Rançongiciel : ce qu'un antivirus arrête, ce qu'il n'arrête pas

Un antivirus arrête la grande majorité des rançongiciels déjà connus et plusieurs comportements typiques de chiffrement, mais il ne garantit rien contre une attaque inédite, un accès obtenu par des identifiants volés ou un antivirus que l’utilisateur a lui-même désactivé. Il ne récupère pas non plus des fichiers déjà chiffrés. Le seul rempart qui répare est une sauvegarde saine, hors de l’ordinateur. Les laboratoires ne publient pas de test consacré aux seuls rançongiciels : ce qu’ils mesurent s’en approche, sans s’y confondre. Voyons ce que disent les tests, ce que promettent les éditeurs, et ce qu’il reste à votre charge.

Les étages de protection d’un antivirus

Un antivirus moderne ne fonctionne pas par un seul mécanisme. Il en empile plusieurs, qui n’arrêtent pas les mêmes choses.

• Les signatures et la réputation. Le fichier est comparé à des familles de malwares connues, ou à la réputation que le fournisseur lui attribue d’après des millions de postes. Ce premier filtre arrête les rançongiciels déjà observés, y compris leurs variantes les plus proches.
• L’analyse du comportement. Quand un programme inconnu ouvre et réécrit massivement des fichiers, ou change leur extension, l’antivirus peut l’interrompre et le mettre en quarantaine. C’est l’étage qui compte face à un rançongiciel neuf.
• La protection web et du courrier. Elle bloque une adresse déjà signalée ou une pièce jointe piégée avant que le fichier n’arrive sur le disque. C’est l’étage où se joue l’essentiel de la prévention.
• Les dossiers protégés. Certains produits interdisent à des applications non approuvées de modifier un dossier choisi, comme Documents ou Images. La fonction doit être activée et réglée.

Un rançongiciel passe quand aucun de ces étages ne le reconnaît : variante inconnue, comportement discret, lancement par un processus déjà approuvé. Aucun étage n’est infaillible, et la protection est une succession de probabilités plus qu’un mur. Savoir lequel a failli aide à comprendre pourquoi un produit, ou une configuration, laisse passer ce qu’un autre arrête.

Ce que les laboratoires mesurent, et ce qu’ils ne mesurent pas

Aucun test du socle de ce site n’est un test de rançongiciels isolés. Trois mesures s’en rapprochent, avec des limites que le tableau nomme.

Test	Ce qu’il mesure	Résultats notables	Limite
AV-Comparatives, Real-World Protection, février-mai 2026	400 scénarios d’infection réels : la menace a-t-elle pu modifier le système ?	Kaspersky 399 bloqués, Bitdefender 398, Avast, AVG et Norton 397, Microsoft 396, Malwarebytes 395, Panda 386	Tous types de menaces confondus, pas seulement les rançongiciels
SE Labs, Home Anti-Malware, avril-juin 2026	Menaces publiques du jour et attaques ciblées conçues avec des outils publics	Kaspersky 100 % de protection, McAfee et Malwarebytes 98 %, Sophos et Norton 97 %, Avast 96 %, Microsoft 95 %	Laboratoire qui n’écrit pas de malware inédit
AV-Comparatives, Advanced Threat Protection (test optionnel)	Résistance à des attaques ciblées	Or pour Bitdefender et ESET, argent pour Avast, AVG, G Data, Kaspersky et Norton	Résultats cités au rapport annuel 2025, sans détail chiffré dans ce socle

Le test Real-World d’AV-Comparatives compte une menace comme réussie quand elle a pu modifier le système, ce qui correspond bien à ce que fait un rançongiciel en chiffrant des fichiers. Un produit à 399 sur 400 et un produit à 386 sur 400 n’offrent pas la même marge. Mais ce test reste agrégé : on ne peut pas y lire le comportement d’un produit face à une famille précise de rançongiciels. Les barèmes, les dates et leurs pièges de lecture sont expliqués dans le guide de lecture d’un test de laboratoire.

Le test de SE Labs est plus parlant pour notre sujet, parce qu’il mélange des menaces publiques et des attaques ciblées construites par le laboratoire. Deux produits seulement, Kaspersky et Malwarebytes, n’ont laissé passer aucune attaque ciblée ; chez les autres, une ou deux ont abouti, et dix chez Webroot. C’est utile pour comprendre ce qu’un antivirus ne garantit pas : même un bon score laisse passer, çà et là, une attaque construite pour passer. Ce que le test ne dit pas, c’est la fréquence de telles attaques chez un particulier, où la menace dominante est plutôt un fichier ordinaire reçu en pièce jointe.

Un scénario type, étage par étage

Prenons une pièce jointe de facture reçue un lundi matin, déguisée en document. Plusieurs moments permettent à la protection d’intervenir, dans cet ordre.

