Ransomware (rançongiciel) : les failles qu'ils exploitent et comment protéger
sa PME

Un lundi matin, votre responsable informatique n'arrive pas à ouvrir un devis. Puis un deuxième fichier refuse de s'ouvrir. Puis la comptabilité appelle : plus rien ne fonctionne. Sur chaque écran, le même message : vos données sont chiffrées, comptez 72 heures, payez en bitcoin. C'est ça, une attaque par ransomware, un rançongiciel en français. Et la première question qu'on pose ensuite est toujours la même : par où sont-ils entrés ?

On répète souvent que la porte est un équipement exposé et mal corrigé. J'ai voulu vérifier ce que disent les données publiques. La CISA tient un catalogue des failles dont l'exploitation est confirmée, le Known Exploited Vulnerabilities, et marque celles qu'elle sait utilisées dans des campagnes de rançongiciel. J'ai classé ces 361 CVE par famille de produits. Cet article donne les résultats et leurs limites, puis revient sur la mécanique d'une attaque et sur ce qu'une PME peut faire pour se protéger d'un ransomware, avant, pendant et après.

Qu'est-ce qu'un ransomware (rançongiciel) ?

Un ransomware est un logiciel malveillant qui rend vos données inaccessibles, en général en les chiffrant, puis exige une rançon en échange de la clé de déchiffrement. Le principe est vieux, mais on est passé du virus opportuniste qui bloque un poste isolé à une industrie organisée, avec ses fournisseurs, ses sous-traitants et son service client.

Le moteur de cette industrie s'appelle le RaaS, pour Ransomware-as-a-Service. Un groupe développe et maintient le rançongiciel, l'infrastructure de paiement et le site de publication des données volées ; des affiliés louent cet outillage, mènent les intrusions et reversent une commission. On n'a plus besoin d'être un développeur de génie pour lancer une attaque, il suffit de louer la plateforme et d'acheter un accès. C'est ce qui rend les portes d'entrée si importantes : un affilié choisit la faille la moins chère à exploiter, pas la plus élégante.

S'y ajoute la double extorsion. Avant de chiffrer, l'attaquant exfiltre vos données. Même si vous restaurez vos sauvegardes sans payer, il lui reste un levier : publier ou revendre vos fichiers clients, vos contrats, vos données RH. Les établissements de santé français en ont fourni plusieurs démonstrations publiques, détaillées dans l'article sur les cyberattaques d'hôpital.

Les failles qu'exploitent les rançongiciels : 361 CVE passées au crible

Chaque entrée du catalogue KEV porte un champ knownRansomwareCampaignUse, qui vaut Known quand la CISA sait la CVE utilisée dans une campagne de rançongiciel, et Unknown sinon. Dans la version 2026.10.04 du catalogue, téléchargée le 6 octobre 2026, 361 des 1 734 CVE sont marquées Known, soit 20,8 %.

Pour passer des CVE aux familles de produits, j'ai construit une table qui associe chacun des 728 couples éditeur et produit du catalogue à une famille : VPN et pare-feu, messagerie, systèmes d'exploitation, et ainsi de suite. Elle a été proposée par des règles puis relue couple par couple, avec 94 corrections manuelles justifiées une à une. Les entrées trop génériques ("Apple Multiple Products", par exemple, qui couvre plusieurs systèmes et applications à la fois) sont comptées à part comme indéterminées, et jamais réparties : 70 entrées, dont 3 Known. Les scripts, la table, les fichiers bruts et leurs empreintes SHA-256 sont conservés. Une contre-expertise indépendante a recalculé toutes les parts et retrouvé les mêmes chiffres. En relisant l'échantillon de 40 entrées qu'elle avait tiré, j'ai relevé trois classements qui contredisaient la définition des familles, corrigés depuis : Jira (Atlassian) quitte la messagerie pour rejoindre les outils ITSM et DevOps, comme Bitbucket, dans la catégorie "autre" ; le client Citrix Workspace App rejoint les outils d'accès à distance, comme le client TeamViewer ; IBM InfoSphere BigInsights change seulement de sous-catégorie. Les chiffres qui suivent intègrent ces corrections.

