En France, les PME sont particulièrement fragilisées face au danger des offensives par
rançongiciel. Cette technique d’attaque courante de la cybercriminalité consiste en
l’envoi à la victime d’un logiciel malveillant qui chiffre l’ensemble de ses données et lui
demande une rançon en échange du mot de passe de déchiffrement.
51 % des PME françaises affirment qu’une telle attaque aurait de graves
répercussions. Une tendance confirmée par 79 % des employés IT qui estiment qu’un
tel acte serait critique pour l’intégrité de l’organisation.

1. Payer les hackers ou non ? Telle est la question.

Les PME sont conscientes que payer une rançon comporte des risques. 40 % pensent
que cela ne garantit pas la récupération de données, 20 % considèrent que cela
rendrait les entreprises plus vulnérables à de futures attaques, 17 % soupçonnent les
hackers de tout de même avoir l’intention de rendre les données publiques. 56 %
des PME répondantes certifient pourtant n’avoir jamais payé de rançon.
Pour celles qui l’auraient fait, 33 % déclarent avoir déboursé entre 10 001 € et 20 000
€, 28 % d’entre-elles auraient payé un montant compris entre 20 001 € et 40 000 € et
des sommes plus élevées comprises entre 40 001 € et 80 000 € auraient été
déboursées par 14 % des PME. Pour 5 % des entreprises, les sommes ont dépassé les 80
000 €.
Sabrina Khoulalène, analyste de contenu chez GetApp, commente : “Les PME ont bien
compris que ce n’est pas le montant de la rançon qui compte, mais la pratique même de
la demande de rançon qui est discutable. Il convient donc d’avoir une bonne équipe IT
et un plan efficace pour éviter ce genre d’agressions numériques.”

2. Quelles stratégies de défense pour les PME françaises ?

Pour se prémunir des atteintes à la cybersécurité, les entreprises concernées disposent
déjà d’outils préventifs : logiciels antivirus (84 %), mise à jour des logiciels (62 %),
logiciels anti-malware (61 %), ou encore logiciels anti-spam (57,5 %).
Des campagnes de formations et de sensibilisation : 75 % des entreprises
interrogées forment leurs employés à reconnaître et rapporter les attaques
potentielles par ransomware, 40 % les ayant formés une à deux fois et 35 %
régulièrement. Il est toutefois à noter que 26 % des entreprises ne l’ont jamais fait.
En cas d’attaque, 83 % des entreprises considèrent que leurs employés savent à qui
reporter l’incident.

Sauvegarde des données : 98 % des entreprises interrogées révèlent disposer
d’une sauvegarde de données permettant de les récupérer en cas d’attaque par
ransomware. Pour 39 %, il s’agit d’une sauvegarde de données en ligne, 31 % ont une
sauvegarde de données hors ligne et 28 % possèdent les deux.
Plan de continuité d’activité : 71 % des entreprises interrogées déclarent en
disposer quand 29 % n’en ont pas ou n’en sont pas sûrs.
Identification d’une attaque : 73 % des entreprises interrogées sont
convaincues qu’en cas d’attaque elles sauraient détecter l’incident le jour même. 47
% d’entre elles estiment qu’elles s’en rendraient compte dans les heures qui suivent et
27 % presque en temps réel. En revanche, 22 % admettent qu’elles n’en seraient
probablement conscientes que dans les jours, voire mois qui suivent.
Les attaques par ransomware n’ont pas lieu qu’en semaine et peuvent courir le
week-end. Les PME françaises seraient-elles préparées dans ce cas de figure ? 59 % du
panel répondent oui quand 42 % admettent ne pas l’être ou du moins de pas être sûres.

3. Quelles répercussions après une attaque par ransomware ?

Une attaque par ransomware vulnérabilise considérablement une entreprise, et ce, au
delà du seul montant de la rançon :
Dommages financiers à la suite d’une attaque par rançongiciel : pour 26 %
des PME françaises, un ransomware aurait coûté entre 10 001 € et 20 000€ à leur
entreprise, 23 % d’entre-elles auraient subi des dommages compris entre 50 001 € et
100 000€, 21 % auraient quant à elles eu à dépenser entre 20 001 € et 50 000 €. Ces
montants incluent le montant de la rançon, le temps d’arrêt de l’activité, les heures
de travail non rentabilisées, le coût des appareils, les coûts de réseau ou encore les
opportunités manquées.
Les autres impacts générés à la suite d’une attaque : pour 57 % des
entreprises françaises, c’est la perte de temps et de productivité qui a le plus impacté
l’entreprise, quand 50 % se désolent de la perte de leurs données, et 46 % d’une perte
financière. Arrivent ensuite la perte de clients (22 %), ex æquo avec les dommages à
leur réputation (22 %)
La mise en place de nouveaux outils de protection : 43 % des entreprises
sondées confessent avoir installé un logiciel antivirus à la suite de l’agression
numérique dont elles ont été victimes, un logiciel anti-malware (39 %), VPN (36 %) ou
encore un logiciel anti-spam (35 %).

Des installations et mises à jour régulières : les entreprises confient mettre
régulièrement à jour leurs logiciels à la suite d’un ransomware (38 %), leurs
systèmes d’exploitation (34 %), quand d’autres témoignent améliorer la sécurité des
points de terminaison (30 %). 24 % d’entre-elles confient avoir par la suite souscrit à
une cyberassurance pour mieux protéger leur entreprise.

Malgré la menace grandissante et omniprésente de ransomwares toujours plus
sophistiqués, les entreprises disposent néanmoins de plusieurs moyens pour s’en
prévenir. Comme point de départ, une formation régulière à la cybersécurité pour les
employés, ainsi que des sauvegardes sur différents supports pour l’ensemble des
données. De nombreux outils de protection sont également disponibles sur le marché,
pour toutes les bourses et toutes les tailles d’entreprises. Enfin, la souscription à une
cyberassurance permettra d’économiser de multiples frais en cas d’attaque.

* Méthodologie : pour recueillir ces données, GetApp a interrogé en mars 2022 un total de 200
répondants. Les répondants devaient être âgés de plus de 18 ans et être employés dans le
service IT d’une entreprise de 2 à 250 employés et connaître la définition d’un ransomware.
L’équipe de GetApp, composée d’analystes de contenu et de professionnels du marketing,
procède à l’analyse des données selon un processus de nettoyage précis (contrôle qualité) et
une méthode de questions filtres.