À la réception, le filtre de messagerie ou la protection web peut écarter le message ou l’adresse si elle est déjà connue. Si elle ne l’est pas, le fichier atterrit sur le disque, où l’analyse à l’écriture compare son empreinte et sa réputation. S’il est neuf, il peut être lancé : c’est là que l’analyse du comportement prend le relais, en surveillant ce que le programme fait de vos fichiers. Les premiers fichiers chiffrés sont parfois sacrifiés avant l’interruption ; d’où l’intérêt d’une restauration ou d’une copie de sauvegarde.

Ce scénario montre pourquoi les produits se distinguent peu sur l’attaque banale et beaucoup sur le cas limite. Une facture piégée connue est arrêtée par presque tous les produits ; une variante écrite la veille pour éviter les détections est ce qui départage, et c’est ce que tentent de reproduire, de façon imparfaite, les attaques ciblées de SE Labs.

Ce que l’antivirus ne voit pas

La liste est plus courte qu’on ne l’imagine, et plus lourde de conséquences.

Un accès légitime obtenu par la ruse. Si un attaquant se connecte avec des identifiants volés, il n’a pas besoin de faire passer un fichier malveillant devant l’antivirus : il utilise les outils de l’ordinateur lui-même pour chiffrer. Ces accès passent par des mots de passe réutilisés, un service distant mal protégé ou une session ouverte sur un autre appareil.

Un antivirus mis hors service par l’utilisateur. Beaucoup d’attaques commencent par une consigne : « désactivez votre protection pour installer ». Dans ce cas, aucun étage ne joue. Ce scénario est décortiqué dans l’article consacré aux cracks, keygens et faux installateurs.

Un appareil que l’antivirus ne couvre pas. Un disque réseau, un vieux portable resté à l’écart, un téléphone, un Mac sans protection : le périmètre d’une licence n’est pas celui du foyer. Un rançongiciel qui chiffre un disque partagé le fait depuis un poste, mais touche aussi ce que ce poste a le droit de modifier.

Des fichiers déjà chiffrés. L’antivirus peut supprimer le programme et nettoyer la machine, il ne défait pas le chiffrement. Quelques produits annoncent une restauration : ESET, dans sa formule Ultimate, mentionne une fonction de restauration après rançongiciel. C’est une fonction d’éditeur, non un résultat de laboratoire.

Des fichiers copiés sans être chiffrés. Certaines attaques volent les données avant de les chiffrer, puis menacent de les publier. Une sauvegarde ne répond pas à ce risque, et l’antivirus non plus lorsque la fuite est déjà faite.

Mac, mobile, disque réseau : le périmètre à vérifier

Les rançongiciels les plus connus visent Windows, mais le périmètre d’un foyer ne s’y limite pas. Un Mac dispose d’XProtect, l’antivirus intégré d’Apple, qu’aucun laboratoire du socle n’a testé ; AV-TEST a évalué en juin 2026 plusieurs suites payantes sous macOS, qui obtiennent toutes 6 en protection, ESET perdant un demi-point en performance. Sur Android, Le service Google Play Protect décroche 5,5 en protection lors du cycle Android de septembre 2026, quand les suites payantes testées reçoivent la note pleine.

Un disque réseau ou un stockage partagé pose un autre problème : l’antivirus d’un poste protège ce poste, pas le NAS que le poste peut modifier. Si ce poste est compromis, le rançongiciel chiffre ce que son compte a le droit d’écrire, y compris sur le réseau. La question utile, pour chaque appareil, est donc celle-ci : si cet appareil était infecté, quels fichiers pourrait-il atteindre, et existe-t-il une copie qu’il ne peut pas toucher ?

Les fonctions anti-rançongiciel que les éditeurs annoncent

Les éditeurs mettent volontiers le mot en avant. Voici ce que les pages officielles relevées le 6 novembre 2026 affirment, sans qu’un laboratoire ait mesuré la fonction séparément :

• Avast One Premium Security et AVG Internet Security listent une protection anti-rançongiciel ; les versions gratuites d’Avast One et d’AVG annoncent une protection contre les rançongiciels.
• G DATA Internet Security ajoute à son anti-rançongiciel une sauvegarde dans le cloud, ce qui rejoint la logique de la section suivante.
• Panda Dome Advanced propose un anti-rançongiciel, et Sophos Home Premium aussi.
• ESET Ultimate annonce une restauration après rançongiciel.
• Microsoft documente l’accès contrôlé aux dossiers pour Windows, à activer manuellement.

Une annonce n’est pas une mesure. Elle dit qu’une fonction existe, pas qu’elle arrête telle famille de menaces, ni à quel prix en fausses alertes. Un dossier protégé trop strict peut bloquer un programme légitime qui écrit dans vos documents, comme un éditeur de photos ou un logiciel de comptabilité : le réglage demande un essai de quelques jours. Une protection qui accuse un logiciel sain se règle fichier par fichier, sans jamais exclure un dossier entier à la légère.

