# Ransomware : prévention et plan de réponse pour PME marocaines

> Protéger sa PME marocaine du ransomware : 7 mesures préventives + plan de réponse en 24h en cas d'attaque. Budget et priorités.

- Source : https://deadline.ma/conseils/systemes-erp-crm/ransomware-pme-prevention
- Auteur : Équipe deadLine — Agence web & digital à Casablanca
- Publié le 14 avril 2026
- Éditeur : deadLine, agence web à Casablanca (https://deadline.ma), éditeur du logiciel LINEPROD (https://lineprod.ma)

## En bref

80% des attaques ransomware sur PME exploitent des emails de phishing et des systèmes non patchés. Les 7 protections essentielles : sauvegardes 3-2-1 hors ligne, MFA partout, mises à jour automatisées, EDR moderne sur tous les postes, segmentation réseau, formation utilisateurs trimestrielle, et plan de réponse écrit. Budget prévention PME : 30 000-100 000 MAD/an.

Le ransomware est la menace cyber n°1 pour les PME marocaines en 2026.
Contrairement à l'image d'Épinal qui cantonne les cyberattaques aux
grandes entreprises, 60 à 80% des victimes ransomware mondiales sont
des PME — moins protégées, moins capables de négocier, plus
susceptibles de payer. Ce guide donne la méthode préventive qui
marche vraiment, et le plan de réponse à activer si l'irréparable
arrive malgré tout.

## Comment un ransomware infecte une PME

Les 3 vecteurs dominants en 2026 :

1. **Phishing email** (60-70% des attaques) : un utilisateur ouvre
   un email, clique sur une pièce jointe ou un lien malveillant.
   Exemple typique : fausse facture, faux message RH, fausse
   livraison DHL.
2. **RDP/VPN mal sécurisé** (15-25%) : accès distant (TeamViewer,
   AnyDesk, RDP, VPN) avec mot de passe faible ou pas de MFA. Les
   pirates scannent les IPs, brute-forcent, s'installent.
3. **Vulnérabilité non patchée** (10-15%) : Exchange, VMware, Citrix,
   logiciel métier non mis à jour. Les patches existent, mais ne
   sont pas appliqués.

Une fois dans le réseau, le pirate reste 1-30 jours en mode
reconnaissance avant de déclencher le chiffrement — période durant
laquelle il explore, vole des données (double extorsion), identifie
les sauvegardes à détruire.

## Les 7 protections essentielles

### 1. Sauvegardes 3-2-1 hors ligne

La sauvegarde est votre dernière ligne de défense. Voir notre
[guide sauvegarde 3-2-1](/conseils/systemes-erp-crm/sauvegarde-entreprise-3-2-1).

Principe : 3 copies, 2 supports différents, 1 copie hors ligne ou
immutable (impossible à modifier). Sans copie hors ligne, le
ransomware chiffrera aussi vos sauvegardes.

Tester la restauration tous les trimestres — une sauvegarde non
testée n'est pas une sauvegarde.

### 2. MFA (authentification multifacteur) partout

Sur : emails, VPN, accès distants, Office 365, Google Workspace,
admin système, banques en ligne, SaaS critiques.

Priorité : clé physique FIDO2 (YubiKey ~400 MAD) pour admins IT et
direction. App TOTP (Authy, Microsoft Authenticator) pour les autres.

Éviter le SMS — SIM swap toujours possible.

### 3. Mises à jour systématiques

- **Serveurs** : mises à jour mensuelles minimum, hebdomadaires pour
  les critiques (Exchange, domaine)
- **Postes utilisateurs** : mises à jour automatiques activées
- **Équipements réseau** (firewall, switchs, NAS) : trimestrielles
- **Logiciels métier** : suivre les alertes éditeur

Outil : Microsoft WSUS, Patch My PC, NinjaOne pour centraliser.

### 4. EDR moderne sur tous les postes

Antivirus traditionnel = obsolète en 2026. Il détecte les menaces
connues, mais pas les nouvelles techniques.

EDR (Endpoint Detection and Response) surveille les comportements :
création de fichiers chiffrés massive, tentative de supprimer les
sauvegardes, communication avec C&C externe. Il réagit en temps réel.

Solutions recommandées PME :

- **Microsoft Defender for Endpoint** (inclus M365 E3/E5) : excellent,
  prix imbattable si déjà dans l'écosystème Microsoft
- **CrowdStrike Falcon Go** : leader, ~30-60 USD/poste/an
- **SentinelOne** : alternative crédible
- **Bitdefender GravityZone** : bon rapport qualité/prix pour PME

### 5. Segmentation réseau

Un réseau plat (tout connecté à tout) laisse le ransomware se
propager à 100% des machines en 2-6h. Segmentation = cloisonnement :

- VLAN séparés : utilisateurs / serveurs / IoT / DMZ
- Firewall interne entre segments avec règles strictes
- Accès réseau zero-trust (Tailscale, Cloudflare Access) pour le
  télétravail

Budget : 20 000-100 000 MAD selon taille, équipement pfSense ou
Fortinet + configuration.

