Ransomware : ce qui se passe vraiment quand une PME sénégalaise est prise en otage

« Le chiffrement a commencé à 3h du matin. À 8h, quand la première employée est arrivée, son écran affichait un message en anglais : « Vos fichiers ont été chiffrés. Payez 5 millions FCFA pour les récupérer. » Elle a cru à une blague. Ce n’était pas une blague. »

C’est le scénario que vivent chaque mois des dizaines de PME au Sénégal. Le ransomware — ou rançongiciel — n’est plus une menace lointaine réservée aux grandes entreprises occidentales. C’est une réalité quotidienne pour les commerces, cabinets, écoles et PME sénégalaises.

En 2024, Kaspersky a bloqué 10 millions de cyberattaques ciblant des entreprises et particuliers sénégalais, dominées par les ransomwares et les vols de mots de passe . Plus de 30 % des PME sénégalaises déclarent avoir subi une attaque ayant impacté leurs activités .

Mais que se passe-t-il vraiment quand une PME sénégalaise est prise en otage ? Voici le déroulé réel, heure par heure, de ce que vivent les dirigeants.

Phase 1 : L’intrusion silencieuse (J-7 à J-1)

Le ransomware ne s’active pas immédiatement. Les pirates passent d’abord plusieurs jours, voire semaines à se promener dans votre réseau sans que personne ne s’en aperçoive .

Comment ils entrent

Les vecteurs d’infection sont connus, mais toujours efficaces au Sénégal  :

• Email piégé : un collaborateur clique sur une pièce jointe ou un lien malveillant. C’est la porte d’entrée n°1.
• Faille non corrigée : un logiciel non mis à jour, une box avec un mot de passe par défaut.
• Accès distant mal sécurisé : un VPN sans double authentification, un accès RDP exposé sur Internet.
• Clé USB infectée : encore fréquent dans les échanges physiques de fichiers.

Ce qu’ils font pendant ce temps

Une fois entrés, les pirates ne se précipitent pas. Ils explorent, identifient et préparent  :

• Ils cartographient vos serveurs et vos partages réseau
• Ils repèrent l’emplacement de vos sauvegardes
• Ils volent des identifiants pour accéder aux comptes critiques
• Ils s’assurent d’avoir les droits administrateur

« La phase de reconnaissance peut durer plusieurs jours, voire plusieurs semaines. Les attaques sont généralement déclenchées la nuit ou le week-end, quand personne ne peut les détecter. » 

À ce stade, votre entreprise est déjà compromise. Mais vous ne le savez pas encore.

Phase 2 : Le déclenchement (Nuit du vendredi au samedi, 3h du matin)

C’est le moment où tout bascule.

Ce qui se passe techniquement

Les pirates lancent leur chiffrement sur l’ensemble de vos données :

• Serveur de fichiers : tous les dossiers partagés sont verrouillés
• Postes de travail : documents, images, bases de données
• Sauvegardes connectées : elles sont aussi chiffrées si elles sont accessibles depuis le réseau 
• Serveurs de messagerie : archives et boîtes mail

Les données ne sont pas supprimées. Elles sont chiffrées — transformées en fichiers illisibles. Pour les récupérer, il faut une clé de déchiffrement que seuls les pirates possèdent.

Le message qui glace le sang

Quand le premier employé arrive le matin, son écran affiche un message. En anglais, souvent mal écrit. Il indique :

• Que vos fichiers ont été chiffrés
• Le montant de la rançon à payer (souvent en Bitcoin ou Monero)
• Un délai avant que le prix n’augmente ou que les données soient publiées
• Un lien vers un site du dark web pour « négocier »

Ce que vivent les dirigeants

« Le téléphone commence à sonner. Les employés ne peuvent plus travailler. Le serveur est inaccessible. Les emails ne partent plus. On ne sait pas quoi faire. »

C’est le moment où l’entreprise s’arrête. Pas partiellement. Complètement.

Phase 3 : L’arrêt total de l’activité (J+1 à J+3)

Les conséquences immédiates

Pour les opérations :

• Impossible de facturer, de consulter les dossiers clients, de traiter les commandes
• Les emails professionnels sont bloqués
• Les paiements en ligne ne fonctionnent plus

Pour les employés :

• Les équipes sont mises au chômage technique
• Certains ne peuvent même pas accéder à leurs documents de travail
• Le stress monte, les rumeurs circulent

Pour les clients :

• Les commandes ne sont pas traitées
• Les livraisons sont retardées
• La confiance s’effrite

Le dilemme du paiement

C’est le moment où le dirigeant doit prendre une décision impossible.

