Rançongiciel
Un rançongiciel (ransomware) est un programme malveillant qui chiffre les fichiers et les serveurs d'une collectivité, puis exige une rançon contre la clé de déchiffrement, souvent sous la menace de publier les données volées.
Cette définition couvre également les termes :
- ransomware
- logiciel de rançon
Définitions
Définition simple : qu'est-ce qu'un rançongiciel (ransomware) ?
Un rançongiciel, ou ransomware en anglais, désigne un programme malveillant qui chiffre les fichiers et les serveurs d'une collectivité territoriale pour les rendre inutilisables, afin d'exiger une rançon contre la clé de déchiffrement, souvent assortie d'une menace de publier les données volées.
C'est l'attaque la plus lourde pour la continuité des services publics. Messagerie, téléphonie et applications métier deviennent inaccessibles en même temps : l'Agence nationale de la sécurité des systèmes d'information (ANSSI) décrit des organisations contraintes de revenir « au papier et au crayon ». Les attaquants pratiquent désormais la double extorsion : ils volent les données avant de les chiffrer, puis menacent de les divulguer.
Les enjeux du rançongiciel pour les collectivités
En 2025, l'ANSSI a eu connaissance de 128 compromissions par rançongiciel, dont 11 % visaient des collectivités territoriales ; en 2024, leur part atteignait 17 % des 144 compromissions. Chez Cybermalveillance.gouv.fr, le rançongiciel représente 13,1 % des demandes d'assistance des collectivités et administrations en 2025, en troisième position.
L'ANSSI recommande de ne jamais payer la rançon : le paiement ne garantit pas la récupération des données et entretient l'activité criminelle. La protection tient d'abord à des sauvegardes hors ligne testées, que l'agence désigne comme la mesure prioritaire, puis aux mises à jour, à l'authentification multifacteur et à la sensibilisation des agents. Une petite commune dont toutes les données tiennent sur l'ordinateur du secrétariat perd tout en une nuit sans copie externe.
Les retours d'expérience de Numérique360 montrent un Département qui héberge et sécurise les données des communes rurales, deux collectivités qui forment leurs agents par le jeu et une Région qui organise la réponse d'urgence aux victimes.
Définition technique : fonctionnement d'une attaque par rançongiciel
Une attaque contre une organisation se déroule en cinq phases. Accès initial : exploitation d'une faille sur un accès de bureau à distance (RDP), un réseau privé virtuel (VPN) ou un serveur de stockage en réseau (NAS), ou compte d'agent volé par hameçonnage. Élévation de privilèges et prise de contrôle de l'annuaire. Destruction des sauvegardes connectées. Exfiltration des données à monnayer. Chiffrement simultané des postes et serveurs, suivi d'une note de rançon payable en cryptomonnaie.
Le chiffrement repose sur des mécanismes cryptographiques qui rendent les fichiers illisibles sans la clé détenue par l'attaquant. Les groupes fonctionnent en rançongiciel en tant que service (RaaS) : des développeurs louent leur outil à des affiliés. L'Agence nationale de la sécurité des systèmes d'information (ANSSI) a observé en 2025 les souches Qilin (21 % des cas identifiés), Akira (9 %) et LockBit 3.0 (5 %), et plus d'une dizaine de nouvelles souches.
La défense s'organise autour de la règle de sauvegarde 3-2-1 (trois copies, deux supports, une copie hors site et hors ligne) avec restauration testée, des correctifs appliqués en priorité sur les équipements exposés, de l'authentification multifacteur sur les accès distants, d'un EDR (détection et réponse sur les postes), du cloisonnement du réseau et du retrait des droits d'administrateur aux utilisateurs.
Définition juridique et réglementaire du rançongiciel
Les infractions poursuivies
Une attaque par rançongiciel cumule plusieurs atteintes aux systèmes de traitement automatisé de données. L'accès frauduleux est puni de trois ans d'emprisonnement et de 100 000 euros d'amende (article 323-1), l'entrave au fonctionnement du système de cinq ans et 150 000 euros (article 323-2), l'introduction, l'extraction ou la modification frauduleuse de données des mêmes peines (article 323-3). L'article 323-4-2 porte la peine à dix ans et 300 000 euros si l'attaque expose autrui à un risque immédiat de mort ou fait obstacle aux secours.
La plainte et l'assurance
L'Agence nationale de la sécurité des systèmes d'information (ANSSI) recommande de déposer plainte au nom de la collectivité. L'article L12-10-1 du code des assurances, créé par l'article 5 de la loi n° 2023-22 du 24 janvier 2023 d'orientation et de programmation du ministère de l'intérieur, subordonne toute indemnisation d'une cyberattaque par un assureur à une plainte déposée au plus tard 72 heures après sa connaissance par la victime.
Les données personnelles
Si des données personnelles sont chiffrées ou volées, l'article 33 du règlement général sur la protection des données (RGPD) impose une notification à la Commission nationale de l'informatique et des libertés (CNIL) sous 72 heures, et l'article 34 l'information des personnes concernées en cas de risque élevé. L'article 226-17 du code pénal punit de cinq ans et 300 000 euros le traitement de données sans les mesures de sécurité exigées.
| Cas d’usage | Description | Bénéfices pour les collectivités |
|---|---|---|
| Sauvegarder les données des communes hors de la mairie | Un Département construit son centre de données pour héberger et sauvegarder les données administratives des communes rurales, souvent stockées sur un seul ordinateur de secrétariat, avec des risques de données corrompues, bloquées ou perdues. Retour d'expérience. |
Une copie des données qui survit au chiffrement du poste de la mairie. |
| Fermer les portes d'entrée par la sensibilisation | Deux collectivités, marquées par des attaques réelles sur leur territoire, dont un rançongiciel contre un hôpital, créent un jeu qui entraîne les agents face à une clé USB piégée et à l'hameçonnage. Retour d'expérience. |
Moins d'infections déclenchées par un clic ou un support amovible. |
| Obtenir une aide d'urgence après le chiffrement | Une Région met en place un centre régional de réponse aux incidents qui apporte un premier niveau d'aide aux victimes, collectivités comprises, et les met en relation avec des prestataires de confiance. Retour d'expérience. |
Une réponse coordonnée dès les premières heures. |
| Tester la restauration des sauvegardes | Une intercommunalité restaure régulièrement ses serveurs critiques depuis sa copie hors ligne et mesure le délai réel de reprise. Retour d'expérience à venir sur ce cas d'usage. | Des délais de reprise connus avant l'attaque. |
