher: "Tech Computer"
published: 2026-11-13
updated: 2026-11-11
language: fr-FR
---

# Ransomware : comment protéger son entreprise à Paris et en petite couronne

**En bref :** un ransomware (ou rançongiciel) chiffre les données d’une entreprise et exige une rançon, souvent avec une menace de publication. Pour s’en protéger, une entreprise de Paris ou de petite couronne doit combiner trois défenses : réduire les portes d’entrée (MFA, correctifs), détecter vite (EDR, supervision) et pouvoir tout restaurer grâce à des sauvegardes isolées et testées.

La **protection contre les ransomwares en entreprise** n’est plus un sujet réservé aux grands groupes. Selon l’ANSSI, les TPE, PME et ETI restent la catégorie la plus touchée par les rançongiciels. Dans une zone aussi dense que Paris, les Hauts-de-Seine, la Seine-Saint-Denis et le Val-de-Marne, les entreprises sont très interconnectées : un cabinet, un commerce ou une PME industrielle compromis peut aussi mettre en danger ses clients et ses fournisseurs. Ce guide explique comment fonctionne une attaque, comment la prévenir et comment réagir.

## Qu’est-ce qu’un ransomware et comment fonctionne une attaque ?

Un ransomware est un logiciel malveillant qui chiffre les fichiers, les serveurs et parfois les sauvegardes, puis affiche une demande de rançon pour fournir la clé de déchiffrement. Les groupes criminels pratiquent aussi la « double extorsion » : ils volent les données avant de les chiffrer et menacent de les publier si la rançon n’est pas payée.

Une attaque suit généralement cinq étapes :

1. **Intrusion** : e-mail piégé, mot de passe volé, accès à distance mal protégé ou faille non corrigée sur un pare-feu ou un VPN.
2. **Installation** : l’attaquant s’installe discrètement et obtient des droits d’administrateur.
3. **Exploration** : il cartographie le réseau, repère les serveurs de fichiers et les sauvegardes.
4. **Exfiltration** : il copie les données sensibles vers l’extérieur.
5. **Chiffrement** : il déclenche le chiffrement, souvent la nuit ou le week-end, et supprime les sauvegardes accessibles.

Entre l’intrusion et le chiffrement, plusieurs jours peuvent s’écouler : c’est la fenêtre pendant laquelle une bonne supervision permet d’arrêter l’attaque.

## Les entreprises parisiennes sont-elles vraiment ciblées ?

Oui, et les petites structures en premier. L’ANSSI a recensé 128 compromissions par rançongiciel en 2025 parmi les incidents qui lui ont été remontés ; près de la moitié des victimes étaient des TPE, PME ou ETI. En 2024, cette catégorie représentait déjà 37 % des victimes de rançongiciels connues de l’agence. Ces chiffres ne couvrent que les cas signalés à l’ANSSI : le nombre réel de victimes est plus élevé.

Le choix des cibles est rarement géographique : les attaquants exploitent les failles qu’ils trouvent. Mais la densité d’entreprises en Île-de-France, la part élevée du télétravail et la multiplication des accès à distance augmentent mécaniquement le nombre de portes ouvertes.

*Sources : [Le Monde Informatique, panorama ANSSI 2025](https://www.lemondeinformatique.fr/actualites/lire-un-niveau-de-menaces-toujours-tres-eleve-en-2025-selon-l-anssi-99602.html) (11 mars 2026) ; [ANSSI, communiqué Panorama 2024](https://cyber.gouv.fr/sites/default/files/document/ANSSI_20250311_CP_Panorama_cybermenace_2024.pdf) (11 mars 2025). Consultés le 11 novembre 2026.*

## Quelles sont les portes d’entrée les plus utilisées ?

Le tableau suivant récapitule les vecteurs d’intrusion les plus courants et la mesure qui les ferme.

| Porte d’entrée | Exemple | Mesure qui la ferme |
| --- | --- | --- |
| E-mail piégé | Fausse facture avec pièce jointe ou lien | Filtrage de messagerie + sensibilisation |
| Identifiants volés | Mot de passe Microsoft 365 récupéré par hameçonnage | Authentification multifacteur (MFA) |
| Bureau à distance exposé | Port 3389 ouvert sur Internet | Fermeture du port, accès via VPN + MFA |
| Équipement non corrigé | Pare-feu ou VPN avec une faille connue | Application des correctifs sous quelques jours |
| Prestataire compromis | Compte d’accès d’un fournisseur réutilisé | Comptes nominatifs, droits limités, MFA |
| Poste personnel non maîtrisé | Ordinateur familial utilisé en télétravail | Postes gérés et protégés par EDR |

## Comment protéger son entreprise contre les ransomwares ?

Une protection efficace repose sur trois lignes de défense complémentaires : empêcher l’intrusion, détecter l’attaquant avant le chiffrement, et pouvoir restaurer l’activité sans payer.

