12 exemples de ransomware : les attaques qui ont bouleversé la manière dont les entreprises se protègent

En bref : un ransomware est un logiciel malveillant qui verrouille les fichiers ou les systèmes d’une organisation et exige le paiement d’une rançon pour les débloquer. Les douze exemples de ransomware ci-dessous vont de WannaCry en 2017 à l’attaque contre le fournisseur néerlandais de logiciels hospitaliers ChipSoft en 2026, avec cinq cas néerlandais et un cas belge. Le mode d’attaque est généralement banal : un e-mail de hameçonnage, un mot de passe facile à deviner, un compte sans authentification multifactorielle, un service d’assistance qui réinitialise le mot de passe de la mauvaise personne. La rançon représente rarement le coût réel. Ce sont plutôt les semaines d’immobilisation et de reconstruction qui en constituent le véritable coût.

Qu'est-ce qu'un ransomware, et quelles leçons tirer de ces cas ?

Pour la définition et les différentes formes, voir « Qu'est-ce qu'un ransomware? ». Pour une liste plus complète des incidents survenus aux Pays-Bas, voir « Les plus grandes cyberattaques aux Pays-Bas ». Trois éléments ressortent de ces douze cas :

• Les pirates se connectent plus souvent qu'ils ne s'introduisent dans les systèmes. Un mot de passe ou un clic constitue généralement la première étape.
• Il y a un délai entre la saisie des données et leur chiffrement. Neuf jours chez Change Healthcare, 69 à l'université de Maastricht.
• Le fait de payer ne règle pas le problème. La KNVB a payé, mais n'a toujours pas pu s'assurer que ses données étaient en sécurité.

Les 12 exemples de ransomware en un coup d'œil

Les 12 exemples de ransomware en détail

1. WannaCry (2017) : le ver informatique qui a frappé le NHS

Ce qui s'est passé : le 12 mai 2017, le ransomware WannaCry s'est propagé sur des systèmes Windows qui n'avaient pas été mis à jour. Europol a recensé plus de 200 000 victimes dans au moins 150 pays. En Angleterre, au moins 81 des 236 trusts du NHS ont été touchés, selon les conclusions du National Audit Office.

La leçon à retenir : aucun organisme du NHS n'a eu à débourser quoi que ce soit. Les systèmes infectés n'avaient pas reçu les correctifs nécessaires ou n'étaient plus pris en charge ; la mise à jour régulière reste donc la solution de défense la moins coûteuse.

2. NotPetya et Maersk (2017) : 45 000 ordinateurs en dix jours

Ce qui s'est passé : en juin 2017, le virus NotPetya s'est propagé via une mise à jour malveillante d'un logiciel de comptabilité ukrainien. Le groupe maritime Maersk a été victime collatérale de cette attaque et a dû réinstaller 4 000 serveurs, 45 000 ordinateurs et 2 500 applications en dix jours, a déclaré son président. Coût : entre 250 et 300 millions de dollars.

La leçon à retenir : cette entrée était une mise à jour fiable. La segmentation du réseau et les sauvegardes hors ligne déterminent la durée de l'indisponibilité.

3. Université de Maastricht (2019) : 69 jours entre l'e-mail de hameçonnage et la demande de rançon

Ce qui s'est passé : les 15 et 16 octobre 2019, deux e-mails de hameçonnage ont été ouverts sur deux postes de travail. Le 23 décembre, le ransomware Clop a chiffré 267 serveurs Windows. L'université a versé 30 bitcoins, soit environ 200 000 €. En 2022, la police a récupéré une partie de cette somme, dont la valeur s'élevait alors à environ 500 000 €.

La leçon à retenir : les pirates sont restés infiltrés pendant 69 jours. Un seul e-mail signalé pendant cette période aurait pu changer le cours des événements.

4. Hof van Twente (2020) : Welkom2020

Ce qui s'est passé : le mot de passe administrateur de cette commune néerlandaise était « Welkom2020 », et une modification du pare-feu en novembre 2020 a exposé le serveur à Internet. Les pirates ont détruit les sauvegardes. La commune n'a pas cédé à leurs exigences ; la remise en état a coûté environ 4 millions d'euros.

La leçon à en tirer : un tribunal a par la suite jugé la municipalité elle-même responsable. Un mot de passe facile à deviner sans sauvegarde viable constitue la combinaison la plus coûteuse.

5. Colonial Pipeline (2021) : un ancien compte VPN

Ce qui s'est passé : le 7 mai 2021, le groupe DarkSide a réussi à s'introduire dans le système de l'opérateur américain de pipelines de carburant via un ancien compte VPN dont le mot de passe avait été divulgué et qui ne disposait pas d'authentification multifactorielle. Colonial a mis son réseau de pipelines à l'arrêt pendant plusieurs jours et a versé une rançon de 4,4 millions de dollars. Le ministère américain de la Justice a récupéré 2,3 millions de dollars.

