Aller au contenu
MON COPAIN CYBERRéussir en cybersécurité

AccueilLes risques › Continuité d'activité

Rançongiciel : ce qui arrive vraiment à l'entreprise

Un lundi matin, rien ne démarre. Cette page décrit les conséquences réelles, dans l'ordre où elles se produisent : sur l'activité, les clients, les fournisseurs, les salariés — et sur le patrimoine personnel du dirigeant, qui n'est pas toujours protégé comme il le croit.

La cybersécurité est souvent présentée comme une affaire d'informatique. Elle est d'abord une affaire de survie de l'entreprise. Un rançongiciel ne détruit pas des ordinateurs : il détruit la capacité à facturer, à livrer, à produire, à payer les salaires et à répondre au téléphone.

Cette page n'a pas vocation à faire peur, mais à rendre concret ce qui reste abstrait tant qu'on ne l'a pas vécu. Elle s'appuie sur des textes juridiques cités précisément, que vous pouvez vérifier vous-même, et sur des mécanismes économiques simples.

La question à se poser ce soir

L'ANSSI la formule ainsi dans son guide destiné aux TPE et PME : « si à la suite d'une attaque vos données disparaissent et votre informatique s'arrête, êtes-vous prêts à retourner au papier et au crayon ? » Prenez trente secondes pour y répondre honnêtement. La réponse détermine tout le reste.

La chronologie

Ce qui se passe, semaine après semaine

Le scénario est malheureusement stéréotypé. Ce qui varie d'une entreprise à l'autre, c'est uniquement sa capacité à en sortir.

Jour 1 — l'arrêt

Les postes ne démarrent pas ou affichent une demande de rançon. Le logiciel de gestion, la comptabilité, les devis, le fichier client, les plans, les fiches de production : tout est chiffré. Le serveur de fichiers aussi. Et très souvent les sauvegardes, si elles étaient branchées en permanence — c'est le cas le plus fréquent dans les petites structures. La messagerie est parfois compromise depuis des semaines sans que personne ne l'ait vu.

Jours 2 à 5 — la sidération

On découvre qu'on ne sait plus qui a commandé quoi, ce qu'on doit livrer cette semaine, à combien on a facturé le dernier chantier. Les salariés arrivent et n'ont rien à faire. Le prestataire informatique constate l'ampleur des dégâts. Les premiers clients s'inquiètent de ne pas avoir de réponse. C'est aussi la période où les erreurs coûtent le plus cher : réinstaller trop vite, effacer les traces, payer dans la panique.

Semaines 1 à 3 — la reconstruction

Si des sauvegardes saines existent, on remonte le système progressivement, en repartant de données parfois anciennes de plusieurs jours ou semaines. Il faut ressaisir, recouper, redemander aux clients ce qu'ils avaient commandé. Si aucune sauvegarde exploitable n'existe, la question devient celle de la reconstitution manuelle du patrimoine informationnel : c'est parfois impossible.

Mois 1 à 6 — la facture

Chiffre d'affaires perdu, pénalités de retard, clients partis à la concurrence, heures de reconstruction, honoraires de prestataires spécialisés, éventuel renouvellement de matériel. À quoi s'ajoutent les coûts invisibles : l'épuisement de l'équipe, le temps de direction entièrement absorbé, les projets gelés. Pour beaucoup de petites structures, c'est ici que se joue la survie, pas au moment de l'attaque.

Le facteur qui décide de tout

Entre l'entreprise qui redémarre en trois jours et celle qui ne s'en relève pas, la différence n'est presque jamais la sophistication de la défense. C'est l'existence d'une sauvegarde déconnectée et testée. C'est peu coûteux, c'est à la portée de n'importe quelle structure, et cela change tout. Le guide de l'ANSSI le formule par la règle « 3-2-1 » : trois copies, sur deux supports différents, dont une hors ligne.

Les effets en chaîne

Qui subit quoi

Une attaque contre une petite entreprise ne reste jamais à l'intérieur de ses murs. Elle se propage à tout son écosystème.

Vos clients

Retards, silence, et perte de confiance

Vous ne pouvez plus livrer, ni répondre, ni facturer. Les commandes en cours sont dans un système inaccessible. Selon vos contrats, des pénalités de retard peuvent s'appliquer immédiatement. Les clients qui trouvent un autre fournisseur pendant ces trois semaines ne reviennent pas toujours.

