Cette question ne se tranche pas à chaud, un dimanche, avec un compte à rebours affiché à l’écran et une équipe qui attend une décision. Elle se tranche maintenant, à froid, et elle s’écrit dans votre procédure d’incident.
Ne jamais avoir à se poser la question
Nous vérifions vos sauvegardes et votre couverture avant l’incident, pas pendant. Étude gratuite sous 48 heures.
La position officielle en France
Les autorités recommandent de ne pas payer. La raison tient en trois arguments, et aucun n’est moral.
Payer ne garantit rien : vous achetez une promesse à quelqu’un dont le métier est de mentir. Payer finance le développement de l’écosystème, donc les prochaines attaques, dont peut-être la vôtre dans six mois. Payer vous inscrit sur des listes de cibles solvables qui circulent entre groupes criminels.
À cela s’ajoute un point souvent ignoré : même payée, la clé de déchiffrement fournie fonctionne rarement parfaitement. La restauration reste longue, partielle, et vos données ont de toute façon été copiées avant le chiffrement.
Technique devenue standard : l’attaquant exfiltre vos données avant de les chiffrer. Même si vous restaurez tout sans payer, il menace ensuite de publier les données volées. Payer le déchiffrement ne règle donc pas la question de la fuite. Source : ANSSI.
Est-ce légal de payer ?
Payer une rançon n’est pas en soi une infraction pour la victime en droit français. Mais deux limites sérieuses encadrent la décision.
La première tient aux sanctions internationales : si le groupe criminel figure sur une liste de gel des avoirs, le paiement peut constituer une infraction. Vérifier ce point demande une expertise que vous n’avez pas en interne, et c’est l’une des raisons pour lesquelles un accompagnement spécialisé compte.
La seconde tient à l’assurance. Le Code des assurances conditionne le remboursement d’une rançon par un assureur au dépôt d’une plainte par la victime dans un délai contraint. Sans plainte, pas d’indemnisation sur ce poste.
C’est la règle la plus mal connue du dispositif français. Le versement d’une rançon par un assureur est subordonné au dépôt d’une plainte par la victime dans un délai court après la connaissance de l’infraction. Une entreprise qui paie discrètement pour éviter la publicité se prive mécaniquement de son indemnisation.
Cabinet indépendant près de Rennes, nous vérifions systématiquement le sous-plafond rançon et les conditions de mise en jeu. C’est une ligne que presque personne ne lit avant d’en avoir besoin.
Ce que dit votre contrat d’assurance
La plupart des contrats cyber couvrent la cyber-extorsion, mais jamais sans conditions. Trois mécanismes reviennent partout.
- Un sous-plafond, souvent très inférieur au plafond global du contrat. C’est lui qui compte, pas le chiffre de couverture.
- L’accord préalable de l’assureur, sans lequel un paiement effectué de votre propre initiative n’est pas remboursé.
- Le dépôt de plainte dans le délai prévu par le Code des assurances.
Concrètement, si vous décidez seul de payer un dimanche soir en cryptomonnaie, vous ne serez pas indemnisé. L’appel à l’assureur n’est pas une formalité administrative, c’est la condition de la couverture. Notre comparatif des garanties détaille ces sous-plafonds.
Connaissez-vous votre sous-plafond rançon ?
Envoyez-nous vos conditions particulières. Nous vous disons en une lecture ce qui est réellement couvert sur ce poste.
Ce qui se passe vraiment quand on paie
Notre position est tranchée : dans l’immense majorité des cas, payer est une mauvaise décision opérationnelle, indépendamment de toute considération éthique.
La clé de déchiffrement, quand elle arrive, déchiffre lentement et imparfaitement. Vous passez tout de même plusieurs jours à reconstruire. Vos données exfiltrées restent entre leurs mains. Et vous avez financé l’opération suivante.
Le seul scénario qui fait hésiter les professionnels est celui de l’entreprise sans aucune sauvegarde exploitable, dont la survie se joue en jours. C’est précisément le scénario qu’une sauvegarde déconnectée, testée une fois par an, aurait évité pour un coût dérisoire.
La situation. Une PME de négoce d’Ille-et-Vilaine, 55 salariés, serveurs chiffrés un samedi. Demande de rançon à 180 000 euros en cryptomonnaie.
L’incident. Le dirigeant envisage de payer pour reprendre le lundi. Son contrat prévoit un sous-plafond rançon de 50 000 euros et un accord préalable obligatoire.