### 6. Formation utilisateurs trimestrielle

80% des attaques commencent par un clic humain. Former les équipes :

- Session initiale + recyclage trimestriel (30-60 min)
- Faux phishing régulier (KnowBe4, Phished, Gophish) pour mesurer le
  taux de clic et ajuster
- Procédures simples : "je doute d'un email, je demande à IT avant de
  cliquer"

Budget : 100-300 MAD/user/an pour une solution de phishing simulé.

### 7. Plan de réponse écrit

Un plan sur papier (ou PDF accessible hors ligne) qui dit :

- Qui contacter en premier (IT, direction, prestataire cyber, CNDP)
- Procédure d'isolation (couper réseau, pas éteindre)
- Liste des sauvegardes et emplacements
- Contacts assureur cyber si police souscrite
- Procédure de communication (clients, salariés, médias)

Tester le plan en simulation une fois par an — sinon il reste
théorique.

## Le plan de réponse en cas d'attaque

### Heure 0-1 : détection et isolation

- **Isoler** : déconnecter physiquement les machines infectées du
  réseau (débrancher câble, désactiver wifi). **Ne pas éteindre** —
  certaines preuves en mémoire seraient perdues
- **Alerter** : IT interne, direction, prestataire cyber
- **Documenter** : photos des écrans ransomware, heures, machines
  touchées

### Heure 1-6 : évaluation et communication

- **Contacter** votre prestataire cyber ou la DGSSI
  ([dgssi.gov.ma](https://www.dgssi.gov.ma)) pour expertise
- **Évaluer** l'étendue : combien de machines, quelles données, les
  sauvegardes sont-elles touchées ?
- **Communiquer** en interne : que dire aux salariés, que ne pas dire
- **Activer** l'assurance cyber si souscrite (délai d'activation
  souvent < 24h)

### Heure 6-24 : containment

- **Changer tous les mots de passe** depuis une machine saine
- **Révoquer** les certificats et jetons d'API
- **Investigation forensique** (interne ou prestataire) pour
  comprendre le point d'entrée
- **Notifier** la CNDP sous 72h si fuite de données suspectée
- **Décider** : restaurer depuis sauvegarde (recommandé) ou négocier
  (exceptionnel)

### Jour 2-30 : restauration et durcissement

- **Reconstruction** des machines infectées (format + réinstall, pas
  de nettoyage en place)
- **Restauration** des données depuis sauvegardes propres (vérifier
  qu'elles n'ont pas été compromises avant)
- **Communication externe** : clients, partenaires, médias si attaque
  médiatisée
- **Analyse post-mortem** : comment c'est arrivé, que changer
- **Renforcement** de toutes les défenses

## Pourquoi ne pas payer la rançon

Payer peut sembler rationnel à court terme. C'est une mauvaise idée :

- **30% des paiements ne produisent pas de déchiffrement** (Coveware,
  Q4 2025)
- **Marque de cible récurrente** : 33% de re-victimisation dans les
  12 mois après paiement
- **Financement du crime organisé** : chaque rançon alimente de
  nouvelles attaques
- **Position légale fragile** : certaines sanctions internationales
  (OFAC) interdisent de payer certains groupes
- **Les données volées sont revendues** : payer n'empêche pas la
  publication sur le dark web

Exception rare : si vous êtes face à une destruction immédiate de
vies (hôpital) ou des données critiques sans sauvegarde et dossier
vital (rarissime), la question se pose autrement.

## Budget prévention pour une PME marocaine

| Taille PME | Budget cyber annuel indicatif |
|---|---|
| TPE 5-20 salariés | 15 000 - 40 000 MAD |
| PME 20-100 salariés | 40 000 - 150 000 MAD |
| PME 100-250 salariés | 150 000 - 500 000 MAD |

Répartition typique : 30% outils (EDR, firewall, MFA), 40% services
(MSP, monitoring, SOC), 20% formation + simulations, 10% audit +
plan de réponse.

