Ransomware : pourquoi restaurer trop vite est une erreur fatale

Malgré les nombreuses transformations que connaît le domaine de la cybersécurité depuis quelques années, le ransomware demeure une méthode de choix pour les cybercriminels. Lors d’un Angle d’Attaque organisé par Riskintel Media et modéré par Yasmine Douadi, Julien Mousqueton, Field CISO Europe chez Cohesity, a discuté des enjeux liés un ransomware, un modèle persistant toujours plus compliqué à contrer.
‍

À l’heure de l’avènement de l’IA agentique et des discussions autour du post-quantique, les menaces cyber « classiques » comme le ransomware ne perdent pas de leur intensité, au contraire. En 2024, la plateforme ransomware.live dénombrait un total de 6 112 attaques. Ce nombre a augmenté de 33% en 2025 avec 8 147 attaques enregistrées. En juillet 2026, il est déjà de 5 301. Le ransomware (ou « rançongiciel »), terme désignant un logiciel utilisé par des individus malveillants pour chiffrer les données de leurs cibles et exiger une rançon en échange de la clé de déchiffrement, est un mode opératoire que les cyberattaquants ont su adapter au gré des évolutions technologiques. 

La gestion d’une attaque ransomware peut déterminer l’avenir d’une organisation : le coût associé au paiement de la rançon ou à d’autres efforts visant à récupérer les données peut représenter le coup de grâce pour une entreprise déjà vulnérable financièrement. Un tel contexte nécessite anticipation et prudence, notamment dans le cadre de la restauration des données. Julien Mousqueton revient sur les enjeux liés au ransomware, son évolution comme mode opératoire, les erreurs à ne pas commettre et les solutions qui peuvent être avancées en cas d’attaque.
‍

Le ransomware : un modèle en mutation
‍

Contrairement aux idées reçues, le ransomware n’est pas vieux d’une ou deux décennies. Ce mode opératoire est en réalité aussi vieux que le World Wide Web, le premier ransomware étant répertorié en 1989 avec l’attaque dite « AIDS Trojan ». Face aux changements techniques, économiques, sociaux et politiques, le ransomware évolue mais demeure une méthode de choix pour les attaquants. 
‍

Julien Mousqueton souligne tout d’abord une mutation du modèle d’un point de vue organisationnel. Selon lui, « on est passés d’un mode indépendant, si je pouvais comparer au monde du business, à un mode vraiment industriel. Aujourd’hui, on sait que ce sont de véritables PME. Y’a des gens en charge du développement, y’a des gens en charge de la négociation. Y’a même du marketing : sur les forums du dark web, on peut trouver des benchmarks de celui qui chiffre plus rapidement que l’autre. On va avoir des gens dédiés à la formation puisqu’on est dans un mode de ransomware-as-a-service, donc finalement, ils vont essayer de recruter des gens pour utiliser leur ransomware, et après ils se partagent la rançon ».

À lire aussi : Protection des données : comment sécuriser le nouvel « or noir »

La nature des organisations ciblées évolue également. Alors que les ransomwares étaient traditionnellement associés à des attaques contre des grands groupes, ils peuvent viser n’importe quelle entité. « De ce que je vois, raconte Julien Mousqueton, je pense qu’il n’y a pas vraiment de distinction [en fonction du secteur]. Tout le monde peut être une victime. Il ne faut pas se dire “moi, j’ai rien à cacher” parce que je l’ai déjà entendu. Toutes les entreprises peuvent être une victime. Alors c’est sûr que plus vous avez une surface d’attaque, plus vous êtes exposés sur Internet, plus vous avez de possibilités d’être attaqués, mais on voit dans certaines attaques assez récentes que les attaquants ont préféré attaquer des petites entreprises qui fournissaient des grands groupes pour finalement rebondir dans le grand groupe. C’est ce qu’on appelle une attaque par supply chain. On est vraiment dans ce type d’attaque. Donc pour moi, il n’y a plus d’exception maintenant [...] Et même quand la petite entreprise sert uniquement de porte d’entrée, ça ne coûte rien de chiffrer et demander une petite rançon. C’est toujours ça de “gagner” si je peux me permettre ».
‍

