Ransomwares en milieu rural et périurbain : les TPE et artisans de Meurthe-et-Moselle sont-ils ciblés ?

Un matin, l'ordinateur de l'atelier affiche un message : vos fichiers sont chiffrés, payez pour les récupérer. Devis, factures, comptabilité, plans, photos de chantier : tout est illisible. C'est une attaque par rançongiciel (ransomware). Beaucoup d'artisans et de commerçants pensent que ces attaques ne visent que les grandes entreprises, ou les grandes villes. Les chiffres disent autre chose : sans dramatiser, voici ce qu'il faut savoir quand on travaille dans une petite structure, à Nancy comme dans un village de Meurthe-et-Moselle.

Oui, les petites entreprises sont touchées, et de plus en plus

Dans son Panorama de la cybermenace 2025, publié en mars 2026, l'ANSSI, l'agence nationale de la sécurité des systèmes d'information, a traité 128 attaques par rançongiciel. Les PME, TPE et ETI représentent 48 % des victimes, contre 37 % en 2024 : c'est la première catégorie touchée, devant les collectivités et les hôpitaux. L'agence décrit des attaques « opportunistes », menées « en ciblant indistinctement la plupart des secteurs et des zones géographiques ».

Autrement dit, les pirates ne choisissent pas l'artisan de Pont-à-Mousson ou le commerçant de Vandœuvre parce qu'ils sont en Lorraine : ils balaient Internet à la recherche de portes mal fermées, et entrent là où c'est facile. Aucune étude ne montre que les campagnes seraient davantage visées que les villes. Mais aucune n'est épargnée non plus.

Les autres indicateurs vont dans le même sens. Pour Cybermalveillance.gouv.fr, le rançongiciel est la 4^e menace des entreprises et des associations en 2025, en légère hausse, et « la plus redoutable » pour une organisation. Selon son baromètre publié en octobre 2025 avec la CPME, le MEDEF et l'U2P, 16 % des entreprises de moins de 250 salariés ont subi au moins un incident en un an, et 80 % ne sont pas préparées ou ne savent pas si elles le sont.

Près de chez nous aussi

• En avril 2024, la communauté de communes du Bassin de Pont-à-Mousson a subi une cyberattaque avec demande de rançon en bitcoins. La rançon n'a pas été payée et une plainte a été déposée (L'Est Républicain).
• En janvier 2024, une école de commerce de Nancy a signalé une intrusion avec demande de rançon et vol de données.
• En février 2024, en Moselle, un EHPAD associatif a vu son logiciel de soins paralysé par un rançongiciel : retour au papier, rançon refusée, plainte et signalement à la CNIL. Le Républicain Lorrain soulignait alors que les petites structures sont aussi concernées.
• Dans la nuit du 11 au 12 octobre 2026, deux magasins de producteurs de Vandœuvre-lès-Nancy et de Seichamps ont été touchés par une attaque nationale contre les réglages de leurs chambres froides. Ce n'était pas un rançongiciel, mais l'exemple rappelle qu'un petit commerce indépendant peut être victime d'une attaque de masse.

Par où entrent les pirates ?

Rarement par un exploit de film. Les causes relevées par l'ANSSI et Cybermalveillance.gouv.fr sont très concrètes :

• un e-mail piégé : l'hameçonnage est la première cause citée par les petites entreprises victimes (43 %) ;
• un mot de passe volé ou réutilisé, qui ouvre un accès à distance ;
• un accès à distance mal protégé : bureau à distance ouvert sur Internet, VPN sans double authentification, NAS exposé ;
• une mise à jour oubliée sur un pare-feu, une box professionnelle ou un serveur : 18 % des victimes citent une faille non corrigée.

Derrière, une véritable industrie : des groupes louent leur rançongiciel « clés en main » à des affiliés, et des courtiers revendent les accès volés. Pendant l'attaque, les pirates cherchent aussi à détruire les sauvegardes qu'ils trouvent sur le réseau, pour obliger leur victime à payer.

Le geste qui sauve : une sauvegarde hors ligne

Face à un rançongiciel, une seule chose permet de repartir sans payer : une copie récente de vos données, restée hors d'atteinte. L'ANSSI juge la sauvegarde hors ligne « indispensable » et recommande la règle du 3-2-1 : trois copies de vos données, sur deux supports différents, dont une hors ligne. Les sauvegardes les plus importantes doivent être « déconnectées du système d'information ».