Ce que cela change dans le choix d’un produit

Les critères de choix qui comptent face aux rançongiciels ne sont pas les plus visibles dans les publicités. Dans l’ordre d’utilité : le niveau de protection mesuré en conditions réelles (400 scénarios au test d’AV-Comparatives), le nombre de fausses alertes, qui conditionne la possibilité d’activer des protections strictes sans désactiver le produit, et la présence d’une fonction de dossiers protégés ou de restauration, quand on y tient.

Un produit trop alarmiste, qui accuse des programmes sains, finit par être désactivé ou paramétré en exclusions, ce qui ruine sa protection. À niveau de détection équivalent, un produit qui se trompe peu a donc un avantage pratique que les taux de blocage ne montrent pas.

La sauvegarde 3-2-1, seule défense qui répare

Le principe 3-2-1 est ancien et simple : trois copies de ses données, sur deux supports différents, dont une hors du domicile ou hors ligne. Il s’applique à un particulier sans changer d’échelle. L’original sur l’ordinateur, une copie sur un disque externe que l’on débranche après usage, une troisième copie dans un service en ligne qui garde des versions antérieures. Le détail de la méthode, avec le cas du disque réseau en RAID qui ne remplace pas une sauvegarde, se trouve dans ce guide sur la règle de sauvegarde 3-2-1 pour un particulier.

Trois détails comptent plus que le principe lui-même.

• Le disque externe doit être débranché. Un disque connecté en permanence est un dossier de plus que le rançongiciel peut atteindre.
• Le cloud doit conserver un historique. Un dossier simplement synchronisé reproduit les fichiers chiffrés. Un historique de versions permet de revenir en arrière.
• La restauration doit être testée une fois. Une sauvegarde que l’on n’a jamais restaurée n’est qu’une hypothèse.

Ce sujet est celui de la fiche de réflexes de Cybermalveillance.gouv.fr sur les rançongiciels, qui détaille aussi la conduite à tenir une fois l’attaque subie : couper la machine du réseau, ne pas payer, demander de l’aide. Cet article se limite volontairement au rôle de l’antivirus, et renvoie à ce service public pour la réaction.

Pourquoi les rançongiciels n’ont pas disparu malgré les antivirus

La question se pose légitimement : si les produits bloquent la quasi-totalité des menaces des tests, pourquoi les attaques réussissent-elles encore ? Trois raisons se cumulent. La première est l’écart entre le laboratoire et la vie réelle : les tests mesurent des échantillons connus du jour, alors que les attaquants testent eux-mêmes leurs fichiers contre les produits courants avant de les diffuser. La deuxième est l’inégalité d’équipement : beaucoup de postes n’ont pas d’antivirus à jour, ou l’ont perdu à l’expiration d’un abonnement que personne n’a renouvelé. La troisième est la cible : les attaques les plus coûteuses visent des organisations, dont les accès distants et les comptes à privilèges sont des portes que l’antivirus d’un poste ne garde pas.

Pour un particulier, cela se traduit par un constat simple et assez rassurant : l’attaque la plus probable est celle qu’un produit à jour arrête, et la plus dangereuse celle qui n’a pas besoin de lui. La défense raisonnable consiste donc à tenir à jour ce que l’on possède (système, navigateur, antivirus), à ne pas accorder d’accès à distance inutiles, et à garder une copie hors de portée.

Comment lire une promesse « protège contre les ransomwares »

Quand une page commerciale évoque les rançongiciels, quatre questions permettent de faire le tri. Elles s’appliquent aussi bien à une suite payante qu’à l’antivirus intégré à Windows, dont les résultats sont analysés dans l’article sur la suffisance de Defender.

1. La fonction est-elle activée par défaut ? Un dossier protégé qu’il faut régler à la main reste inactif pour beaucoup d’utilisateurs.
2. Le produit apparaît-il dans un test récent, avec sa version et sa date ? Une promesse sans cycle de test reste une promesse.
3. La fonction restaure-t-elle des fichiers ou se contente-t-elle de bloquer ? Les deux ne sont pas la même garantie.
4. La garantie commerciale est-elle conditionnée à un renouvellement automatique ? C’est le cas de plusieurs offres, ce qui rattache cette question à celle du prix de renouvellement.

Pour raisonner par foyer plutôt que par produit, le guide du choix selon l’usage reprend les critères mesurables appareil par appareil.

Le bilan, sans promesse

Un antivirus est une barrière utile contre les rançongiciels, sans être une garantie. Il arrête les menaces connues, interrompt plusieurs comportements suspects et s’appuie sur des tests de laboratoire où l’écart entre les meilleurs et les derniers existe, même s’il se joue sur peu de cas. Il laisse passer les attaques inédites, les accès frauduleux et les installations faites en le désactivant. La sauvegarde hors ligne ne remplace pas l’antivirus : elle répare ce qu’il n’a pas empêché. Les deux se complètent, et c’est l’ordre de leurs rôles qui compte : l’antivirus pour éviter, la sauvegarde pour reprendre.

Pour aller aux sources, les rapports de SE Labs et d’AV-Comparatives cités ici sont publics, avec leurs méthodes.