Les ransomwares au Mexique : faut-il payer ou non la rançon ?

Il y a une question qu’aucun PDG ne souhaite se poser un vendredi à 18 heures : « Les systèmes sont chiffrés, on nous demande une rançon… Est-ce qu’on paie ? ». En 2026, cette question est plus complexe que jamais, car les ransomwares ne se limitent plus à un simple détournement de fichiers : il s'agit désormais d'un véritable business d'extorsion en plusieurs étapes, et les entreprises mexicaines — en particulier les filiales de groupes internationaux — figurent parmi leurs cibles privilégiées.

Comment fonctionne le ransomware en 2026 : il ne s'agit plus seulement de chiffrement

Le modèle classique — chiffrer des fichiers et vendre la clé — a évolué vers la double et la triple extorsion: avant de procéder au chiffrement, les attaquants passent des semaines au sein du réseau, exfiltrent des données sensibles, puis menacent de les publier, d’en informer vos clients ou de vous dénoncer auprès de l’autorité de régulation si vous ne payez pas. Même si vous disposez de sauvegardes parfaites, la menace de publication reste bien réelle. C’est pourquoi la réponse moderne aux ransomwares commence bien avant le chiffrement : par la détection de la reconnaissance préalable.

Payer ou ne pas payer ? Le cadre de décision honnête

La recommandation unanime des agences de cybersécurité reste de ne pas payer, et les raisons sont solides :

• Le fait de payer ne garantit rien. Une grande partie des victimes qui paient ne récupèrent pas toutes leurs données, et les clés fournies ne fonctionnent pas ou ne permettent qu’un décryptage partiel.
• Vous financez la prochaine attaque — qui pourrait bien vous viser : les organisations qui paient sont identifiées comme telles et font à nouveau l'objet d'attaques.
• Cela peut avoir des conséquences juridiques. Le fait de verser des fonds à des entités faisant l'objet de sanctions internationales expose l'entreprise à des risques — et une filiale mexicaine d'un groupe européen ou américain se trouve soumise à ces mêmes restrictions de la part de sa société mère.
• Votre assurance peut refuser de vous indemniser. Les polices d'assurance contre les cyberrisques exigent de plus en plus de preuves de contrôles préalables (MFA, sauvegardes vérifiées, EDR). Le fait de payer de votre poche sans en avoir convenu au préalable avec l'assureur peut entraîner l'annulation de la couverture.

Cela dit, la décision finale n’est jamais abstraite : elle dépend de l’existence de sauvegardes exploitables, de la nature des données qui ont été perdues et des autres parties prenantes — assureur, avocats, maison mère, autorités. L’objectif d’un bon plan de sécurité est de vous éviter d’avoir à prendre cette décision sous la pression.

Si vous en êtes là en ce moment : les premières étapes

1. Isolez, ne les éteignez pas. Débranchez les équipements concernés du réseau, mais n'éteignez pas les serveurs : une analyse médico-légale permet de récupérer les mots de passe à partir de la mémoire.
2. Mettez en œuvre votre plan d'intervention en cas d'incident — s'il existe. Rôles, délais, porte-parole unique. S'il n'existe pas, c'est maintenant que cela se remarque.
3. Prévenez simultanément : votre prestataire de sécurité, votre assureur (avant toute décision de paiement) et les autorités — au Mexique, c'est la Garde nationale (CERT-MX) qui reçoit les signalements d'incidents.
4. Vérifiez les sauvegardes dans un environnement isolé avant de les restaurer : les pirates ont souvent pour première réaction de chiffrer ou d'effacer les sauvegardes connectées.
5. Consignez tout avec des horodatages : le médecin légiste, la compagnie d'assurance et — si vous êtes une filiale — la maison mère vous le demanderont.

Pourquoi les filiales au Mexique constituent-elles une priorité ?

Les groupes de ransomware étudient leurs victimes. Une filiale d’une multinationale présente trois attraits : une capacité de paiement (les ressources du groupe), une coordination insuffisante avec le siège (des politiques de sécurité qui n’ont pas bien franchi l’Atlantique) et une pression en termes de réputation (une faille au Mexique se répercute immédiatement sur la maison mère européenne, avec l’ RGPD e en toile de fond). Nous analysons cela en détail dans notre étude sur l’évolution des cybermenaces depuis 2020.

La prévention qui fonctionne vraiment

• Des sauvegardes fiables grâce à la règle 3-2-1 — et éprouvées. Une sauvegarde qui n'a jamais fait l'objet d'une restauration n'est qu'une hypothèse, pas un plan. Ce sont les restaurations périodiques documentées qui font la différence entre une simple frayeur et une véritable crise.
• EDR avec une réponse automatisée sur tous les terminaux — la reconnaissance préalable de plusieurs semaines est détectable si quelqu'un surveille.
• MFA dans l'ensemble, à commencer par les accès à distance et les comptes privilégiés : cela reste la principale porte d'entrée.
• Segmentation du réseau pour qu'un équipement compromis n'entraîne pas l'arrêt de l'usine.
• Un plan d'intervention écrit et testé, avec un exercice annuel : c'est avant l'attaque que se joue la différence entre 4 heures et 4 semaines de paralysie.

La bonne question n'est pas « Est-ce que je paierais ? », mais « Suis-je prêt ? »

Chez Keptos , nous proposons des services de cybersécurité gérés aux entreprises et filiales internationales implantées au Mexique : des sauvegardes inviolables et éprouvées, EDR, MFA et un plan d’intervention en cas d’incident adapté à votre secteur d’activité — forts de 30 ans d’expérience et de conformité LFPDPPP et RGPD. Si vous ne savez pas quelle serait votre réaction aujourd’hui face à un chiffrement massif, c’est exactement le diagnostic qu’il faut établir cette semaine, et non après l’incident.