En réaction aux investissements réalisés par les organisations dans la cyberdéfense, les attaquants ont enfin dû s’adapter d’un point de vue tactique, misant sur des intrusions courtes mais impactantes. Comme l’explique Julien Mousqueton, « avant ils restaient très longtemps dans le système d’information. Maintenant, on voit qu’ils ont vraiment plus peur d’être détectés. Ça peut aller très vite. On a des attaques où entre l’intrusion et l’impact du ransomware, on va être sur 24 heures, voire moins. L’IA aide aussi puisqu’on a vu récemment des systèmes qui permettaient à partir d’une vulnérabilité de créer finalement un programme pour exploiter la faille en moins de quelques heures ».

À lire aussi : SASE et IA en entreprise : pourquoi voir le trafic est la condition pour le contrôler

Comme tous les autres domaines associés à la cybersécurité, le ransomware est impacté par la massification et la sophistication des modèles d’IA qui accélère le développement de nouveaux ransomwares. Comme Julien Mousqueton l’explique, « l’IA augmente la surface d’attaque. Tous les pipelines, les LLM, le shadow IA qu’on rencontre de plus en plus dans les entreprises. Par contre, l’IA aussi aide à défendre. Par contre, il faut que les équipes défensives prennent vraiment le virage de l’IA pour s’aider. C’est un accélérateur, que ça soit du bien ou du mauvais côté ».
‍

Le ransomware est donc loin de passer à la trappe. Au contraire, la menace qu’il représente pourrait gagner en importance au cours des prochaines années. 
‍

Restaurer trop vite, l’erreur à ne pas faire
‍

Parmi les erreurs qu’une organisation victime peut commettre en réaction à une attaque ransomware, la restauration trop hâtive des serveurs est peut-être la plus lourde de conséquences. Julien Mousqueton l’affirme, l’erreur que font le plus les organisations victimes d’attaques, « c’est de restaurer trop vite, sans vraiment analyser le contenu. On sait qu’aujourd’hui, dans une attaque, il y a de la persistance, c’est-à-dire que les attaquants vont essayer de trouver des solutions pour rester, créer des nouveaux comptes, pour se laisser des portes ouvertes, des backdoors pour pouvoir revenir. Et ça souvent les gens oublient de faire toute cette analyse et donc ils restaurent souvent le malware ou la backdoor qui a été créée. Il faut bien comprendre que les attaquants savent comment fonctionne votre système d’information. J’ai même des exemples où les attaquants avaient une meilleure vision du système d’information que le client lui-même puisqu’on a retrouvé des fichiers des attaquants où ils décrivaient vraiment les process, à quelle heure passait les sauvegardes, combien de temps était la rétention, tout dans un fichier ».

Malgré les risques qui y sont associés, la restauration en urgence demeure une option privilégiée par de nombreuses victimes qui sont conscientes du temps nécessaire pour restaurer des serveurs, impactant inévitablement leurs chiffres d’affaires. « En général, comme le décrit Julien Mousqueton, les premiers [système d’information] sont beaucoup plus longs [à restaurer sainement] puisqu’on ne sait pas toujours comment on a été attaqués ou les technologies utilisées par le pirate. Donc je dirais entre trois et six semaines, mais si on parle globalement – et on a encore quelques exemples dans la presse récemment d’hôpitaux qui se sont faits attaqués il y a plusieurs années et qui commencent seulement à dire qu’ils s’en remettent – en général, il faut un an, voire des fois plus. Il y a aussi des problèmes de budget quand il faut racheter des serveurs ». Les attaquants jouent sur cette urgence et le résultat est sans appel. « Moi, je l’ai vécu, raconte Julien Mousqueton, pas chez Cohesity mais dans une précédente vie. Des clients qui disent “non, moi, je suis pas les recommandations, je veux qu’on restaure très rapidement.” Eh bien, on s’est faits rappeler quelques semaines après, ils se faisaient ré-attaquer soit par un autre groupe, soit par le même groupe qui finalement avait laissé une porte ouverte pour revenir ».
‍