Ce que les chiffres disent  :

• 30 à 40 % des victimes qui paient ne reçoivent jamais la clé de déchiffrement
• 80 % des entreprises qui paient sont re-attaquées dans les 12 mois (elles sont marquées comme « solvables »)
• Payer finance directement les groupes cybercriminels et encourage les attaques futures

Ce que la loi sénégalaise prévoit :
Le paiement de rançon n’est pas illégal en soi, mais il est vivement déconseillé. La nouvelle loi sur la cybersécurité adoptée en août 2026 renforce le cadre juridique et pourrait permettre aux autorités d’imposer des assurances cyber obligatoires pour certains secteurs .

« La réponse est NON, sauf en tout dernier recours : si des vies ou la survie de l’entreprise en dépendent ET qu’aucune sauvegarde n’existe, la décision revient à la direction. » 

Phase 4 : La double extorsion (J+3 à J+10)

C’est une évolution récente et particulièrement cruelle du ransomware.

Aujourd’hui, les pirates ne se contentent pas de chiffrer vos données. Ils les volent d’abord  :

Ce qui se passe

1. Exfiltration : Avant de chiffrer, les pirates copient vos données sensibles (fichiers clients, contrats, données RH, informations bancaires)
2. Menace de publication : Si vous ne payez pas, ils menacent de publier ces données sur le dark web ou de les revendre
3. DDoS : Parfois, ils lancent une attaque par déni de service pour accentuer la pression

Les conséquences pour une PME sénégalaise

• Fuite de données clients : Vous devez notifier vos clients, ce qui détruit la confiance
• Violation de données personnelles : Vous devez notifier la Commission des Données Personnelles (CDP) dans les 72h 
• Atteinte à la réputation : Dans un marché où la confiance est essentielle, c’est souvent fatal

« Les groupes de ransomware continuent d’appliquer une pression soutenue sur les organisations africaines. Les adversaires combinent chiffrement des données, exfiltration simultanée, menaces de divulgation et extorsion par DDoS. » 

Phase 5 : La reprise (Semaines 2 à 8)

Si vous avez des sauvegardes testées

C’est le scénario du meilleur cas. Mais il est rare.

Ce qu’il faut faire  :

1. Isoler les machines infectées (débrancher le réseau, pas éteindre)
2. Ne pas payer
3. Restaurer depuis une sauvegarde saine
4. Reformater les systèmes compromis
5. Identifier la cause de l’infection pour éviter que ça recommence

Délai de reprise : 1 à 2 semaines dans le meilleur des cas.

Si vous n’avez pas de sauvegardes

C’est le scénario catastrophe.

Vos options :

• Payer la rançon (avec 30-40 % de chances de ne pas récupérer vos données) 
• Perdre définitivement vos données
• Reconstruire l’entreprise à partir de zéro

Délai de reprise : 2 à 6 mois, avec des pertes potentiellement irréversibles.

Le coût réel

Pour une PME sénégalaise, le coût total d’une attaque ransomware dépasse largement la rançon demandée :

Ce qui aurait pu éviter l’attaque

Les mesures qui font la différence

« Une sauvegarde non testée n’est pas une sauvegarde. Faites un test de restauration trimestriel. » 

La question n’est plus « si », mais « quand »

Le ransomware n’est pas un risque théorique pour les PME sénégalaises. C’est une menace active et documentée. Les attaques contre les services publics sénégalais (DGID, DAF, Trésor) en 2025-2026 montrent que personne n’est à l’abri .

La différence entre les entreprises qui survivent et celles qui ferment ne tient pas à la chance. Elle tient à la préparation :

• Avez-vous des sauvegardes testées et hors ligne ?
• Avez-vous activé la double authentification sur vos comptes critiques ?
• Vos employés savent-ils reconnaître un email de phishing ?
• Avez-vous un plan de réponse si l’attaque survient demain ?

« En 2026, la question n’est plus « Serons-nous attaqués ? » C’est : « Quand ? et Serons-nous prêts ? » »