La protection contre les ransomwares pour les petites entreprises repose sur quelques contrôles en couches : l’authentification multifacteur (MFA) sur chaque voie d’ accès à distance, l’application rapide des correctifs pour les vulnérabilités connues et exploitées, une protection des terminaux sur chaque ordinateur, le contrôle des outils d’ accès à distance autorisés à s’exécuter, et des sauvegardes hors ligne qui ont été testées. L’ordre a son importance, et ce guide commence par les contrôles qui ferment les points d’entrée les plus courants.
En 2025, le FBI IC3 a reçu 3 611 plaintes pour ransomware, représentant 32,3 millions de dollars de pertes déclarées, un chiffre qui n’inclut pas les temps d’arrêt, les pertes d’activité ni les coûts de reprise. Le Data Breach Investigations Report 2026 de Verizon a également révélé la présence de ransomware dans 48 % des violations, contre 44 % l’année précédente.
Ce guide explique pourquoi les groupes de ransomware ciblent les petites entreprises, comment les attaquants s’introduisent, quelles protections mettre en place en priorité et quoi faire en cas d’attaque.
Pourquoi les groupes de ransomware ciblent les petites entreprises
Même si les grandes entreprises peuvent sembler être les cibles les plus intéressantes pour les attaques de ransomware, les petites entreprises sont généralement plus faciles à cibler.
Les petites entreprises disposent souvent de moins de sécurité et de réactivité que les grandes organisations, ce qui en fait des cibles tentantes pour les cybercriminels. De plus, les ransomwares ciblant les petites entreprises offrent davantage de cibles, ce qui permet de toucher rapidement plusieurs victimes.
Par exemple, la CISA et le FBI indiquent que le ransomware Akira cible principalement les petites et moyennes entreprises (PME). Lors de certains incidents Akira, les attaquants ont volé des données un peu plus de deux heures après l’accès initial, un délai pendant lequel la plupart des petites équipes n’ont personne qui surveille activement.
Lorsqu’une petite entreprise est touchée par un rançongiciel, elle est sous pression pour tout rétablir rapidement. Chaque instant où l’organisation est privée de l’accès à ses propres données et à son réseau est un instant de plus où elle perd des clients et de l’argent, elle doit donc agir rapidement. Même si elle peut restaurer les données perdues à l’aide de sauvegardes, les attaquants peuvent souvent pratiquer une « double extorsion » et voler les données avant de les chiffrer, de sorte que des données propriétaires et sensibles peuvent toujours être vendues ou divulguées.
Comment un ransomware s’introduit dans le réseau d’une petite entreprise
Si vous voulez éviter les attaques par ransomware, la première étape consiste à comprendre comment elles se produisent. Il existe plusieurs façons pour un ransomware d’accéder au réseau d’une entreprise, notamment :
1. Mots de passe volés et accès à distance sans MFA
Sans MFA, un seul mot de passe volé peut suffire pour permettre aux attaquants d’entrer. La CISA indique que les acteurs d’Akira accèdent via des comptes VPN qui ne sont pas protégés par l’ authentification multifacteur, ainsi que via le protocole Remote Desktop Protocol (RDP). Les mots de passe réutilisés et les identifiants volés par phishing rendent cela plus facile. Des mots de passe forts et uniques sont utiles, mais les équipes IT doivent imposer le MFA sur chaque compte d'accès à distance afin qu’un mot de passe seul ne suffise jamais.
2. Logiciels et appareils non mis à jour
Les attaquants exploitent également des vulnérabilités connues dans les systèmes d’exploitation, les applications, les VPN et d’autres systèmes exposés à Internet qui n’ont pas encore été corrigés. Le déploiement de correctifs qui dépend des utilisateurs pour mettre à jour leurs propres appareils crée des failles, c’est pourquoi un déploiement automatisé des correctifs, géré par l’IT, est essentiel.
Le rapport 2026 de Verizon sur les enquêtes relatives aux violations de données (DBIR) a révélé que l’exploitation des vulnérabilités constituait l’action initiale dans 31 % des violations. Seulement 26 % des vulnérabilités exploitées connues ont été entièrement corrigées, avec un délai médian de 43 jours pour les corriger, ce qui laisse aux attaquants une longue fenêtre pour cibler les systèmes exposés.
3. E-mails de phishing et téléchargements malveillants
Les attaques de phishing et autres techniques d’ingénierie sociale sont souvent les premières étapes des attaques par ransomware. Il suffit qu’un seul employé communique sans le savoir ses données de mot de passe ou télécharge un fichier malveillant pour que ses appareils ou ses comptes soient compromis. Par conséquent, savoir comment prévenir le phishing est essentiel pour la cybersécurité.