### 1. Réduire les portes d’entrée

- Activer le MFA sur la messagerie, le VPN et tous les accès à distance.
- Appliquer les correctifs de sécurité en priorité sur les équipements exposés sur Internet : l’ANSSI insiste sur la nécessité de les appliquer « le plus rapidement possible ».
- Fermer le bureau à distance exposé et supprimer les comptes inutilisés.
- Séparer les comptes d’administration des comptes utilisés au quotidien.
- Protéger les postes et serveurs avec un [EDR](https://tech-computer.fr/glossaire/edr-endpoint-detection-response/), capable de bloquer un comportement de chiffrement.

### 2. Détecter l’attaquant avant le chiffrement

Les attaquants passent souvent plusieurs jours dans le réseau avant de déclencher le chiffrement. Une [supervision](https://tech-computer.fr/glossaire/la-supervision-informatique/) des connexions, des créations de comptes et des volumes de données sortants permet de repérer ces signaux faibles : connexion d’administrateur à 3 heures du matin, outil d’administration inhabituel, transfert massif vers un service de stockage externe.

### 3. Garantir la restauration grâce aux sauvegardes

Les sauvegardes sont la dernière ligne de défense, et les attaquants le savent : ils cherchent à les supprimer avant de chiffrer. Elles doivent donc être isolées du réseau principal. Appliquez la règle 3-2-1 :

- **3** copies des données ;
- sur **2** supports différents ;
- dont **1** copie hors ligne ou immuable, hors des locaux.

Une [sauvegarde externalisée](https://tech-computer.fr/sauvegarde-externalisee/) chiffrée et non modifiable répond à cette exigence. Surtout, testez une restauration complète au moins une fois par trimestre : une sauvegarde jamais testée n’est pas une garantie.

### 4. Former les équipes

La plupart des attaques démarrent par une action humaine : un clic, une pièce jointe ouverte, un mot de passe saisi sur une fausse page. Des sessions courtes et régulières, avec des exemples réels de messages piégés, réduisent fortement ce risque. Expliquez aussi à vos équipes qu’un signalement rapide n’est jamais reproché : c’est ce qui permet de contenir une attaque.

## Quelle checklist anti-ransomware pour une PME ?

Voici les dix contrôles à vérifier en priorité. Si l’un d’eux manque, c’est par là qu’il faut commencer.

1. Le MFA est actif sur tous les comptes de messagerie et d’accès à distance.
2. Aucun bureau à distance n’est accessible directement depuis Internet.
3. Les pare-feu, VPN et serveurs exposés sont à jour.
4. Les postes et serveurs sont protégés par un EDR supervisé.
5. Les comptes administrateurs sont séparés et protégés par MFA.
6. Une copie des sauvegardes est hors ligne ou immuable.
7. Une restauration complète a été testée ces trois derniers mois.
8. Les collaborateurs ont été sensibilisés dans l’année.
9. Un plan de réponse indique qui appeler et quoi isoler.
10. Un [plan de reprise d’activité](https://tech-computer.fr/pra-informatique/) fixe les délais de redémarrage acceptables.

## Que faire si votre entreprise est touchée par un ransomware ?

La priorité est d’isoler les machines touchées pour stopper la propagation, sans les éteindre, afin de préserver les traces utiles à l’enquête. Ensuite :

1. **Isoler** : débrancher du réseau les postes et serveurs touchés (câble et Wi-Fi).
2. **Alerter** : prévenir immédiatement votre prestataire informatique et la direction.
3. **Se faire aider** : signaler l’attaque sur [Cybermalveillance.gouv.fr](https://www.cybermalveillance.gouv.fr/) pour être orienté vers un prestataire de réponse.
4. **Porter plainte** auprès de la police ou de la gendarmerie, avec les éléments recueillis.
5. **Notifier la CNIL** dans les 72 heures si des données personnelles ont pu être exposées (article 33 du RGPD).
6. **Prévenir l’assureur** si vous disposez d’une cyberassurance.
7. **Restaurer** depuis des sauvegardes saines, une fois la porte d’entrée identifiée et fermée.

Les autorités recommandent de ne pas payer la rançon : le paiement ne garantit ni la récupération des données ni leur non-publication, et il finance de nouvelles attaques.

## Combien coûte une attaque par ransomware pour une PME ?

Le coût d’une attaque dépasse largement l’éventuelle rançon. Il comprend l’arrêt de l’activité pendant plusieurs jours ou semaines, la reconstruction des systèmes, les heures d’experts, la perte de données non sauvegardées, les obligations de notification et l’atteinte à la réputation auprès des clients. À l’inverse, les mesures de prévention (MFA, correctifs, EDR, sauvegardes externalisées) représentent un coût mensuel prévisible et maîtrisé.

