On peut souvent récupérer des données après un ransomware sans payer la rançon, parce qu'un rançongiciel chiffre les fichiers, il ne les efface pas : ils restent sur le disque, illisibles sans la clé. Plusieurs portes s'ouvrent alors avant celle du paiement : des sauvegardes que vous croyiez perdues, les clichés instantanés du système, des fichiers seulement partiellement chiffrés, ou des volumes que les pirates ont effacés sans réécrire les données. Un laboratoire de récupération peut souvent en sauver une partie, parfois la totalité, sans jamais contacter les criminels. Le déchiffrement direct d'une souche récente, en revanche, est mathématiquement hors de portée tant que les clés n'ont pas fuité.

Le premier geste ne se discute pas : dès que vous constatez que des fichiers se chiffrent, éteignez la machine immédiatement, quitte à débrancher la prise. La suite explique ce qui est récupérable, ce qui ne l'est pas, et comment ne pas aggraver la situation.

Ce que fait vraiment un ransomware

Un ransomware (ou rançongiciel) est un logiciel malveillant qui chiffre les fichiers d'un système pour les rendre inaccessibles, puis réclame une rançon en échange de la clé de déchiffrement. Tout commence par une intrusion, le plus souvent un e-mail de phishing dont la pièce jointe installe le programme. Il ne se manifeste pas tout de suite : il tourne discrètement en arrière-plan et chiffre, un par un, le contenu de vos fichiers importants, ceux qui ont de la valeur pour vous comme pour un maître chanteur. Documents PDF et Word, bases de données, messageries : tout y passe.

Avant ou pendant le chiffrement, le programme accomplit une étape décisive. Il identifie la machine comme une nouvelle cible et génère des codes, des jetons, qu'il envoie à un serveur distant. Ces jetons contiennent notamment les clés, et constituent un identifiant unique de l'attaque. C'est cet identifiant que les pirates réclameront si vous les contactez : sans lui, ils ne savent pas quelle clé vous correspond. Nous avons déjà vu une même machine porter plusieurs identifiants et plusieurs clés, jusqu'à trois : il faut alors négocier chaque clé séparément pour espérer tout déchiffrer.

Pour rendre l'attaque visible et donner ses instructions, le programme dépose enfin des fichiers annexes, la fameuse note de rançon. Ces fichiers ne sont pas anodins pour un spécialiste : ce sont des signatures connues, qui permettent d'identifier précisément la souche de ransomware utilisée, et qui contiennent l'identifiant de l'attaque.

Techniquement, le chiffrement repose presque toujours sur une combinaison éprouvée : un algorithme symétrique rapide comme AES (souvent en 256 bits) pour brouiller les fichiers, et un algorithme asymétrique comme RSA (2048 bits ou plus) pour protéger la clé AES. C'est ce mariage qui rend l'attaque si difficile à défaire.

Peut-on déchiffrer sans payer ?

Voici la question que tout le monde pose, et la réponse honnête tient en trois cas.

Situation	Déchiffrement direct ?
Ransomware récent, bien conçu	Non : clés trop grandes, des décennies de calcul en force brute
Ancien ransomware (clés communes, faille d'implémentation)	Parfois : des déchiffreurs existent
Clés saisies par la police ou publiées par des pirates repentis	Oui : déchiffreurs gratuits (projet No More Ransom)

Par la force brute : non. Sur un ransomware récent correctement conçu, essayer de deviner la clé est illusoire. Les clés sont si grandes qu'il faudrait des dizaines d'années de calcul pour en trouver une seule. Le déchiffrement direct n'est pas une option.

Sur d'anciens ransomwares : parfois. Les premières générations étaient construites différemment, avec des clés parfois communes à toutes les victimes ou des implémentations défaillantes. Pour plusieurs d'entre elles, des solutions de déchiffrement existent.

Quand les clés ont été récupérées : oui. Il arrive que des polices fédérales saisissent les serveurs des pirates, ou que des criminels repentis publient l'ensemble de leurs clés. Des organismes, dont le projet européen No More Ransom, récupèrent alors ces clés et en font des logiciels de déchiffrement gratuits. C'est là que les fichiers annexes reprennent tout leur intérêt : ils contiennent l'identifiant qui permet de retrouver la bonne clé.

En résumé, deux fenêtres favorables : soit la souche est ancienne et un déchiffreur existe, soit l'attaque date d'assez longtemps pour que les clés aient été découvertes depuis. Face à un ransomware récent dont les clés n'ont pas fuité, le déchiffrement direct reste hors de portée. Mais, et c'est tout l'objet de la suite, le déchiffrement n'est pas le seul chemin vers vos données.

Ce qu'un laboratoire récupère quand vous croyez tout perdu

Une entreprise de cybersécurité qui propose une « restauration après ransomware » fait, en réalité, un travail assez limité : elle s'appuie sur les sauvegardes existantes quand il y en a (un NAS de backup, un Veeam, des bandes), les restaure, et si rien ne fonctionne, elle discute avec le client pour négocier la rançon. Un laboratoire de récupération de données va bien plus loin.