4. Des outils d’accès à distance légitimes retournés contre vous
C’est l’un des points d’entrée les plus difficiles à repérer, car les entreprises et les équipes IT utilisent chaque jour des logiciels d'accès à distance pour le travail à distance et le support à distance. Une fois à l’intérieur, de nombreux attaquants installent des outils d’accès à distance commerciaux et légitimes pour conserver leur point d’ancrage. La CISA signale que les acteurs d’Akira font exactement cela, ce qui permet à leur activité de se fondre dans l’administration IT normale, et ils essaient également d’arrêter les processus antivirus.
C’est pourquoi un outil d'accès à distance jamais approuvé par l’IT, apparaissant sur un ordinateur de l’entreprise, est un signal d’alerte qui mérite d’être examiné. Conservez une liste des logiciels d'accès à distance approuvés que vos équipes utilisent afin que les outils non approuvés se repèrent facilement.
Protection contre les ransomwares pour les petites entreprises : que mettre en place en premier
Commencez en haut de cette liste et progressez vers le bas. Les deux premières mesures ferment les points d'entrée que les attaquants utilisent le plus, et chaque étape suivante limite les dégâts si quelque chose passe malgré tout.
1. Exigez la MFA sur chaque voie d’accès à distance et chaque compte administrateur
La MFA exige une deuxième forme de vérification, comme une application d’authentification ou une clé de sécurité, afin qu’un mot de passe volé seul ne puisse pas déverrouiller un compte. C’est l’une des principales recommandations de la CISA pour se défendre contre Akira, avec la fermeture de l’accès RDP direct depuis Internet. Appliquez-la aux VPN, aux outils d’accès à distance, aux e-mails et à chaque compte administrateur.
2. Corrigez d’abord les vulnérabilités connues activement exploitées
Maintenir les appareils à jour avec les correctifs les plus récents est essentiel pour préserver la cybersécurité, mais il est tout aussi important de savoir comment prioriser les correctifs. Commencez par les vulnérabilités connues activement exploitées, car les attaquants les cibleront en premier. (Vous pouvez identifier ces vulnérabilités à l’aide du catalogue CISA des vulnérabilités connues et exploitées.) La priorisation des terminaux compte aussi : commencez par les systèmes exposés sur Internet, les VPN et les serveurs de sauvegarde, car ce sont les plus exposés et les plus critiques pour la reprise. Automatisez l’application des correctifs partout où c’est possible afin que les mises à jour ne dépendent pas des utilisateurs.
3. Exécutez une protection des endpoints sur chaque ordinateur
La protection des endpoints détecte et arrête les menaces sur chaque ordinateur. Recherchez une détection des malwares en temps réel, une mise en quarantaine automatique des menaces détectées et le blocage des sites de phishing. Comme les groupes de ransomware tentent de désactiver la protection, l’IT a également besoin d’une visibilité centralisée sur les appareils protégés. Les équipes ayant la capacité d’analyser les alertes peuvent ajouter la détection et réponse sur les endpoints (EDR) pour des investigations et des réponses plus approfondies.
4. Contrôlez quels outils d’accès à distance peuvent être exécutés
Standardisez l’utilisation d’un seul outil d'accès à distance approuvé, protégé par MFA, et bloquez ou signalez tout autre logiciel d'accès à distance. Ainsi, l’outil qu’un attaquant installe pour conserver l’accès se remarque au lieu de passer inaperçu.
5. Limitez les droits d’administrateur
Les utilisateurs au quotidien ne devraient pas avoir de droits d’administrateur local. Si une attaque par ransomware implique des identifiants volés, un seul compte compromis doté de privilèges administrateur donne aux attaquants une portée bien plus grande. Utilisez des comptes administrateur distincts afin que le nombre de cibles potentielles reste minimal.
6. Conservez des sauvegardes hors ligne testées
Les sauvegardes sont essentielles pour restaurer les systèmes après une attaque. La CISA recommande des sauvegardes hors ligne, chiffrées et conservées séparément du réseau principal, ce qui les rend beaucoup plus difficiles d’accès pour les attaquants. Veillez également à appliquer les correctifs aux serveurs de sauvegarde, puisque des groupes comme Akira ciblent les vulnérabilités de ces serveurs, et effectuez régulièrement des tests de restauration pour confirmer que les sauvegardes sont à jour et fonctionnent.
7. Formez les employés à repérer et signaler le phishing
La formation et la sensibilisation des employés constituent une autre défense essentielle. Les employés doivent savoir reconnaître et éviter les attaques de phishing, et disposer d’un moyen rapide et sans reproche de signaler les messages suspects, afin que l’IT puisse réagir avant qu’une tentative de phishing ne se propage.