## Erreurs courantes à éviter

1. **"On n'est pas une cible, on est trop petits"** — justement, les
   PME sont les cibles préférées
2. **Sauvegardes sur le même réseau** que la production — chiffrées
   avec le reste
3. **Pas de MFA sur les emails** — le point d'entrée n°1
4. **Antivirus classique seul** — inefficace contre ransomware moderne
5. **Mots de passe admin partagés** — un poste compromis = tout
   compromis
6. **Jamais de test de restauration** — les sauvegardes qu'on ne teste
   pas tombent en panne quand on en a besoin
7. **Pas de plan de réponse** — panique, décisions catastrophiques
   sous stress

## Pour aller plus loin

- [Systèmes ERP & CRM au Maroc — guide complet 2026](/conseils/systemes-erp-crm) — la pillar du silo
- [Sauvegarde 3-2-1 entreprise](/conseils/systemes-erp-crm/sauvegarde-entreprise-3-2-1) — la ligne Maginot
- [Loi 09-08 et cybersécurité](/conseils/systemes-erp-crm/loi-09-08-cybersecurite-checklist) — obligation de notifier les fuites
- [Cloud vs on-premise ERP](/conseils/systemes-erp-crm/cloud-vs-on-premise-erp) — impact sur la surface d'attaque

## Conclusion

Le ransomware n'est plus une hypothèse abstraite en 2026 — c'est un
risque probable pour toute PME marocaine dans les 3 prochaines
années. 40 000 à 150 000 MAD par an de prévention évitent une facture
moyenne de 400 000 à 1,5M MAD de crise. La cybersécurité n'est pas
un centre de coût, c'est une police d'assurance opérationnelle. Et
contrairement à une vraie assurance, elle réduit aussi le risque
qu'elle couvre.

[Échangez 20 min avec notre équipe](/contact) — nous auditons votre
exposition actuelle au risque ransomware et construisons le plan de
renforcement adapté à votre taille et budget.

## Questions fréquentes

### Les PME marocaines sont-elles réellement ciblées par le ransomware ?

Oui, massivement. Les PME sont les cibles préférées car moins protégées que les grandes entreprises. Au Maroc en 2024-2025, plusieurs attaques documentées sur PME dans distribution, logistique, santé, manufacturing. Les rançons demandées : typiquement 20 000 à 500 000 USD (200 000 à 5M MAD). 60% des PME paient — erreur.

### Faut-il payer la rançon ?

Non dans 90% des cas. 3 raisons : 1) 30% des paiements ne produisent pas de déchiffrement (les pirates encaissent sans livrer), 2) payer vous marque comme cible future (33% re-victimisation dans les 12 mois), 3) vous financez un écosystème criminel. Préférer : restaurer depuis sauvegardes propres + communiquer + renforcer sécurité.

### Combien coûte une attaque ransomware pour une PME ?

Coût médian d'une PME marocaine victime en 2025 : 400 000 à 1,5M MAD incluant : temps d'arrêt d'activité (50% du coût), restauration technique (20%), éventuelle rançon si payée (15%), perte clients/réputation (10%), conformité et juridique (5%). Budget prévention de 50 000-100 000 MAD/an évite un risque à 1M MAD.

### Qu'est-ce qu'un EDR et pourquoi c'est critique ?

EDR = Endpoint Detection and Response. Antivirus nouvelle génération qui détecte les comportements suspects (pas seulement les signatures connues). Solutions recommandées PME : CrowdStrike Falcon Go (~300 MAD/poste/an), Microsoft Defender for Endpoint (inclus dans M365 E3), SentinelOne. Obligatoire en 2026 — les antivirus classiques ne suffisent plus.

### Le MFA suffit-il pour sécuriser les comptes ?

Le MFA (authentification multifacteur) bloque 99,9% des attaques par vol de mot de passe selon Microsoft. Mais certains MFA sont mieux que d'autres : SMS est faible (SIM swap possible), app TOTP (Google Auth, Authy) est bon, clé physique FIDO2 (YubiKey) est excellent. Pour admins IT et direction : FIDO2 obligatoire.

### Quel plan de réponse suivre en cas d'attaque ?

Les 24 premières heures : 1) Isoler les machines infectées (déconnecter réseau, ne pas éteindre), 2) Activer le plan de communication interne, 3) Contacter la DGSSI et votre prestataire cyber, 4) Informer CNDP sous 72h si fuite de données suspectée, 5) Documenter tout. Ne jamais tenter de nettoyer seul — risque de détruire les preuves et propager l'infection.

### Faut-il une cyber-assurance au Maroc ?

De plus en plus pertinent. Les assureurs marocains (AXA, Wafa Assurance, Sanad) proposent des polices cyber depuis 2022. Couvre typiquement : coûts de restauration, perte d'exploitation, gestion de crise, communication, frais juridiques. Budget : 5 000-50 000 MAD/an selon CA et couverture. Exige un niveau minimum de sécurité (audit d'éligibilité).