Le plus graveSi vos clients apprennent que leurs données ont fui chez vous, la question ne sera plus le retard, mais votre responsabilité. Voir la page consacrée au risque juridique.

Vos fournisseurs

Paiements bloqués et défiance en retour

Vous ne pouvez plus émettre de virements, ni vérifier les factures, ni passer commande. Les impayés s'accumulent sans mauvaise volonté. Certains fournisseurs basculent en paiement comptant, ce qui aggrave la tension de trésorerie au pire moment.

Effet moins visibleVos fournisseurs deviennent eux-mêmes des cibles : les attaquants qui ont lu votre messagerie savent qui ils sont, ce que vous leur commandez et sur quel ton vous leur écrivez. Ils s'en serviront.

Vos salariés

Activité arrêtée, données personnelles exposées

Les équipes n'ont plus d'outil de travail. Selon la durée, l'entreprise peut être conduite à envisager des dispositifs de chômage partiel — dont l'éligibilité en cas de sinistre informatique n'a rien d'automatique et doit être examinée avec un conseil. La paie elle-même peut être empêchée si les données sociales sont inaccessibles.

Souvent oubliéLes dossiers du personnel contiennent des données très sensibles : coordonnées bancaires, numéros de sécurité sociale, parfois des données de santé. Leur vol crée une obligation d'information des salariés concernés.

L'entreprise elle-même

Trésorerie, réputation, avenir

Une petite structure vit sur une trésorerie tendue. Trois semaines sans facturer, avec des charges qui courent, suffisent à créer une situation critique. À cela s'ajoutent les frais de remise en état et, souvent, la nécessité d'investir en urgence dans ce qui manquait.

Conséquence durableLa perte de confiance se répercute sur les appels d'offres à venir : de plus en plus de donneurs d'ordre interrogent leurs fournisseurs sur leur sécurité, et un incident non maîtrisé est un handicap commercial durable.

Le point que personne n'aborde

Et le patrimoine personnel du dirigeant ?

Beaucoup de dirigeants pensent que la forme sociale les met à l'abri en toutes circonstances. C'est vrai en principe, et faux dans plusieurs situations précises qu'il vaut mieux connaître avant qu'après.

Avertissement

Ce qui suit présente des mécanismes juridiques généraux à titre d'information. Ce n'est pas un conseil juridique et cela ne remplace pas l'analyse de votre situation par un avocat ou votre expert-comptable. Les textes cités sont vérifiables sur Légifrance.

Entrepreneur individuel

Une protection récente, mais réelle

Depuis la loi n° 2022-172 du 14 février 2022, l'entrepreneur individuel dispose de plein droit de deux patrimoines séparés : un patrimoine professionnel et un patrimoine personnel. Les créanciers professionnels n'ont en principe pour gage que le patrimoine professionnel.

Cette séparation comporte des exceptions, notamment en cas de renonciation à la protection au profit d'un créancier — pratique courante avec les banques — ou de manœuvre frauduleuse. Vérifiez ce que vous avez signé lors de vos derniers financements.

SARL, EURL, SAS, SASU

Responsabilité limitée aux apports… en principe

L'associé d'une société à responsabilité limitée ou par actions simplifiée ne supporte les pertes qu'à concurrence de ses apports. C'est le principe, et il protège effectivement dans la grande majorité des cas.

Mais ce principe connaît des limites que la pratique rend fréquentes : la caution personnelle consentie à la banque, et la responsabilité pour insuffisance d'actif en cas de liquidation judiciaire.

Le cas le plus fréquent

La caution personnelle

Lorsqu'une petite société emprunte, la banque exige presque toujours la caution personnelle du dirigeant. Ce cautionnement est indépendant de la forme sociale : si la société ne peut plus rembourser parce qu'elle s'est effondrée après une attaque, la banque se retourne vers la caution, donc vers votre patrimoine personnel.

C'est, en pratique, le principal canal par lequel un sinistre d'entreprise atteint le patrimoine privé d'un dirigeant de TPE.

La responsabilité pour insuffisance d'actif

L'article L. 651-2 du code de commerce prévoit que, lorsqu'une liquidation judiciaire fait apparaître une insuffisance d'actif, le tribunal peut mettre tout ou partie de cette insuffisance à la charge des dirigeants ayant commis une faute de gestion ayant contribué à cette insuffisance.

