Protéger son association contre les ransomwares (vraiment, pas juste un antivirus)

Un matin, la trésorière de l'asso ouvre son PC pour préparer la subvention. À la place du tableur des adhérents, un écran noir et un message en mauvais français : « Vos fichiers sont chiffrés. Payez 1 200 € en bitcoins sous 72 heures, sinon tout est perdu. » Les comptes, le fichier des membres, les photos de la dernière fête, dix ans d'archives. Plus rien n'est lisible.

Ce scénario, je l'ai vu de près. Et contrairement à ce qu'on croit, les associations ne sont pas épargnées parce qu'elles sont « petites » ou « sans intérêt ». Elles sont visées justement parce qu'elles sont mal protégées, qu'elles brassent de l'argent (cotisations, subventions, dons) et qu'elles manipulent des données personnelles. Un ransomware, ce n'est pas un virus parmi d'autres : c'est un programme qui verrouille tous vos fichiers et réclame une rançon pour les rendre. Un antivirus seul ne suffit pas à s'en prémunir. La bonne nouvelle, c'est que quelques mesures simples bloquent l'immense majorité des attaques. On va voir lesquelles, sans jargon.

Pourquoi les associations sont visées

On imagine les pirates en train de viser de grosses entreprises ou des hôpitaux. C'est vrai, mais ce n'est qu'une partie du tableau. La plupart des attaques ne ciblent personne en particulier : elles ratissent large, de façon automatique, et frappent tout ce qui n'est pas verrouillé. Une association, de ce point de vue, c'est une cible parfaite.

Pourquoi ? D'abord parce que le matériel est souvent ancien, les logiciels pas à jour, et qu'il n'y a personne dont c'est le métier de surveiller ça. Ensuite parce que les ordinateurs sont partagés, les mots de passe simples et notés sur un post-it, et que les bénévoles changent régulièrement sans qu'on fasse le ménage dans les accès. Enfin parce qu'une asso a de quoi intéresser : un compte en banque, un fichier d'adhérents avec noms, adresses, parfois coordonnées bancaires pour les prélèvements. Pour un attaquant, c'est de l'argent facile et des données revendables.

Et il y a un calcul froid derrière tout ça : les pirates savent qu'une petite structure n'a pas de sauvegarde sérieuse. Donc quand tout est bloqué, elle est tentée de payer pour récupérer ses fichiers. C'est exactement ce qu'ils espèrent.

Les 3 portes d'entrée d'un ransomware

Avant de se défendre, il faut savoir par où ça rentre. Dans la quasi-totalité des cas, c'est l'une de ces trois portes.

Le mail piégé. C'est de loin la plus fréquente. Un mail qui ressemble à une vraie facture, à un message de la banque, à une relance de la mairie ou à un dossier de subvention. Une pièce jointe à ouvrir, un lien sur lequel cliquer. Un bénévole clique, et le programme s'installe en silence. Les attaquants soignent leurs faux mails : logo correct, ton officiel, urgence (« votre dossier sera rejeté si… »). On se fait avoir vite, surtout quand on traite vingt mails à la pause déjeuner.

Le mot de passe faible. « admin », « asso2024 », le nom du club suivi de l'année. Ou le même mot de passe partout, réutilisé sur la boîte mail, le site, le compte bancaire en ligne. Un attaquant teste des milliers de combinaisons par seconde, ou récupère un mot de passe ailleurs après une fuite de données. S'il rentre dans la boîte mail de l'association, il a accès à tout le reste.

Le logiciel pas à jour. Windows qu'on n'a pas mis à jour depuis deux ans « parce que ça marchait bien comme ça ». Un vieux logiciel de compta, un plugin de site web abandonné. Chaque mise à jour bouche des trous de sécurité connus. Tant qu'on ne l'installe pas, le trou reste ouvert, et les pirates connaissent ces failles mieux que vous. Une bonne partie des attaques passe simplement par une faille qui avait un correctif disponible depuis des mois.

Les mesures de base qui bloquent 90 % des attaques

Pas besoin d'un budget de grande entreprise. Quatre réflexes, appliqués sérieusement, suffisent à fermer la plupart des portes.

• Mettre à jour, tout, tout le temps. Windows ou Mac, le navigateur, les logiciels, le site web et ses extensions. Activez les mises à jour automatiques partout où c'est possible. Une machine à jour, c'est déjà la moitié du travail de protection.
• Des vrais mots de passe, avec un gestionnaire. Un mot de passe long, différent pour chaque service, c'est impossible à retenir de tête — et c'est normal. La solution, c'est un gestionnaire de mots de passe (Bitwarden, par exemple, gratuit et sérieux). Vous retenez un seul mot de passe maître, le logiciel gère le reste. Fini les post-it et le « motdepasse123 » partout.
• La double authentification (MFA). C'est le code reçu par appli ou par SMS, en plus du mot de passe. Même si un pirate vole le mot de passe de la boîte mail ou du compte bancaire, il est bloqué sans le code. Activez-la en priorité sur la messagerie de l'association et sur l'accès bancaire. C'est gratuit et ça change tout.
• Limiter les droits. Tout le monde n'a pas besoin d'être administrateur de l'ordinateur. Un compte « standard » pour l'usage courant empêche un ransomware d'installer ce qu'il veut. Et donnez à chaque bénévole seulement les accès dont il a besoin : le responsable des inscriptions n'a rien à faire dans le compte bancaire.

Aucune de ces mesures ne coûte cher. Elles demandent juste qu'on les mette en place une fois, proprement, et qu'on s'y tienne.