La leçon à retenir : ce compte n'était pas censé être utilisé. Supprimez les anciens comptes et imposez l'authentification multifactorielle (MFA) pour chaque connexion à distance.

6. Kaseya (2021) : un seul fournisseur, jusqu’à 1 500 victimes

Ce qui s'est passé : le 2 juillet 2021, le groupe REvil a exploité une faille dans le logiciel VSA de Kaseya, que les prestataires de services informatiques utilisent pour gérer les systèmes de leurs clients. Par l'intermédiaire de ces prestataires, le ransomware a touché entre 800 et 1 500 entreprises. REvil a exigé 70 millions de dollars.

La leçon à retenir : des chercheurs néerlandais du DIVD avaient déjà signalé ces failles à Kaseya. Assurez-vous de savoir quels fournisseurs disposent d'un accès administrateur à vos systèmes.

7. VDL Groep (2021) : 105 entreprises à l'arrêt

Ce qui s'est passé : en octobre 2021, une cyberattaque a frappé le groupe industriel néerlandais VDL et ses 105 filiales, dont l'usine automobile NedCar. Il a fallu plus d'un mois pour que toutes les unités reprennent leur production. La police a établi un lien entre cette attaque et le logiciel malveillant Conti ; un suspect a été arrêté à Kiev en 2024.

La leçon à retenir : VDL n'a jamais précisé si cela en valait la peine. Pour un fabricant, le coût réside dans l'immobilisation, alors entraînez-vous.

8. Ville d'Anvers (2022) : jusqu'à 70 millions d'euros

Ce qui s'est passé : dans la nuit du 5 au 6 décembre 2022, le groupe « Play » a attaqué la ville d'Anvers et a dérobé plus de 500 Go de données. La ville affirme n'avoir jamais versé de rançon. Le conseil municipal a estimé le coût de l'attaque à près de 70 millions d'euros.

La leçon à retenir : la commission de surveillance flamande a constaté l'absence de mises à jour de sécurité, un recours insuffisant à l'authentification à deux facteurs et une segmentation insuffisante du réseau. Ce sont les principes de base qui faisaient défaut.

9. KNVB (2023) : payer sans tranquillité d'esprit

Ce qui s'est passé : en avril 2023, le groupe LockBit a dérobé des données personnelles à la fédération néerlandaise de football (KNVB), apparemment après qu'un employé eut mordu à l'hameçon d'un e-mail de hameçonnage. Selon RTL Nieuws, la rançon réclamée s'élevait à plus d'un million d'euros. En septembre, la KNVB a confirmé avoir payé, sans toutefois préciser le montant.

La leçon à retenir : l'association a déclaré ne pas pouvoir garantir la confidentialité des données. Un paiement ne fait qu'acheter une promesse de la part de criminels.

10. Change Healthcare (2024) : pas d'authentification multifactorielle (MFA) sur un portail

Ce qui s'est passé : le 12 février 2024, des pirates se sont connectés à un portail d'accès à distance de Change Healthcare, un prestataire américain de services de paiement dans le secteur de la santé, à l'aide d'identifiants volés. Ce portail ne disposait pas d'authentification multifactorielle. Neuf jours plus tard, le ransomware ALPHV/BlackCat a été déployé. La société mère, UnitedHealth, a confirmé avoir versé une rançon et a déclaré des coûts s'élevant à 872 millions de dollars pour le premier trimestre.

La leçon à en tirer : il a suffi d'un seul contrôle manquant. Les données de 192,7 millions de personnes ont été compromises.

11. Marks & Spencer (2025) : une réinitialisation de mot de passe pour la mauvaise personne

Ce qui s'est passé : le 17 avril 2025, des pirates se sont fait passer pour un employé de M&S et ont convaincu un tiers de réinitialiser un mot de passe, a expliqué le président Archie Norman aux députés. L'attaque par ransomware DragonForce s'en est suivie. Les commandes en ligne ont été interrompues pendant plusieurs semaines et le bénéfice semestriel est passé de 391,1 millions de livres sterling à 3,4 millions de livres sterling.

La leçon à retenir : aucune faille technique n'était nécessaire. Un service d'assistance doit prévoir une étape de vérification qu'un interlocuteur convaincant ne puisse pas contourner.

12. ChipSoft (2026) : attaque par ransomware chez un fournisseur de dossiers médicaux

Ce qui s'est passé : le 7 avril 2026, le centre de sécurité des soins de santé Z-CERT a confirmé une attaque par ransomware contre ChipSoft, qui fournit des logiciels de gestion des dossiers médicaux à la plupart des hôpitaux néerlandais. Onze hôpitaux ont mis hors ligne les logiciels de ChipSoft. Les données médicales d'un nombre important de patients ont été volées ; ChipSoft a déclaré par la suite que leur divulgation avait pu être empêchée.