Où se concentrent les CVE liées aux rançongiciels

Premier angle : la composition. Sur 100 CVE marquées Known, combien visent chaque famille, et combien sur 100 CVE Unknown ? Si une famille pèse beaucoup plus lourd dans la première colonne que dans la seconde, c'est qu'elle intéresse particulièrement les opérateurs de rançongiciels.

Trois familles ressortent nettement. Les VPN, pare-feu et passerelles pèsent 17,5 % des CVE liées aux rançongiciels contre 7,9 % des autres. La messagerie et les outils de collaboration (Exchange, SharePoint, Zimbra, Confluence, téléphonie IP) passent de 5,5 à 13,0 %. Le transfert de fichiers (MFT, partage en ligne) reste petit en volume, 15 CVE, mais triple sa part. À l'autre bout, la catégorie "autre", qui regroupe navigateurs, routeurs et objets connectés, applications métier ou bureautique, fait presque la moitié des CVE Unknown et à peine plus du quart des Known. Les applications web, elles, pèsent la même chose des deux côtés.

Microsoft, un tiers à lui seul

Impossible de lire ces chiffres sans le dire : Microsoft compte pour 117 des 361 CVE Known, près d'un tiers, sur 389 CVE Microsoft au catalogue. Windows en porte l'essentiel, 75 des 79 CVE Known de la famille des systèmes d'exploitation, auxquelles s'ajoutent Exchange (13), Internet Explorer (6) et SharePoint (5). Le poids de la famille "systèmes d'exploitation" est donc, à quatre CVE près, le poids de Windows.

Il faut aussi savoir ce que mesure une CVE Windows marquée Known. Le catalogue ne dit pas à quelle étape de l'attaque la faille a servi. Sur les 11 CVE Known rangées sous le produit Win32k, par exemple, le catalogue en décrit 10 comme des élévations de privilèges : elles servent à devenir administrateur une fois sur la machine, pas à y entrer. Une partie des CVE de cette famille décrit donc la suite de l'intrusion, alors que les VPN, la messagerie exposée et le transfert de fichiers décrivent, par nature, la porte.

Hors Microsoft, les effectifs deviennent petits et je les donne bruts, sans en tirer de classement : viennent Fortinet 14 (sur 31), Oracle 13 (sur 46), SonicWall 13 (sur 19), Ivanti 12 (sur 35) et Adobe 11 (sur 82). Chez les fabricants d'équipements exposés, Fortinet, SonicWall, Ivanti et QNAP (9 sur 11), au moins un tiers des CVE du catalogue est associé à des rançongiciels.

Quelle part de chaque famille est liée aux rançongiciels

Second angle, plus direct : parmi les CVE exploitées d'une famille, quelle proportion la CISA associe-t-elle à des rançongiciels ? Ici les effectifs sont parfois faibles, alors chaque part est accompagnée de son intervalle de confiance à 95 % (méthode de Wilson). Pour savoir si deux familles se distinguent vraiment, j'ai ensuite comparé chaque paire par un test exact de Fisher, soit 28 comparaisons, en corrigeant les seuils par la méthode de Holm pour ne pas trouver des écarts par simple multiplication des essais. Le tableau est rangé par ordre alphabétique, pas par score, parce que les familles de tête ne se laissent pas classer.

Voici ce que les tests établissent. Dans le catalogue KEV, environ une faille de VPN, pare-feu ou passerelle sur trois est marquée comme utilisée par des rançongiciels (63 sur 171, 36,8 %, intervalle de 30,0 à 44,3 %), comme pour la messagerie et la collaboration (47 sur 122, 38,5 %) : c'est environ trois fois plus que pour les produits rangés hors des familles nommées, navigateurs, bureautique, équipements réseau et objets connectés, applications métier ou sauvegarde (95 sur 743, 12,8 %). Et VPN comme messagerie dépassent aussi les systèmes d'exploitation (23,0 %) et les applications web (20,5 %). Les systèmes d'exploitation et le transfert de fichiers dépassent eux aussi la catégorie "autre", mais rien de plus n'est démontré.