La sauvegarde 3-2-1 : votre vraie assurance

Voilà le point le plus important de tout l'article, alors lisez-le deux fois. Tout ce qui précède réduit le risque, mais aucune protection n'est parfaite. Le jour où ça passe quand même, une seule chose vous sauve : une sauvegarde que le ransomware n'a pas pu atteindre.

C'est tout l'intérêt de la règle 3-2-1. Simple à retenir :

• 3 copies de vos données importantes (l'originale + deux sauvegardes).
• 2 supports différents (par exemple le disque de l'ordinateur + un disque dur externe, ou un NAS).
• 1 copie hors site, déconnectée du réseau ou stockée ailleurs.

Pourquoi cette dernière copie hors ligne est cruciale ? Parce qu'un ransomware chiffre tout ce à quoi il a accès, y compris le disque externe branché en permanence et le dossier cloud synchronisé automatiquement. Si votre seule sauvegarde est connectée au moment de l'attaque, elle est chiffrée elle aussi. La copie déconnectée — un disque qu'on rebranche une fois par semaine puis qu'on range, ou un stockage isolé — c'est elle qui vous permet de tout restaurer sans payer un centime.

Et une sauvegarde qu'on ne teste jamais ne compte pas. Au moins une fois, ouvrez un fichier depuis la sauvegarde pour vérifier qu'elle fonctionne vraiment. Le pire moment pour découvrir que les sauvegardes étaient vides depuis six mois, c'est le jour où on en a besoin.

Avec une vraie sauvegarde 3-2-1, un ransomware devient une grosse contrariété — une journée à tout remettre en place — au lieu d'une catastrophe qui menace la survie de l'association.

Sensibiliser les bénévoles (le maillon humain)

On peut empiler les protections techniques, la faille la plus exploitée reste la même : quelqu'un qui clique. Pas par bêtise — par habitude, par fatigue, parce que le mail avait l'air vrai. Dans une asso, ça se complique : les bénévoles vont et viennent, n'ont pas tous le même niveau, et personne ne veut passer pour le gêneur qui pose des questions.

Le but n'est pas de transformer tout le monde en expert. C'est de créer quelques réflexes simples :

• Dans le doute, on ne clique pas. Un mail inattendu avec une pièce jointe ou un lien ? On vérifie avant. Un coup de fil à l'expéditeur supposé suffit souvent.
• Personne n'est jugé pour avoir signalé un doute. Mieux vaut dix fausses alertes qu'un clic de trop. Il faut que poser la question soit la norme, pas la honte.
• On ne partage pas les mots de passe à la légère, et on prévient quand un bénévole part pour couper ses accès.

Une petite réunion de sensibilisation, une heure, avec des exemples concrets de faux mails, ça vaut tous les antivirus du monde. C'est le genre d'atelier que je fais volontiers pour les associations du côté de Limoges et de Tulle : court, sans jargon, et les gens repartent vraiment plus prudents.

En cas d'attaque : les bons réflexes

Malgré tout, ça arrive. Si un poste se met à afficher une demande de rançon ou que des fichiers deviennent illisibles, voici ce qu'il faut faire — et dans cet ordre.

• Débrancher la machine du réseau tout de suite. Câble réseau retiré, Wi-Fi coupé. L'objectif est d'empêcher le ransomware de se propager aux autres ordinateurs et aux disques partagés. Ne réparez pas, n'enquêtez pas d'abord : isolez.
• Ne pas payer la rançon. C'est la recommandation officielle, et il y a deux raisons. D'abord, payer ne garantit rien : beaucoup de victimes paient et ne récupèrent jamais leurs fichiers. Ensuite, payer finance les attaquants et fait de vous une cible de choix pour la prochaine fois. Si vous avez une sauvegarde, vous n'avez de toute façon pas besoin de payer.
• Ne pas tout effacer dans la panique. Gardez la machine en l'état, éteinte et débranchée. Elle servira au diagnostic et à un éventuel dépôt de plainte.
• Signaler et se faire aider. Rendez-vous sur cybermalveillance.gouv.fr : c'est le dispositif officiel, gratuit, qui vous guide étape par étape et vous met en relation avec des professionnels. Pensez aussi à déposer plainte, et à prévenir votre banque si des coordonnées bancaires étaient stockées sur la machine. Si des données personnelles d'adhérents ont fuité, l'association a aussi des obligations vis-à-vis de la CNIL.

Puis on restaure depuis la sauvegarde saine, on change tous les mots de passe, et on comble la faille qui a laissé entrer le ransomware. Sinon, ça recommence.

Un accompagnement local en Corrèze et Haute-Vienne

Je suis Paul, informaticien indépendant basé à Ségur-le-Château, et j'accompagne pas mal d'associations et de petites structures un peu partout en Corrèze et en Haute-Vienne. Mon approche n'a rien de compliqué : on regarde ensemble ce qui existe, on bouche les trous les plus béants en priorité, et on met en place une sauvegarde 3-2-1 qui tient vraiment la route. Le tout sans matériel hors de prix et sans abonnement inutile.

Concrètement, ça peut être une mise à plat de votre installation, l'activation de la double authentification, l'installation d'un gestionnaire de mots de passe pour tout le bureau, une vraie stratégie de sauvegarde, et un atelier de sensibilisation pour les bénévoles. Vous pouvez creuser le sujet sur ma page dédiée à la cybersécurité et au RGPD pour les TPE et associations du Limousin, ou simplement me contacter pour qu'on fasse le point.

Une association protégée dort mieux. Et le jour où une tuile arrive, elle s'en remet en une journée au lieu de risquer d'y laisser des années d'archives. Si vous voulez en parler, je suis joignable facilement — mieux vaut une heure de prévention qu'une semaine de catastrophe.