Ransomware : pourquoi les pirates attendent que vous partiez en vacances
Fin juillet, la moitié de la Belgique ferme boutique ou tourne en effectif réduit. C'est exactement ce que les groupes de ransomware attendent. Les autorités américaines l'observent depuis des années : les attaques les plus destructrices se déclenchent les week-ends et les jours fériés, quand personne ne regarde les écrans. Et cette semaine, le Centre pour la Cybersécurité Belgique a publié un rapport détaillé sur Qilin, l'un des groupes les plus actifs du moment. Voici ce qu'il faut savoir, et surtout ce qu'il faut vérifier avant de fermer.
Le timing n'est pas un hasard
Le FBI et la CISA, l'agence américaine de cybersécurité, alertent de longue date sur un schéma bien rodé : les opérateurs de ransomware préparent leur attaque pendant des semaines, puis déclenchent le chiffrement au moment où l'entreprise est la moins capable de réagir. Un vendredi soir, une veille de férié, la période des congés annuels. Plus la détection tarde, plus les dégâts s'étendent : chaque heure sans réaction leur permet de chiffrer plus de serveurs et d'exfiltrer plus de données.
La logique est implacable. Une intrusion détectée le mardi à 10h se limite souvent à un poste ou deux. La même intrusion un samedi de juillet, quand le responsable informatique est à l'étranger et que personne ne consulte les alertes, se termine par un parc complet chiffré le lundi matin.
Qilin : le groupe que le CCB surveille de près
Le 22 juillet, le Centre pour la Cybersécurité Belgique (CCB) a publié un rapport de renseignement sur Qilin, aussi appelé Agenda. Actif depuis 2022, ce groupe fonctionne comme une véritable entreprise : il loue son logiciel malveillant à des « affiliés » qui mènent les attaques, et recrute activement les opérateurs expérimentés de groupes démantelés. Résultat : son activité augmente d'année en année, et 2026 s'annonce déjà pire que 2025 en nombre de victimes.
Qilin pratique la double extorsion : vos données sont chiffrées ET volées. Même si vous restaurez vos sauvegardes, le groupe menace de publier vos fichiers clients, contrats et données RH si vous ne payez pas. Des organisations belges figurent déjà parmi les victimes recensées. Et contrairement à une idée reçue, ces groupes ne visent pas que les grandes structures : une PME qui paie vite et discrètement est une cible idéale.
Les attaquants choisissent le moment où votre entreprise est la plus vulnérable : si personne ne surveille votre informatique pendant les congés, votre sécurité part en vacances en même temps que vous.
Six vérifications avant de fermer
Bonne nouvelle : l'essentiel se met en place en quelques jours, et la plupart de ces protections existent déjà dans vos licences Microsoft 365. Encore faut-il les activer.
- Installez les mises à jour avant le départ. Les attaquants exploitent en priorité les failles connues mais non corrigées. Serveurs, pare-feu, postes de travail : tout doit être à jour avant la fermeture, pas au retour.
- Vérifiez le MFA sur tous les comptes. La double authentification doit couvrir tous les accès à distance, y compris les comptes d'administration et les accès VPN. Un seul compte oublié suffit.
- Testez une restauration de sauvegarde. Une sauvegarde qui n'a jamais été testée est un espoir, pas un plan. Vérifiez qu'au moins une copie est hors ligne ou immuable, hors de portée d'un attaquant qui contrôlerait votre réseau.
- Désactivez les comptes dormants. Stagiaires partis, anciens collaborateurs, comptes de test : chaque compte inutilisé est une porte d'entrée potentielle. C'est le moment de faire le tri.
- Désignez un responsable joignable. Qui reçoit les alertes pendant la fermeture ? Qui a le droit de débrancher un serveur en urgence ? Un nom, un numéro, une consigne simple : cela change tout un dimanche d'août.
- Méfiez-vous des emails « RH » de l'été. Les campagnes de phishing estivales imitent les services internes : plannings de congés, changements de paie, notes de service. Rappelez la règle à vos équipes avant le départ : toute demande inhabituelle se vérifie par téléphone, à un numéro connu.
Et si personne ne surveille chez vous ?
C'est précisément le rôle d'une infogérance : quelqu'un reçoit les alertes et réagit, même quand votre entreprise est fermée. Si vous voulez d'abord savoir où vous en êtes, notre check-up sécurité gratuit vous situe en trois minutes : onze questions, un score, et votre point faible principal. Et pour un tour complet de votre installation, un audit gratuit et sans engagement se fait chez vous, en une heure.
Trois minutes suffisent pour le découvrir.
Sources : Centre pour la Cybersécurité Belgique · CISA / FBI · Bitdefender · Atalayar