Le ransomware n’est plus un problème réservé aux grandes multinationales. En 2026, les PME belges sont devenues la cible numéro un des groupes criminels : moins bien protégées, souvent sans plan de réponse, elles offrent un retour sur investissement rapide. La rançon moyenne demandée à une PME en Belgique atteint désormais 45 000 €, et 60 % des entreprises victimes ferment dans les six mois.
Ce guide explique concrètement comment une attaque se déroule, ce qu’elle coûte vraiment, et les huit mesures qui réduisent le risque de plus de 90 %, sans transformer votre PME en forteresse militaire.
Ransomware : comprendre la menace qui vise votre PME
Un ransomware (ou rançongiciel) est un logiciel malveillant qui chiffre l’ensemble de vos données, fichiers clients, comptabilité, emails, sauvegardes, puis exige un paiement en cryptomonnaie pour en restaurer l’accès. En Belgique, le montant moyen demandé à une PME atteint désormais 45 000 €, souvent bien plus quand les attaquants détectent un chiffre d’affaires supérieur à 2 millions d’euros.
Les points d’entrée sont toujours les mêmes :
- Un email de phishing ouvert par un collaborateur pressé
- Un mot de passe réutilisé retrouvé sur le dark web
- Une connexion distante mal sécurisée (RDP, VPN sans MFA)
- Un logiciel non mis à jour exploitant une vulnérabilité connue
L’attaque typique ne dure pas quelques minutes. Les attaquants sont dans votre réseau en moyenne 11 jours avant de déclencher le chiffrement, le temps d’identifier vos sauvegardes, de les supprimer, et de maximiser la pression.
L’impact réel d’une attaque ransomware sur une PME belge
Quand on demande à un dirigeant s’il peut tenir trois semaines sans accès à ses systèmes, la réponse est presque toujours non. Pourtant, c’est exactement ce qui arrive après une attaque :
- 60 % des PME victimes de ransomware ferment dans les 6 mois qui suivent
- 187 000 € de coût total moyen (rançon + perte d’exploitation + récupération)
- 21 jours de récupération opérationnelle, dans le meilleur des cas
- 32 % des entreprises qui paient la rançon ne récupèrent jamais leurs données
- 80 % des attaques réussissent à cause d’une seule erreur humaine
Au-delà des chiffres, il y a des réalités plus silencieuses : clients partis chez le concurrent pendant l’indisponibilité, contrats perdus faute de livrables, burn-out des équipes IT, procédure RGPD déclenchée par l’APD, couverture médiatique locale qui abîme la réputation pendant des années. Une cyberattaque ne se résume jamais à la rançon, elle fait éclater l’entreprise de l’intérieur.
Pour comprendre aussi vos obligations légales après un incident, lisez notre guide sur le RGPD et la cyberattaque.
Les 8 mesures de protection ransomware qui font réellement la différence
La bonne nouvelle : la très grande majorité des attaques échouent contre une PME correctement préparée. Voici les huit mesures qui, combinées, réduisent le risque de plus de 90 %.
1. Sauvegardes immuables selon la règle 3-2-1
La sauvegarde reste la défense ultime. Appliquez la règle 3-2-1 :
- 3 copies de vos données
- 2 supports différents (disque local + cloud)
- 1 copie hors site, immuable (que personne, pas même un administrateur, ne peut supprimer)
Sans sauvegarde immuable, les attaquants chiffrent vos backups avant de déclencher la rançon. Testez la restauration tous les trimestres, une sauvegarde qu’on ne sait pas restaurer n’en est pas une.
2. Formation continue des collaborateurs
80 % des attaques passent par une erreur humaine. La formation annuelle ne suffit plus. Mettez en place :
- Des simulations de phishing mensuelles
- Une procédure simple pour signaler un email suspect en un clic
- Un briefing sécurité lors de chaque onboarding
- Des rappels courts après chaque vague d’attaques médiatisée
3. Mises à jour et gestion des vulnérabilités
Les ransomwares exploitent massivement des failles connues depuis des mois. Installez les correctifs de sécurité dans les 14 jours suivant leur publication pour les systèmes critiques. Pour le reste, ne dépassez pas 30 jours.
4. EDR plutôt qu’antivirus classique
Un antivirus gratuit détecte ce qui est déjà connu. Un EDR (Endpoint Detection and Response) détecte les comportements anormaux, exfiltration de données, chiffrement massif, mouvement latéral, avant que l’attaque ne se déclenche pleinement.
5. Authentification multi-facteurs (MFA) partout
Activez la MFA sur tous les comptes à privilèges : email, banque, VPN, outils d’administration, applications métier. Un mot de passe volé sans MFA, c’est une porte ouverte. Avec MFA, c’est un incident évité.
6. Segmentation du réseau
Un poste de travail infecté ne doit pas pouvoir atteindre votre serveur comptable. Isolez vos systèmes critiques dans des segments réseau séparés, avec des règles de communication strictes. Cette mesure à elle seule transforme une catastrophe en incident circonscrit.