Ce que les tests n'établissent pas compte autant. Le transfert de fichiers affiche la part la plus haute, 45,5 %, mais sur 33 CVE seulement : son intervalle va de 29,8 à 62,0 %. Les hyperviseurs, 31,0 % sur 29 CVE, vont de 17,3 à 49,2 %. Avec ces effectifs, on ne peut pas classer entre elles les failles de transfert de fichiers, de messagerie, de VPN et pare-feu, d'hyperviseurs et d'outils d'accès à distance : leurs parts ne se distinguent pas statistiquement. Les hyperviseurs et les outils d'accès à distance ne se distinguent même pas de la catégorie "autre", pas plus que les applications web. Non distinguable ne veut pas dire égal, l'échantillon est seulement trop petit pour trancher. Dire que "le MFT est la famille la plus visée" serait sur-interpréter.

Une précision sur la messagerie : la famille inclut, par définition, les wikis et outils de collaboration, Confluence en tête. Sans les wikis (Confluence et XWiki, 10 CVE dont 7 Known), elle reste à 35,7 % (40 sur 112, intervalle de 27,4 à 44,9 %). Le constat ne dépend donc pas de ce choix de classement.

Ce que ces chiffres ne disent pas

• Le KEV n'est pas un recensement. La CISA n'inscrit que les failles dont elle a confirmé l'exploitation et qui ont un correctif ou une mesure d'atténuation, avec un biais vers les produits de l'administration fédérale américaine. Un logiciel de gestion très répandu dans les PME françaises peut y être absent sans être sûr.
• Le marquage Known arrive après coup. Une CVE peut passer de Unknown à Known des mois après son ajout. La part Known des CVE ajoutées en 2025 et en 2026 est probablement sous-estimée, faute de recul (voir le graphique ci-dessous).
• Une CVE n'est pas une campagne. Une CVE Known utilisée par un seul groupe pèse autant qu'une CVE exploitée par dix affiliés pendant deux ans. Ces chiffres mesurent la diversité des failles employées, pas leur fréquence.
• Le KEV ne voit que les failles qui portent un numéro de CVE. Un identifiant volé, un compte sans double authentification ou un e-mail de phishing ne portent pas de numéro de CVE. Ces portes d'entrée, très fréquentes, sont hors du champ de l'étude.

La chaîne d'une attaque ransomware, étape par étape

Les familles de l'étude se placent naturellement sur la chaîne d'attaque. Une attaque ransomware moderne se déroule en plusieurs temps, souvent sur plusieurs jours. Entre le premier pied dans la place et le chiffrement final, l'attaquant explore, s'étend et vole. Ce délai est votre fenêtre de détection.

Par où ça entre vraiment : la porte connue et exposée

Les données confirment l'intuition, en la précisant. Les familles surreprésentées dans les CVE liées aux rançongiciels sont presque toutes des services conçus pour être joignables de l'extérieur : une passerelle VPN, un serveur de messagerie, une plateforme de transfert de fichiers n'ont d'intérêt que joignables de l'extérieur. À cela s'ajoutent les portes que le catalogue ne voit pas, parce qu'elles ne portent pas de CVE.

Les comptes exposés sans double authentification restent un raccourci majeur : un mot de passe qui traîne dans une fuite suffit à ouvrir la porte. Le secteur de la santé en offre la série de cas français la mieux documentée, où l'accès initial est souvent un identifiant valide sur un service joignable depuis internet. Et l'e-mail de phishing ne coûte presque rien à l'attaquant tout en visant le maillon qu'aucun correctif ne patche.

Un point pratique découle de l'étude : ne vous fiez pas au seul score de gravité pour décider quoi corriger vite. Dans le même catalogue, près de deux CVE exploitées sur trois notent sous le seuil critique de 9.0, comme le détaille l'analyse du score CVSS face aux failles réellement exploitées. Une CVE du catalogue sur votre VPN est une urgence, quelle que soit sa note.