Pour une PME, la question n’est donc pas de savoir si la prévention coûte cher, mais combien de jours d’arrêt l’entreprise peut supporter. C’est exactement ce que mesure le [RTO et le RPO](https://tech-computer.fr/glossaire/rto-vs-rpo/) d’un plan de reprise.

## Quelles erreurs éviter face aux ransomwares ?

Les erreurs les plus fréquentes ne sont pas techniques mais organisationnelles. En voici cinq à corriger en priorité :

- **Croire que le cloud sauvegarde tout** : un service de synchronisation comme OneDrive réplique aussi les fichiers chiffrés. Il faut une sauvegarde distincte, avec historique et copie immuable.
- **Stocker les sauvegardes sur le même réseau** : un NAS accessible depuis les postes sera chiffré en même temps que le reste.
- **Utiliser le même compte administrateur partout** : une fois ce compte volé, l’attaquant contrôle tout le réseau.
- **Reporter les mises à jour du pare-feu** par crainte d’une coupure : c’est souvent par là que l’attaquant entre.
- **Redémarrer ou formater immédiatement** les machines touchées : cela détruit les traces qui permettent de comprendre l’attaque et de fermer la porte d’entrée.

Corriger ces cinq points ne demande ni gros budget ni projet long, mais réduit considérablement la probabilité et l’impact d’une attaque.

## Quelles erreurs éviter face aux ransomwares ?

Les erreurs les plus coûteuses sont souvent des réflexes de bonne foi. Voici celles que nous rencontrons le plus fréquemment lors d’audits de PME :

- **Croire que la synchronisation est une sauvegarde** : un dossier OneDrive ou Google Drive synchronisé réplique aussi les fichiers chiffrés.
- **Garder les sauvegardes sur le même réseau** : un NAS accessible depuis les postes sera chiffré en même temps que le reste.
- **Utiliser un compte administrateur au quotidien** : un clic malheureux donne alors tous les droits à l’attaquant.
- **Reporter les mises à jour du pare-feu** « pour ne pas couper le réseau » : c’est précisément ce que les attaquants exploitent.
- **Éteindre ou réinstaller les machines** dès l’attaque : on détruit les traces qui permettent de comprendre l’intrusion et de fermer la porte.
- **Rester seul face à l’incident** : un signalement rapide à son prestataire et à Cybermalveillance.gouv.fr limite fortement les dégâts.

## Pourquoi se faire accompagner par un prestataire local ?

En cas d’attaque, chaque heure compte. Un prestataire basé à Paris peut intervenir sur site rapidement pour isoler les équipements, récupérer les journaux et piloter la restauration. Au quotidien, il assure la supervision, l’application des correctifs et le contrôle des sauvegardes, c’est-à-dire tout ce qui empêche l’attaque d’aboutir.

Pour compléter, lisez notre analyse sur [l’essor des ransomwares](https://tech-computer.fr/blog/ransomwares-en-essor/), notre article sur [les stratégies des cybercriminels](https://tech-computer.fr/blog/rancongiciels-2024/) et notre panorama des [10 menaces qui ciblent les PME en 2026](https://tech-computer.fr/blog/menaces-cybersecurite-pme-2026/).

## Questions fréquentes

### Un antivirus protège-t-il contre les ransomwares ?

Pas suffisamment. Les ransomwares récents contournent souvent les antivirus classiques. Un EDR supervisé, le MFA et des sauvegardes isolées sont indispensables en complément.

### Les sauvegardes dans le cloud sont-elles à l’abri ?

Pas toujours. Une sauvegarde synchronisée en permanence peut être chiffrée elle aussi. Il faut une copie immuable ou hors ligne, avec un historique de versions.

### Faut-il payer la rançon ?

Non. Les autorités françaises recommandent de ne pas payer, car rien ne garantit la récupération des données et le paiement encourage de nouvelles attaques.

### Combien de temps faut-il pour se remettre d’une attaque ?

Cela dépend des sauvegardes : avec des copies saines et testées, quelques jours suffisent souvent ; sans elles, la reconstruction peut prendre plusieurs semaines.

### Une cyberassurance couvre-t-elle les ransomwares ?

Souvent, mais sous conditions : la plupart des assureurs exigent désormais le MFA, des sauvegardes isolées et des correctifs à jour. Vérifiez les exclusions de votre contrat.

Tech Computer aide les entreprises de Paris et de petite couronne à se protéger des ransomwares : audit, MFA, EDR supervisé, [sécurité informatique](https://tech-computer.fr/societe-securite-informatique/) et sauvegardes externalisées testées.