Le dénouement. La cellule de crise de l’assureur identifie une sauvegarde hebdomadaire oubliée sur un disque externe. Reprise en cinq jours, sans paiement. La rançon aurait coûté 130 000 euros de reste à charge pour un résultat incertain.
Que faire dans les premières heures
Ne rien éteindre, ne rien payer, ne rien effacer. Ces trois réflexes préservent à la fois vos chances de restauration et les preuves nécessaires à l’enquête.
Isolez les machines du réseau sans les arrêter, appelez la cellule de crise de votre assureur, appelez votre prestataire informatique, déposez plainte. Le dépôt de plainte conditionne l’indemnisation de la rançon et alimente le travail des services d’enquête. Notre plan d’urgence détaillé reprend la séquence complète.
« NIS 2 rentrera en vigueur en France dès lors que l’ensemble des textes de transposition, loi, décrets et arrêtés, auront été promulgués. »
ANSSI, documentation officielle MonEspaceNIS2, cyber.gouv.fr, 2025
La seule façon de ne jamais avoir à choisir
Une sauvegarde déconnectée du réseau, ou immuable, testée au moins une fois par an, avec un compte rendu écrit. C’est tout. Cette mesure unique vous rend le pouvoir de dire non.
Elle coûte quelques centaines d’euros par an dans une TPE, elle fait baisser votre prime d’assurance, elle satisfait les attentes réglementaires, et elle transforme une négociation sous contrainte en simple opération de restauration. Aucun autre investissement cyber n’a ce rendement.
« Le nombre d’entités régulées passe d’environ 500 sous NIS1 à environ 15 000 sous NIS2, réparties sur dix-huit secteurs. »
Synthèse des travaux parlementaires sur le projet de loi résilience, Sénat, 2025
Écrivez dès aujourd’hui, en une phrase, la position de votre entreprise sur le paiement d’une rançon, et faites-la valider en réunion de direction. Cette phrase vaut plus que tout le reste le jour J : elle évite qu’une décision à six chiffres soit prise dans la panique par une personne seule. Nous l’intégrons aux procédures que nous relisons depuis notre page assurance cyber entreprise.
Cabinet indépendant près de Rennes, nous préparons la crise plutôt que de la subir.
- Vérification du sous-plafond rançon et de ses conditions
- Relecture de votre procédure d’incident
- Mise en concurrence de plusieurs compagnies sur l’assistance de crise
Une étude cyber gratuite, sous 48 heures
Comparatif garanties, sous-plafonds et assistance de crise sur votre profil réel, sans engagement.
Questions fréquentes
Payer une rançon est-il illégal en France ?
Payer n’est pas en soi une infraction pour la victime. Deux limites existent : le paiement peut tomber sous le coup des sanctions internationales si le groupe criminel est visé par un gel des avoirs, et l’indemnisation par un assureur est conditionnée au dépôt d’une plainte.
Mon assurance rembourse-t-elle la rançon ?
Sous conditions strictes : un sous-plafond souvent très inférieur au plafond global, l’accord préalable de l’assureur, et le dépôt d’une plainte dans le délai prévu. Un paiement décidé seul n’est pas remboursé.
Obtient-on ses données en payant ?
Pas de façon fiable. La clé fournie déchiffre lentement et souvent imparfaitement. Et vos données ayant été copiées avant le chiffrement, le paiement ne règle pas la question de leur publication.
Faut-il déposer plainte ?
Oui, systématiquement et rapidement. C’est une condition d’indemnisation de la rançon par votre assureur, et cela alimente le travail des services d’enquête. La crainte de la publicité ne justifie pas d’y renoncer.
Que faire en tout premier lieu ?
Isoler les machines du réseau sans les éteindre, appeler la cellule de crise de votre assureur, appeler votre prestataire informatique, déposer plainte. N’effacez rien : les traces servent à comprendre et à prouver.
Pourquoi ne pas éteindre les machines ?
Parce que l’extinction efface la mémoire vive, qui contient parfois des éléments utiles à l’analyse, voire des clés. Isoler du réseau stoppe la propagation sans détruire ces traces.
Comment ne jamais avoir à se poser la question ?
Une sauvegarde déconnectée du réseau ou immuable, testée au moins une fois par an avec un compte rendu écrit. C’est la seule mesure qui vous rend le pouvoir de refuser, et elle coûte quelques centaines d’euros par an dans une petite structure.
Expert en Responsabilité Civile Professionnelle
Courtier spécialisé en RC Pro et en assurance cyber, Nicolas accompagne les indépendants, professions libérales et dirigeants d’entreprises dans la protection de leur activité.