• Un disque dur externe qui reste branché en permanence sera chiffré avec le reste : branchez-le pour la sauvegarde, puis débranchez-le. Avec deux disques utilisés en alternance, dont un rangé ailleurs qu'à l'atelier, vous êtes à l'abri même d'un cambriolage ou d'un incendie.
• La synchronisation n'est pas une sauvegarde : un dossier synchronisé dans le cloud recopie fidèlement les fichiers chiffrés. Gardez une vraie copie séparée.
• Testez la restauration de temps en temps : une sauvegarde qu'on n'a jamais relue n'est qu'un espoir.

Le reste de la prévention tient en quelques habitudes : faire les mises à jour sans tarder, surtout celles du pare-feu et des accès à distance ; activer la double authentification sur la messagerie et sur tout accès extérieur ; ne pas travailler au quotidien avec un compte administrateur ; former toute l'équipe à repérer les e-mails piégés. Trois entreprises sur quatre consacrent moins de 2 000 € par an à leur cybersécurité, selon le baromètre : ces gestes-là coûtent surtout un peu de méthode.

Le jour J : les bons réflexes

1. Coupez la connexion à Internet (éteignez la box si c'est elle qui relie l'atelier à Internet) et isolez les ordinateurs touchés.
2. Débranchez les sauvegardes encore connectées, pour éviter leur destruction.
3. N'éteignez pas les machines touchées : elles gardent des traces utiles à l'enquête. Si le chiffrement est en cours, une extinction conservatoire reste possible, de préférence par une mise en veille prolongée.
4. Appelez votre prestataire informatique, ou faites le diagnostic du 17Cyber (17cyber.gouv.fr), le service de la police, de la gendarmerie et de Cybermalveillance.gouv.fr, ouvert jour et nuit.
5. Ne payez pas la rançon : rien ne garantit que vous récupérerez vos fichiers, et vous risquez d'être de nouveau ciblé. C'est la consigne de l'ANSSI comme de Cybermalveillance.gouv.fr.
6. Portez plainte avant de réinstaller quoi que ce soit. Si vous avez une assurance cyber, c'est impératif : pour un professionnel, l'indemnisation est subordonnée à une plainte déposée au plus tard 72 heures après la découverte de l'attaque (article L12-10-1 du code des assurances).
7. Prévenez la CNIL sous 72 heures si des données personnelles de clients ou de salariés ont pu être touchées.

Dans notre région, les PME, ETI, collectivités et associations peuvent aussi appeler gratuitement Grand Est Cybersécurité, le centre régional de réponse aux cyberattaques ouvert en 2023 à Nancy (0 970 51 25 25). Les très petites entreprises sont orientées vers Cybermalveillance.gouv.fr et le 17Cyber, qui intègre depuis fin 2025 l'assistance téléphonique du centre régional.

Ce que SosPC54 peut faire pour votre entreprise

Nous intervenons chez les artisans, commerçants et indépendants de Nancy et du Grand Nancy, et le contrat de maintenance couvre aussi un rayon de 20 km autour. Pour une sauvegarde sur disque externe, nous préparons le disque, configurons la sauvegarde automatique et vérifions avec vous qu'une restauration fonctionne ; nous vous montrons aussi comment le débrancher entre deux sauvegardes. Avec le contrat de maintenance, à 40 € par mois et par poste, une visite chaque mois couvre les mises à jour, la vérification de la sécurité et de l'antivirus et le contrôle de vos sauvegardes, et vos dépannages sont offerts. Toutes nos offres pour les professionnels sont sur la page solutions entreprises.

Après une attaque, nous pouvons aussi vous aider à récupérer des données et à comprendre ce qui s'est passé grâce à une expertise informatique. Une question ? Appelez-nous au 06 69 61 02 73. À lire aussi : l'attaque d'une PME suisse, racontée pas à pas et réseau filaire et chiffrement, le duo qui protège.

Sources : ANSSI, Panorama de la cybermenace 2025 (11 mars 2026), fondamentaux de la sauvegarde (novembre 2025) et, avec la DACG, « Attaques par rançongiciels, tous concernés » ; Cybermalveillance.gouv.fr, rapport d'activité 2025, baromètre de la maturité cyber des TPE-PME (octobre 2025) et fiche réflexe rançongiciels ; ministère de l'Intérieur, rapport sur la cybercriminalité (avril 2026) ; article L12-10-1 du code des assurances ; CNIL, notifier une violation de données ; Grand Est Cybersécurité ; L'Est Républicain, 6 avril 2024 et 26 janvier 2024 ; Le Républicain Lorrain, 10 février 2024 ; France 3 Grand Est, 12 octobre 2026.