Le cœur du problème peut sembler technique, mais selon Julien Mousqueton, il est avant tout humain car il relève de la confiance. « Les attaquants, ce qu’ils veulent faire, c’est vous faire perdre confiance. Tant qu’il y a cette perte de confiance, ça prend du temps de regagner la confiance. C’est comme entre deux humains : ça prend toujours du temps de faire confiance à quelqu’un et, surtout quand on l’a perdue, de refaire confiance ».
‍

L’enjeu humain : limiter l’impact psychologique d’une attaque
‍

Au-delà d’une restauration saine et maîtrisée, d’autres facteurs doivent être pris en compte pour répondre le mieux possible à une attaque ransomware. Julien Mousqueton met à nouveau en avant l’importance de l’humain : « la problématique souvent, c’est qu’une attaque, ça ne se passe pas le mardi à 14h. C’est plutôt le samedi matin à 2h, 3h du matin, donc il faut trouver les bonnes personnes, les réveiller – même s’il y a des astreintes, c’est jamais agréable – et surtout, il faut avoir les décideurs, c’est-à-dire qu’il faut avoir un comité exécutif ou une direction qui soit prête à réagir, qui connaisse les procédures – parce qu’il y a aussi de la procédure. Mais en général, la technique, ça se répare toujours. Il y a toujours des solutions. Les process, qu’ils sont bons ou moins bons, il suffit de les suivre. C’est souvent l’humain qui est le plus dégradé en cas d’attaque. Et je me rends compte en discutant beaucoup avec nos clients, on oublie aussi le côté justement humain au sens “humanité”, c’est-à-dire que les gens au bout d’un certain nombre d’heures doivent dormir, ils doivent manger. Après 24h sans dormir, on laisse pas les gens prendre leurs voitures. Et c’est souvent un aspect qui est vraiment pas pris en compte ou mal pris en compte par beaucoup d’entreprises ».

À lire aussi : « On ne sait pas ce qui se passe entre Paris et Brest » : pourquoi la visibilité réseau devient le nouveau défi de la cybersécurité

Même si les effets d’une cyberattaque ne se limitent pas à un seul département de l’organisation ciblée, la DSI encaisse une part importante du choc d’un point de vue psychologique en raison de leur implication directe dans la crise. « C’est quelque chose, je dirais, de stressant et d’excitant en même temps, résume Julien Mousqueton. Si on fait ce métier, c’est qu’il y a un intérêt. Il y a comme une excitation de chasseur puisqu’on doit trouver ce qu’on appelle le “patient zéro”, par où est rentré l’attaquant, comment, quand, quelle technique, donc c’est quelque chose qui peut être excitant et ce qui fait tenir de longues heures. Par contre, d’un autre côté, on reste des êtres humains et il faut donc en prendre soin de ces gens-là et penser aussi à faire des roulements. On oublie aussi des fois qu’il faut peut-être mieux commencer avec deux personnes si on en a quatre et envoyer les deux autres se coucher et qu’ils viennent prendre la relève parce que sinon, on se retrouve le lendemain matin avec plus personne. Un point que je trouve très important, c’est bien gérer sa crise du point de vue du processus, avoir des canaux de communication pour éviter qu’on ait un DSI ou un RSSI sur son dos en train de dire “t’es sûr ? tu en es où ? qu’est-ce qu’il en est ?” C’est une pression qui ne sert à rien. Il faut vraiment cloisonner, faire des canaux de communication cloisonnés : y’a une personne qui rend compte au RSSI, qui lui-même va rendre compte au board pour que vraiment les opérationnels ne subissent pas cette pression qui est finalement néfaste et n’amène rien ».
‍

Face à l’intensification de la menace, des mesures doivent être prises à tous les niveaux : à l’échelle gouvernementale avec l’introduction de réglementations correspondant davantage à la réalité du terrain ; à l’échelle de l’organisation avec une meilleure préparation aux crises pour prendre les meilleures décisions en cas d’attaque ; et à l’échelle individuelle avec une sensibilisation et un accompagnement des employés pour éviter les erreurs facilitant le déploiement d’un ransomware. L’IA peut jouer un rôle d’accélérateur et de facilitateur non négligeable, autant du côté de la défense que de l’attaque. Le cœur du problème, Julien Mousqueton le souligne, n’est néanmoins pas technique et demeure humain.