Car les pirates commettent souvent une erreur exploitable. Pour neutraliser les sauvegardes, ils suppriment les systèmes RAID, effacent des volumes, détruisent des configurations, mais ils ne réécrivent pas forcément toutes les données par-dessus. Nous pouvons alors reconstruire le RAID effacé et récupérer les sauvegardes qu'il contenait, une opération de récupération pointue qui n'a plus rien à voir avec la simple restauration d'un backup intact.

Notre arsenal ne s'arrête pas là. Nous exploitons les clichés instantanés du système (les Shadow Copies de Windows) quand ils n'ont pas été effacés. Nous retrouvons des fichiers temporaires, des versions intermédiaires, des données oubliées sur des supports que le ransomware n'a pas touchés.

Il y a même le cas des fichiers partiellement chiffrés. Chiffrer un fichier entier prend du temps, surtout un gros : une vidéo, un fichier de messagerie PST d'Outlook de plusieurs gigaoctets. Pour aller vite et frapper un maximum de fichiers, certains ransomwares ne chiffrent que le début de chacun, par exemple les mille premiers secteurs. Le fichier devient inutilisable par le logiciel qui l'a créé, mais tout le reste est intact. Selon le format, nous pouvons parfois lire cette partie non chiffrée et en extraire des données exploitables pour le client, même en ayant perdu le début. C'est du cas par cas, mais c'est souvent une piste réelle.

Les erreurs qui aggravent, et les gestes qui sauvent

La plus fréquente des erreurs, nous la voyons revenir sans cesse : restaurer les sauvegardes directement sur le serveur touché. On réinstalle le serveur à neuf, on repousse le backup dessus, et le tour semble joué. Sauf que cela réécrit les disques d'origine. Si le backup s'avère défaillant, incomplet, ou lui-même chiffré, on vient d'écraser des données qui étaient peut-être encore récupérables. On a détruit sa dernière chance sans le savoir.

C'est pourquoi la règle, comme pour toute récupération, est de figer l'état avant d'agir. Voici la marche à suivre :

1. Éteignez la machine immédiatement. Le chiffrement tourne en arrière-plan ; chaque minute supplémentaire, ce sont des fichiers en plus qui y passent. N'hésitez pas à débrancher la prise pour aller plus vite. Isolez aussi la machine du réseau pour éviter la propagation.
2. Ne réinstallez rien, ne restaurez rien sur les disques d'origine.
3. Adressez-vous à un laboratoire spécialisé. Nous commençons systématiquement par une copie bit à bit de sécurité, puis nous travaillons en lecture seule, sur les copies : le ransomware ne tourne plus, et rien n'est réécrit sur vos disques originaux. C'est seulement à partir de là qu'on cherche à récupérer.

Payer ou non : la décision honnête

Notre position est claire : nous préconisons de ne pas payer. Payer finance directement la criminalité, et n'offre aucune garantie de récupérer quoi que ce soit. Mais nous sommes lucides. Quand c'est la survie d'une entreprise et des emplois qui est en jeu, il faut faire la part des choses. C'est un peu comme un cambriolage de banque : on ne demande pas au personnel de refuser de donner l'argent au prix de sa vie. On cède, et ce faisant, on finance indirectement le crime. Chacun tranche selon sa situation.

Si la négociation devient inévitable, deux principes réduisent les risques.

D'abord, ne négociez jamais vous-même. Dès qu'une entreprise attaquée entre en contact avec les pirates, ceux-ci enquêtent sur elle, font de l'OSINT (renseignement en sources ouvertes), évaluent sa taille et ses moyens financiers, et ajustent la rançon en conséquence. Confiez plutôt la discussion à une société tierce spécialisée. Cela paraît paradoxal, mais un intermédiaire qui négocie régulièrement obtient souvent une meilleure entente : les pirates font du business et tiennent à leur réputation, car un client mécontent est un client qui ne paiera plus jamais.

Ensuite, exigez une preuve. Avant tout versement, demandez le déchiffrement de quelques fichiers pour vérifier que les pirates possèdent bien la clé. Choisissez des fichiers sans valeur pour personne, ni pour vous ni pour eux : surtout pas le budget de l'année ou la comptabilité, mais des documents anodins. S'ils vous les renvoient déchiffrés, vous avez la preuve qu'ils détiennent la clé. Car il arrive qu'ils l'aient perdue, notamment après la fermeture de leurs serveurs. Ne payez jamais sans cette garantie.

Le chantage à la divulgation : le ransomware a changé de visage

Bloquer l'accès aux données n'est plus le seul levier. Le ransomware moderne joue sur trois axes.

Le premier reste le blocage par chiffrement, celui que tout le monde connaît. Mais un deuxième s'est imposé : l'exfiltration des données assortie d'une menace de divulgation. Les pirates copient vos données sur leurs serveurs et menacent de les publier si vous ne payez pas. Ce n'est plus « vous ne pouvez plus accéder à vos données », mais « nous allons rendre vos données publiques ». Cette évolution a une cause précise : à mesure que les entreprises se sont dotées de sauvegardes externalisées et débranchées, elles n'avaient plus besoin de payer pour récupérer leurs fichiers. Les pirates ont donc changé d'arme.