La plupart de ces portes d'entrée sont visibles depuis internet, donc mesurables. Un VPN non patché, un RDP ouvert, un sous-domaine oublié, un identifiant qui a fuité : un attaquant le découvre par un scan. La seule question est de savoir si vous le découvrez avant lui, ce qui est le métier de l'EASM (External Attack Surface Management) et du test d'intrusion, et l'objet d'une démarche de réduction de la surface d'attaque.

Des cas récents, datés et sourcés

LockBit et l'opération Cronos (février 2024)

Pendant des années, LockBit a été le poids lourd du rançongiciel : le groupe a revendiqué plus de 2 000 victimes à travers le monde, avec un modèle RaaS pur. Le 19 février 2024, une coalition internationale menée par la National Crime Agency britannique et le FBI, l'opération Cronos, a démantelé son infrastructure : trente-quatre serveurs saisis dans huit pays (dont la France), plus de 1 000 clés de déchiffrement récupérées, des arrestations, et le site de fuite du groupe retourné pour y publier les révélations des enquêteurs. La chute d'un groupe, même de cette taille, n'arrête pas l'écosystème : les affiliés se sont redéployés ailleurs.

2025 : Qilin en tête, un paysage éclaté

D'après le Panorama 2025 de l'ANSSI, la souche Qilin domine désormais avec 21 % des rançongiciels identifiés, devant Akira (9 %) et les restes de LockBit 3.0 (5 %). Quand une marque tombe, un autre groupe prend la place. Se protéger consiste donc à fermer les portes que tous empruntent, quel que soit "le" ransomware du moment.

Le cas d'école : un pare-feu non corrigé

La faille CVE-2024-3400, une injection de commande dans le portail GlobalProtect des pare-feu Palo Alto, permet à un attaquant non authentifié d'exécuter des commandes en tant que root sur l'équipement. Elle a été exploitée comme zero-day en avril 2024, est entrée au catalogue KEV le 12 avril 2024, et y porte aujourd'hui la mention d'un usage connu par des rançongiciels. Un seul équipement de bordure, une seule vulnérabilité, et un accès complet.

Avant l'attaque : réduire la surface et se préparer

Comme le scénario est prévisible, la défense l'est aussi. On ne cherche pas à être inviolable, on cherche à fermer les portes faciles et à pouvoir se relever même si l'une cède, ce qui suppose un plan de continuité dimensionné sur le rançongiciel. Voici les mesures qui rapportent le plus, dans l'ordre où je les prioriserais pour une PME.

• Des sauvegardes 3-2-1, testées. Trois copies de vos données, sur deux supports différents, dont une hors ligne ou immuable que le ransomware ne peut pas atteindre. Et une restauration réellement testée : une sauvegarde jamais restaurée est une sauvegarde qu'on découvre corrompue le pire jour. Les consoles de sauvegarde sont elles-mêmes des cibles, comme le montre l'étape 4 de la chaîne ci-dessus.
• La double authentification (MFA) partout où ça expose. VPN, messagerie, accès distant, consoles d'administration, cloud. Encore faut-il que le facteur retenu tienne : une double authentification par notification push se contourne en noyant l'utilisateur sous les demandes d'approbation.
• Réduire et surveiller la surface d'attaque externe. Inventoriez en continu ce que vous exposez, fermez ce qui n'a rien à faire sur internet (RDP, interfaces d'admin), et traquez les identifiants et secrets qui ont fuité. C'est le rôle d'une surveillance de surface d'attaque et de la détection de fuites.
• Patcher vite ce que les rançongiciels visent. VPN, pare-feu, messagerie exposée et transfert de fichiers ressortent de l'étude ; les hyperviseurs, sur trop peu de CVE pour conclure, méritent le même traitement par prudence. Leurs correctifs se traitent en jours, pas en trimestres. Un patch management qui croise le catalogue KEV avec votre inventaire fait le tri tout seul.
• Segmenter le réseau. Un accès initial ne devient une catastrophe que s'il peut se propager. Cloisonner les zones, limiter les comptes à privilèges, durcir l'Active Directory et corriger les failles d'élévation de privilèges de Windows : c'est ce qui casse l'étape 2 et transforme une brèche en incident contenu.