Que faire si un ransomware touche votre entreprise
En cas d’attaque par ransomware, réagissez rapidement et dans le bon ordre. Ces étapes suivent la checklist de réponse aux ransomwares du guide #StopRansomware de la CISA:
Déconnectez les ordinateurs affectés du réseau. Cela aide à limiter la propagation, mais évitez de les éteindre si possible, car cela peut détruire des preuves.
Appelez votre prestataire IT ou votre MSP et lancez votre plan de réponse aux incidents. Plus le plan est mis en œuvre rapidement, plus vous pouvez limiter les dégâts.
Préservez les preuves en photographiant les notes de rançon et en consignant les systèmes affectés. Cela facilite l’enquête et le processus de reprise.
Signalez l’attaque aux autorités compétentes, y compris le FBI et la CISA. Vous pouvez la signaler au FBI sur ic3.gov ou auprès d’un bureau local. Si vous avez une cyberassurance, veillez à contacter votre assureur rapidement.
Évitez de payer la rançon. Même s’il peut être tentant de payer la rançon et de limiter vos pertes, rien ne garantit que les criminels tiendront parole (et cela les récompense pour leurs crimes). Ainsi, la CISA et le FBI déconseillent tout paiement.
Restaurez uniquement à partir de sauvegardes propres après avoir fermé le point d’entrée et réinitialisé les mots de passe ; sinon, les attaquants peuvent toujours avoir accès. Vos sauvegardes hors ligne testées sont ce qui rend cette étape possible.
Comment Splashtop Shield for Business aide à protéger vos ordinateurs contre les ransomwares
La protection des terminaux est la couche qui intercepte ce qui échappe au MFA et au déploiement des correctifs. Splashtop Shield for Business fournit cette couche aux petites entreprises, en combinant un antivirus moderne, une protection contre les arnaques et le phishing assistée par l’IA, ainsi que le blocage des outils d’accès à distance non autorisés.
Splashtop Shield for Business est disponible en complément des produits business Splashtop avec accès sans surveillance et protège les ordinateurs Windows et macOS. Avec Splashtop Shield for Business, vous pouvez :
1. Détectez et mettez en quarantaine les logiciels malveillants en temps réel
Splashtop Shield for Business offre une protection antimalware en temps réel et une analyse à l’accès, avec une détection assistée par l’IA qui aide à repérer les menaces que l’analyse basée sur les signatures ne détecte pas. Il met automatiquement la plupart des menaces en quarantaine, et les équipes IT peuvent lancer des analyses rapides et complètes directement depuis la console Splashtop.
2. Bloquez les sites de phishing et les outils d'accès à distance non autorisés
Splashtop Shield for Business bloque les sites non sécurisés et les sites de phishing connus, aidant ainsi à empêcher les employés d’accéder à des pages conçues pour voler des mots de passe. Il détecte et bloque également les tentatives d’installation d’outils d’accès à distance non autorisés et alerte immédiatement l’IT, ce qui aide à contrer la technique de persistance que CISA décrit pour Akira. Les administrateurs peuvent ajouter des outils approuvés à une liste d’autorisation, afin que le support à distance légitime continue de fonctionner.
3. Déployez et créez des rapports depuis la console Splashtop
Les équipes IT peuvent installer Splashtop Shield for Business automatiquement via les politiques Endpoint ou avec une installation silencieuse à la demande. Les alertes de menace apparaissent dans la console Splashtop avec un lien vers la Shield Console pour le triage, où les administrateurs peuvent consulter l’état de la protection et les événements de sécurité pour chaque appareil, et exporter des journaux qui soutiennent les efforts de conformité IT.
Splashtop Shield for Business peut également fonctionner aux côtés d’outils de sécurité tels que CrowdStrike et Bitdefender. Il se concentre sur la prévention et la détection et ne fournit pas de sauvegarde ni de récupération, alors associez-le à une solution de sauvegarde hors ligne. Pour examiner de plus près les éléments à comparer entre les outils, consultez Logiciel de protection contre les ransomwares : les fonctionnalités qui comptent.
Protégez les ordinateurs de votre petite entreprise avec Splashtop Shield for Business
La protection contre les ransomwares pour les petites entreprises fonctionne mieux sous forme de contrôles multicouches par ordre de priorité : l’authentification multifacteur et la gestion des correctifs ferment les points d’entrée les plus courants, et la protection des endpoints intercepte ce qui leur échappe. Splashtop Shield for Business ajoute cette couche endpoint avec un antivirus en temps réel, une détection assistée par l’IA et le blocage des outils d'accès à distance non autorisés.
Si votre organisation utilise déjà un produit professionnel Splashtop avec accès à distance sans surveillance, vous pouvez ajouter Splashtop Shield for Business aux ordinateurs que vous gérez déjà.
Prêt à ajouter Splashtop Shield for Business ? En savoir plus dès aujourd’hui.