7. Plan de réponse incident documenté et testé
Le pire moment pour découvrir qu’on n’a pas de plan, c’est pendant l’attaque. Documentez à l’avance :
- Qui appeler (CERT.be, votre courtier cyber, votre avocat)
- Comment isoler les systèmes sans tout débrancher à l’aveugle
- Qui communique en interne et vers les clients
- Comment restaurer et dans quel ordre
Testez ce plan au moins une fois par an avec un exercice de simulation.
8. Monitoring cyber continu et assurance cyber
Aucune protection n’est infaillible. Un monitoring externe continu identifie les points faibles visibles depuis internet (ports oubliés, certificats expirés, identifiants fuités) avant qu’un attaquant ne les exploite ; l’assurance cyber absorbe le coût quand une attaque passe malgré tout. Découvrez pourquoi le monitoring cybersécurité est devenu indispensable.
Que faire dans les 4 premières heures d’une attaque ransomware
Les décisions des quatre premières heures déterminent la suite. La plupart des dirigeants font l’inverse de ce qu’il faut, par panique.
Les bons réflexes :
- Isoler, pas éteindre. Déconnectez les machines infectées du réseau (câble débranché, Wi-Fi coupé), mais ne les éteignez pas, vous perdriez des preuves essentielles pour l’enquête et la récupération.
- Ne payez pas immédiatement. Le paiement ne garantit rien : un tiers des entreprises qui paient ne récupèrent pas leurs données. Il peut aussi violer les sanctions internationales si le groupe criminel est listé.
- Appelez votre courtier cyber avant tout. Une assurance cyber active déclenche un numéro unique d’urgence 24/7 : négociateurs, forensique, avocats, communicants sont mobilisés en quelques heures.
- Notifiez l’APD dans les 72 heures si des données personnelles sont compromises. C’est une obligation RGPD, pas une option.
- Déposez plainte auprès de la police et signalez l’incident au CERT.be.
Chaque heure d’improvisation coûte plusieurs milliers d’euros. Un plan de réponse préparé fait gagner des semaines de récupération.
L’assurance cyber : un bouclier financier ET opérationnel
Une bonne assurance cyber PME ne se limite pas à rembourser une rançon. Elle mobilise dès l’alerte une équipe qu’une PME ne pourrait jamais constituer seule :
- Négociateurs spécialisés pour faire baisser la rançon ou éviter le paiement
- Équipe forensique pour identifier la brèche et sécuriser les systèmes
- Avocats RGPD pour gérer la notification à l’APD et limiter les amendes
- Communicants de crise pour protéger la réputation
- Couverture financière pour la perte d’exploitation, les frais de récupération et la responsabilité envers les tiers
Le coût d’une assurance cyber reste marginal face au coût d’un incident. Pour une PME belge moyenne, on parle de 800 € à 3 000 € par an, à comparer aux 187 000 € d’un incident moyen. Voir notre analyse complète du coût d’une assurance cyber en Belgique et la checklist pour choisir la bonne couverture.
Questions fréquentes sur la protection ransomware
Faut-il payer la rançon ?
Les autorités belges et européennes déconseillent fortement le paiement. Il finance les groupes criminels, ne garantit pas la récupération des données, et peut violer les régimes de sanctions. Passez toujours par des négociateurs professionnels via votre assurance cyber avant toute décision.
Mon antivirus suffit-il contre le ransomware ?
Non. Les ransomwares modernes contournent les antivirus classiques en quelques minutes. Une protection sérieuse combine EDR, MFA, sauvegardes immuables, segmentation réseau et formation des équipes.
Combien de temps pour récupérer après une attaque ?
Avec des sauvegardes testées et un plan de réponse : 3 à 5 jours. Sans préparation : 3 à 6 semaines, quand la récupération est possible. 40 % des PME sans sauvegarde perdent définitivement une partie de leurs données.
Mon entreprise est trop petite pour être ciblée, non ?
C’est l’inverse. Les groupes criminels automatisent leurs attaques et privilégient les cibles peu protégées. Une PME de 10 personnes peut payer 15 000 € bien plus vite qu’un groupe coté qui implique avocats, conseil d’administration et communication de crise.
L’assurance cyber couvre-t-elle la rançon ?
La plupart des polices cyber belges couvrent la rançon sous conditions, après validation par des négociateurs agréés. Elles couvrent surtout les frais qui coûtent bien plus cher : récupération, perte d’exploitation, notification RGPD, responsabilité civile.
En résumé : la préparation coûte 100 fois moins qu’un incident
La protection contre le ransomware repose sur trois piliers indissociables : prévention technique (sauvegardes, EDR, MFA), préparation humaine (formation, plan de réponse) et couverture financière (assurance cyber). Aucun ne suffit seul.
Le moment de se préparer n’est pas quand le message de rançon s’affiche. C’est maintenant, pendant que tout fonctionne.