Ce texte comporte une protection importante, introduite par la loi du 9 décembre 2016 : « en cas de simple négligence du dirigeant dans la gestion de la société, sa responsabilité au titre de l'insuffisance d'actif ne peut être engagée ». Autrement dit, une négligence simple ne suffit pas.

Où se situe la frontière, en matière de cybersécurité

À notre connaissance, la jurisprudence n'a pas encore fixé de doctrine établie sur le défaut de mesures de cybersécurité comme faute de gestion. La prudence commande néanmoins de distinguer deux situations très différentes :

  • Le dirigeant qui ignorait le risque et n'avait rien mis en place, sans alerte préalable : on est vraisemblablement dans la négligence simple.
  • Le dirigeant averti qui n'a rien fait : prestataire ayant signalé par écrit l'absence de sauvegarde, assureur ayant demandé des mesures, incident antérieur resté sans suite, obligation contractuelle non respectée. La qualification devient nettement plus discutable.

La conséquence pratique est contre-intuitive : un rapport de diagnostic qui pointe des faiblesses vous protège si vous agissez, et vous fragilise si vous le rangez dans un tiroir. Raison de plus pour traiter les recommandations plutôt que de les collectionner.

D'autres textes peuvent entrer en jeu selon les circonstances, notamment les articles L. 223-22 (gérants de SARL) et L. 225-251 (dirigeants de sociétés anonymes) du code de commerce, qui prévoient la responsabilité des dirigeants pour violation des lois et règlements, violation des statuts ou faute de gestion. Le RGPD étant un règlement d'application directe, son inobservation caractérisée entre dans le champ des violations de la réglementation.

Assurance

Ce que votre contrat couvre vraiment

De plus en plus de contrats comportent des garanties cyber, mais leur portée varie énormément. Trois points méritent une vérification avant l'incident, pas pendant.

Le versement d'une rançon est conditionné au dépôt de plainte

La loi n° 2023-22 du 24 janvier 2023 d'orientation et de programmation du ministère de l'Intérieur a introduit dans le code des assurances une disposition subordonnant l'indemnisation d'une cyber-rançon au dépôt d'une plainte de la victime dans les 72 heures suivant la connaissance de l'infraction. C'est une règle simple, mais méconnue : passé ce délai, la garantie peut être perdue.

Rappelons par ailleurs que payer une rançon ne garantit ni la restitution des données, ni l'absence de publication, et alimente l'activité criminelle. L'ANSSI et les services de l'État déconseillent constamment le paiement.

  • Les délais de déclaration. De nombreux contrats imposent une déclaration sous 48 à 72 heures. Un retard peut réduire ou supprimer la garantie.
  • Les clauses d'exclusion. Certaines excluent les dommages résultant de l'absence de mesures élémentaires : sauvegardes, mises à jour, authentification renforcée. Lisez-les : elles décrivent exactement ce que vous devriez déjà avoir mis en place.
  • La perte d'exploitation. C'est souvent le poste le plus lourd. Vérifiez qu'il est couvert, à quelle hauteur, et à partir de quel délai de carence.

Le guide de l'ANSSI consacre l'une de ses treize questions à ce sujet et invite explicitement les dirigeants à faire évaluer la couverture de leur police au risque cyber. C'est un entretien d'une heure avec votre courtier, et il est rentable.

La bonne nouvelle

Presque tout cela s'évite à faible coût

Rien de ce qui précède n'est une fatalité. Les mesures qui empêchent le scénario le plus grave sont peu coûteuses et à la portée de n'importe quelle structure.

Sources et vérifications

  • Textes cités : loi n° 2022-172 du 14 février 2022 ; articles L. 651-2, L. 223-22 et L. 225-251 du code de commerce ; loi n° 2023-22 du 24 janvier 2023. Consultables sur Légifrance.
  • Recommandations techniques : guide ANSSI « La cybersécurité pour les TPE/PME en 13 questions » et publications de l'ANSSI sur les attaques par rançongiciel.
  • Données sur la sinistralité : rapports d'activité annuels de Cybermalveillance.gouv.fr et Panorama de la cybermenace publié chaque année par l'ANSSI. Nous vous invitons à consulter l'édition la plus récente plutôt que des chiffres de seconde main.

Cette page présente des mécanismes juridiques et économiques généraux à titre d'information. Elle ne constitue pas un conseil juridique. Pour votre situation, consultez votre expert-comptable, votre avocat ou votre courtier.