Ransomware en PME : la prévention côté postes

Un ransomware paralyse une PME en quelques heures : fichiers chiffrés, activité à l'arrêt, sauvegardes visées, demande de rançon. Pour beaucoup de petites structures, l'incident menace directement la survie de l'entreprise. Dans la grande majorité des cas, l'attaque commence sur un poste de travail — une pièce jointe piégée, une macro Office, un exécutable téléchargé, un faux logiciel. C'est donc là, sur les endpoints, que se joue l'essentiel de la prévention.

La bonne nouvelle, c'est que les rançongiciels ne sont pas magiques : ils réutilisent des techniques connues, exploitent des configurations faibles et progressent en profitant de droits trop larges. Refermer ces portes ne demande pas d'acheter une nouvelle solution coûteuse, mais d'exploiter correctement les protections déjà incluses dans Microsoft Defender et pilotables via Intune. Une défense en couches, bien réglée, suffit à faire échouer la plupart des attaques avant qu'elles n'atteignent vos données.

Fermer les portes d'entrée classiques

Les rançongiciels réutilisent presque toujours les mêmes techniques pour s'exécuter et se propager. Les règles de réduction de la surface d'attaque (ASR) de Microsoft Defender bloquent précisément ces comportements avant qu'ils ne causent des dégâts, sans dépendre d'une signature connue.

• Bloquer l'exécution de macros Office qui lancent des processus enfants.
• Bloquer les contenus exécutables reçus par e-mail et messagerie instantanée.
• Bloquer les vols d'identifiants depuis le processus système lsass.
• Bloquer les exécutables qui ne remplissent pas de critères de confiance ou de fréquence.
• Bloquer la création de processus par les commandes PSExec et WMI.

Déployer les règles ASR sans casser la production

Chaque règle ASR peut être activée en mode audit avant d'être passée en blocage. Cette étape est cruciale : elle vous montre ce qui serait bloqué sans encore l'empêcher, ce qui permet de repérer une application métier légitime qui déclencherait un faux positif. Vous passez ensuite chaque règle en blocage une fois le terrain vérifié, en gardant la possibilité d'ajouter des exclusions ciblées plutôt que de désactiver toute la règle.

Réduire la surface et limiter la propagation

Bloquer l'entrée ne suffit pas : il faut aussi limiter ce qu'un poste compromis peut atteindre et empêcher l'attaquant de s'étendre au reste du parc. Quatre mesures réduisent drastiquement l'impact d'une intrusion réussie.

• Defender avec protection en temps réel, protection cloud et anti-falsification activés.
• Mises à jour automatiques de Windows et des applications, sans délai laissé au hasard.
• Moindre privilège : pas de droits administrateur permanents pour les utilisateurs.
• Protection contre les rançongiciels (accès contrôlé aux dossiers) sur les fichiers sensibles.

Un utilisateur sans droits admin ne peut pas désactiver l'antivirus ni installer un outil malveillant à l'échelle de la machine. Un poste à jour ne se laisse pas exploiter par une faille connue. Un compte cloisonné ne donne pas les clés de tout le réseau. Ces mesures simples brisent la chaîne d'attaque à plusieurs endroits, ce qui suffit souvent à faire échouer le rançongiciel.

Les sauvegardes : votre dernier rempart

N'oubliez pas non plus vos sauvegardes, dernier rempart quand tout le reste a échoué. Les rançongiciels cherchent activement à les détruire pour vous forcer à payer. Des sauvegardes régulières, isolées du réseau et testées, transforment une attaque en simple restauration plutôt qu'en négociation. Combinez-les avec les protections des postes : moins un rançongiciel a de chances de s'exécuter, moins vous solliciterez vos sauvegardes — mais leur existence reste votre garantie ultime de reprise d'activité.

• Appliquez la règle 3-2-1 : trois copies, sur deux supports, dont une hors site.
• Isolez au moins une copie du réseau, hors de portée d'un compte compromis.
• Testez régulièrement la restauration, car une sauvegarde jamais testée n'est qu'une hypothèse.
• Surveillez les tentatives de suppression massive de fichiers, signal précoce d'une attaque.

Un exemple concret

Un comptable d'une PME reçoit une fausse facture au format Word. Il l'ouvre et active les macros comme le document le lui demande. Sur un poste non protégé, la macro télécharge et lance la charge du rançongiciel, qui commence à chiffrer les fichiers partagés et cherche à se propager via les identifiants trouvés en mémoire.

Sur un poste correctement durci, le scénario s'arrête net. La règle ASR qui empêche les macros Office de lancer un processus enfant bloque le téléchargement. Même si la charge s'exécutait, l'utilisateur n'a pas de droits administrateur, Defender bloque l'exécutable non fiable, et le vol d'identifiants depuis lsass est neutralisé. L'attaque n'atteint jamais la phase de chiffrement. Le même e-mail, la même erreur humaine, mais un résultat radicalement différent.

Les erreurs fréquentes à éviter

La protection anti-ransomware échoue souvent sur des détails d'exploitation plutôt que sur un manque d'outils. Voici les écueils les plus courants en PME.

• Laisser des droits administrateur permanents aux utilisateurs par confort.
• Activer les règles ASR directement en blocage sans phase d'audit, puis les désactiver au premier faux positif.
• Reporter les mises à jour, laissant des failles connues exploitables pendant des semaines.
• Garder les sauvegardes en ligne et accessibles depuis les comptes de production.
• Ne jamais tester la restauration et découvrir le jour J que les sauvegardes sont inexploitables.

Comment AuPoint renforce vos postes

AuPoint est un SaaS qui rend la sécurité et la conformité Intune faciles, sans PowerShell. La plateforme déploie les règles ASR, Defender, la gestion des mises à jour et le moindre privilège en quelques clics, avec des réglages recommandés et testés, un aperçu de l'impact avant application et un retour arrière en un clic — sans risque de tout casser en production. Vous obtenez une protection anti-ransomware cohérente sur toute la flotte, alignée sur ISO 27001 et NIS2, sans écrire une ligne de PowerShell.

Questions fréquentes

Les règles ASR risquent-elles de bloquer mes applications métier ?

C'est possible pour quelques applications qui utilisent des techniques proches de celles des logiciels malveillants. C'est pourquoi le mode audit est essentiel : il révèle ces cas avant tout blocage. Vous ajoutez alors une exclusion ciblée pour l'application concernée plutôt que de désactiver la règle pour tout le monde.

Le moindre privilège gêne-t-il vraiment les utilisateurs ?

Au quotidien, la plupart des tâches ne nécessitent aucun droit administrateur. Pour les rares besoins ponctuels, une élévation encadrée et temporaire suffit. Le gain de sécurité est considérable : un compte standard compromis limite fortement ce qu'un attaquant peut faire sur la machine et sur le réseau.

Faut-il payer la rançon si l'attaque réussit ?

Les autorités déconseillent fortement de payer : rien ne garantit la récupération des données et cela finance l'activité criminelle. Avec des sauvegardes isolées et testées, vous restaurez sans négocier. C'est précisément pour cela que la prévention côté postes et la stratégie de sauvegarde vont de pair.

Connectez votre tenant Microsoft à AuPoint et renforcez vos postes contre le ransomware en quelques minutes, avec aperçu de l'impact et réversibilité garantie, sans PowerShell. Commencez gratuitement sur aupoint.io.