Ces mesures se vérifient. Un test d'intrusion mené en conditions réelles rejoue le début de la chaîne (accès initial, élévation, mouvement latéral) et vous dit non pas si vous êtes "en règle", mais si un attaquant passerait. Et si le sujet vous concerne au titre de la conformité, la directive NIS2 élève ces exigences (gestion des risques, sauvegardes, notification d'incident) pour un grand nombre de PME et d'ETI.

Pendant et après : les bons réflexes

Admettons que l'attaque réussisse malgré tout. Les gestes valables pour n'importe quelle intrusion (isoler, préserver les traces, qui prévenir) sont rassemblés dans que faire en cas de piratage ; ici, quelques principes propres au chiffrement.

• Isoler, sans tout éteindre brutalement. Débranchez du réseau les machines touchées pour stopper la propagation, mais évitez d'effacer les traces : elles serviront à l'enquête et à comprendre par où c'est entré. Ne restaurez rien tant que la porte d'entrée n'est pas identifiée et fermée.
• Se faire aider immédiatement. Le dispositif public cybermalveillance.gouv.fr oriente les victimes et met en relation avec des prestataires. Si vous avez un contrat de réponse à incident, c'est le moment de l'activer.
• Notifier, parce que c'est souvent obligatoire. Portez plainte sans attendre : la LOPMI subordonne l'indemnisation par votre assurance à un dépôt de plainte sous 72 heures. Si des données personnelles sont concernées, le RGPD impose en outre une notification à la CNIL sous 72 heures. Selon votre secteur et votre statut, un signalement à l'ANSSI peut aussi s'imposer, en particulier dans le cadre de NIS2.
• Chercher une clé de déchiffrement légitime avant de céder. Le projet No More Ransom publie des déchiffreurs gratuits pour certaines familles ; les opérations de démantèlement comme Cronos en libèrent aussi.

Une fois la crise passée, il reste à comprendre l'accès initial, à le refermer définitivement, et à s'assurer qu'il n'existe pas dix autres portes du même type. C'est à cette étape qu'un regard offensif (un pentest, une cartographie complète de la surface exposée) sert à durcir durablement le SI.

À retenir

• 361 CVE du catalogue KEV sur 1 734 sont associées par la CISA à des campagnes de rançongiciel. "Unknown" ne veut pas dire "jamais utilisée".
• Environ une faille de VPN ou de messagerie sur trois au catalogue est liée aux rançongiciels (36,8 et 38,5 %), environ trois fois plus que les produits hors des familles nommées (12,8 %), et plus que les systèmes d'exploitation. Le groupe de tête (transfert de fichiers, messagerie, VPN, hyperviseurs, accès à distance) ne se laisse pas classer plus finement.
• Microsoft pèse 117 des 361 CVE, Windows 75 à lui seul, dont une partie sert à élever ses privilèges après l'entrée plutôt qu'à entrer.
• Un ransomware suit une chaîne prévisible : accès initial, élévation et mouvement latéral, exfiltration, sabotage des sauvegardes, chiffrement. Les PME, TPE et ETI font 48 % des victimes parmi les 128 cas traités par l'ANSSI en 2025.
• Avant : sauvegardes 3-2-1 testées, MFA partout, surface externe inventoriée, correctifs rapides sur les familles visées, segmentation. Après : isoler sans détruire les traces, ne pas payer, notifier (plainte, CNIL sous 72 h, ANSSI).

La plupart des attaques ransomware entrent par une porte que l'on aurait pu voir, et fermer, à l'avance. C'est l'objet de la plateforme EASM d'own2pwn, qui cartographie en continu ce qu'un attaquant voit de votre SI, et des pentests web qui rejouent l'intrusion pour de vrai. Envie d'en parler à un humain avant qu'un rançongiciel ne s'en charge ? La page contact est là pour ça.

Questions fréquentes sur les ransomwares