Le troisième axe va encore plus loin, chez certains groupes qui prennent le temps d'analyser ce qu'ils ont volé : la menace de vendre ou de divulguer des informations confidentielles à des concurrents, voire aux autorités fiscales. Toujours la même logique de chantage, poussée à l'extrême.

Un mot sur le montant, car il n'est pas fixé au hasard. Les pirates cherchent vos informations bancaires dans les fichiers volés (bilans, PDF comptables) et calibrent la rançon sur votre trésorerie, souvent autour de 30 à 50 % du cash flow. L'objectif n'est pas de vous couler, mais de vous soutirer le maximum sans vous pousser à la fermeture, car une entreprise morte ne paie pas.

Vos obligations légales en Suisse

Au-delà de la technique, un incident de ransomware entraîne des obligations, et elles diffèrent selon votre profil.

Si vous êtes un exploitant d'infrastructure critique (énergie, eau potable, transports, certaines autorités cantonales ou communales), vous devez signaler la cyberattaque à l'Office fédéral de la cybersécurité (OFCS) dans les 24 heures suivant sa détection, avec 14 jours pour compléter le dossier. Cette obligation est en vigueur depuis le 1er avril 2025 et vise notamment les attaques qui menacent le fonctionnement de l'infrastructure, entraînent une fuite de données ou s'accompagnent d'une extorsion.

Pour une entreprise ordinaire détenant des données personnelles, c'est la nouvelle loi sur la protection des données (nLPD) qui s'applique. Son article 24 impose d'annoncer au Préposé fédéral à la protection des données et à la transparence (PFPDT), dans les meilleurs délais, toute violation présentant un risque élevé pour les personnes concernées. Il n'y a pas de délai fixe comme les 72 heures du RGPD, mais l'omission intentionnelle peut coûter jusqu'à 250 000 francs d'amende. Si les données de vos clients ont été exfiltrées et menacées de divulgation, vous devrez généralement les en informer.

Dans tous les cas, portez plainte, et vérifiez si votre assurance comporte une couverture cyber : de plus en plus de contrats la proposent.

Le seul rempart qui tient : la sauvegarde hors ligne

Aucun laboratoire, aussi équipé soit-il, ne remplace une bonne sauvegarde. Et là encore, il y a sauvegarde et sauvegarde. Un RAID ou un NAS connecté au réseau n'est pas à l'abri : c'est précisément ce que les pirates s'emploient à détruire en premier. La seule protection réellement fiable est une sauvegarde hors ligne, immuable et délocalisée, physiquement déconnectée du système qu'elle protège. C'est elle, et elle seule, qui transforme une attaque de ransomware en simple contretemps plutôt qu'en catastrophe.

Questions fréquentes

Un ransomware efface-t-il les données ?

Non. Un ransomware chiffre les fichiers pour les rendre illisibles, mais les données restent physiquement présentes sur le disque. C'est ce qui laisse des possibilités de récupération : sauvegardes, clichés instantanés, fichiers partiellement chiffrés ou volumes effacés mais non réécrits.

Peut-on déchiffrer un ransomware sans payer la rançon ?

Directement, seulement dans certains cas : anciens ransomwares vulnérables, ou souches dont les clés ont été saisies par la police ou publiées (projet No More Ransom). Sur un ransomware récent bien conçu, la force brute est impossible. En revanche, on peut souvent récupérer les données par d'autres voies, sans déchiffrer.

Que faire immédiatement en cas d'attaque par ransomware ?

Éteignez la machine sur-le-champ, au besoin en débranchant la prise, et isolez-la du réseau : le chiffrement tourne en arrière-plan et chaque minute aggrave les dégâts. Ne réinstallez rien, ne restaurez aucun backup sur les disques touchés, et confiez le support à un laboratoire spécialisé.

Faut-il payer la rançon ?

Nous préconisons de ne pas payer : cela finance le crime et n'offre aucune garantie. Si la survie de l'entreprise l'impose, ne négociez jamais vous-même (les pirates enquêtent sur vous pour ajuster la rançon), passez par un tiers spécialisé, et exigez une preuve de déchiffrement sur des fichiers sans valeur avant tout versement.

Un laboratoire peut-il récupérer mes données après un ransomware ?

Souvent, oui, sans passer par les pirates : reconstruction de RAID effacés mais non réécrits, clichés instantanés (Shadow Copies), fichiers temporaires, sauvegardes oubliées, fichiers seulement partiellement chiffrés. Le laboratoire travaille sur une copie bit à bit en lecture seule, sans jamais écraser les disques d'origine.

Quelles sont les obligations légales en Suisse après une cyberattaque ?

Les exploitants d'infrastructures critiques doivent signaler l'attaque à l'Office fédéral de la cybersécurité (OFCS) sous 24 heures depuis le 1er avril 2025. Les autres entreprises détenant des données personnelles doivent, selon la nLPD, annoncer au PFPDT dans les meilleurs délais toute violation à risque élevé, et informer les personnes concernées si leurs données ont été exfiltrées.