La leçon à retenir : les hôpitaux eux-mêmes n'étaient pas la cible, mais leurs services ont tout de même été perturbés. Il faut prévoir de pouvoir fonctionner sans un fournisseur essentiel.

Comment se déroule une attaque par ransomware ?

Ces cas suivent tous les mêmes cinq étapes. Notre article consacré aux différentes phases d'une cyberattaque les décrit plus en détail.

1. Accès initial. Un e-mail de hameçonnage, un mot de passe volé ou deviné, ou encore un système qui n'a pas été mis à jour.
2. Mouvement latéral. Les attaquants explorent le réseau et acquièrent progressivement davantage de privilèges, souvent pendant plusieurs jours, voire plusieurs semaines.
3. Exfiltration. Ils copient des données hors de l'entreprise.
4. Chiffrement. Les fichiers, les serveurs et les sauvegardes sont verrouillés, souvent la nuit ou à l'approche d'un jour férié.
5. Double chantage. Il faut payer pour obtenir la clé, puis payer à nouveau pour que les données volées ne soient pas divulguées. En 2025, le groupe Nova a dérobé les données de dépistage d’environ 715 000 femmes au laboratoire néerlandais Clinical Diagnostics et a exigé 1,1 million d’euros.

Familles de ransomwares et « ransomware-as-a-service »

Clop, Conti, DarkSide, REvil, LockBit, ALPHV/BlackCat, Play, DragonForce : dans ces affaires, ces noms désignent davantage des marques que des équipes fixes. Dans le modèle du « ransomware-as-a-service », les développeurs louent le logiciel et des affiliés mènent l’attaque en échange d’une part de la rançon. Aux Pays-Bas et en Belgique, LockBit a fait le plus grand nombre de victimes depuis 2020, tandis que Qilin a été le groupe le plus actif au cours de l’année écoulée, selon le Cyber Dreigingsradar 2026.

Ce que ces 12 cas ont en commun

• Une méthode d'intrusion classique. Une tentative d'hameçonnage à Maastricht, un mot de passe peu sécurisé à Hof van Twente, l'absence d'authentification multifactorielle chez Colonial et Change Healthcare, et le service d'assistance chez M&S.
• Les fournisseurs comme vecteur d'attaque. Kaseya, ChipSoft et la mise à jour logicielle à l'origine de NotPetya ont touché des clients qui n'avaient pourtant rien fait de mal.
• L'immobilisation coûte plus cher que la rançon. Maersk, VDL, Anvers et M&S en sont la preuve.

Ce que les employés peuvent faire pour se protéger contre les ransomwares

Dans au moins la moitié des douze cas, la première étape passait par une personne ou un mot de passe. Cela fait donc quatre habitudes qui valent mieux que la plupart des outils :

• Signalez immédiatement tout e-mail suspect ou tout clic par erreur. La rapidité prime sur la recherche de responsables. Notre aperçu des différents types d'attaques de hameçonnage vous indique les éléments à surveiller.
• Utilisez un mot de passe unique et l'authentification à plusieurs facteurs (MFA) pour chaque compte professionnel.
• Vérifiez les demandes de réinitialisation de mot de passe ou d'accès à distance, même si la personne qui appelle semble appartenir au service informatique.
• Installez les mises à jour lorsque vous y êtes invité.

Les aspects techniques, des sauvegardes à la segmentation, sont abordés dans la section consacrée à la prévention des ransomwares. Les organisations les plus exposées sont présentées dans la section consacrée aux facteurs de risque liés aux attaques par ransomware.

Questions fréquentes

Quel est un exemple d'attaque par ransomware ?

WannaCry, en 2017, qui a touché plus de 200 000 victimes dans au moins 150 pays. L'université de Maastricht, aux Pays-Bas, en est un exemple : elle a versé 30 bitcoins en 2019 après le chiffrement de 267 serveurs.

Quels sont les exemples les plus connus de ransomware aux Pays-Bas ?

L'université de Maastricht (2019), la commune de Hof van Twente (2020), VDL Groep (2021), la KNVB (2023) et ChipSoft (2026). En Belgique, c'est l'attaque contre la ville d'Anvers (2022) qui est la mieux documentée.

Comment se déroulent la plupart des attaques par ransomware ?

Par le biais d'un e-mail de hameçonnage, d'un mot de passe volé ou peu sécurisé sur un compte ne disposant pas d'authentification multifactorielle, ou d'un système qui n'a pas été mis à jour.

Faut-il payer la rançon ?

Ces exemples illustrent les deux options possibles. L'université de Maastricht et la KNVB ont payé ; Hof van Twente et Anvers n'ont pas payé et ont procédé à une restauration. Le fait de payer n'offre aucune garantie que les données seront effacées, et cela finance la prochaine attaque.