WannaCry : la cyberattaque qui a paralysé 230 000 ordinateurs et révélé la fragilité du monde numérique

En mai 2017, une cyberattaque a brutalement rappelé au monde la fragilité de son infrastructure numérique. En l’espace de quelques heures, des hôpitaux britanniques, des usines européennes, des aéroports, des opérateurs télécoms et des administrations publiques dans plus de 150 pays ont été paralysés.
Le responsable : un ransomware nommé WannaCry.
Ce n’était ni la première attaque de ce type, ni la plus sophistiquée sur le plan technique. Mais elle a marqué un tournant.

Car WannaCry ne s’est pas contenté de chiffrer des fichiers il a mis en lumière un problème plus profond — la sous-estimation des risques cyber la dépendance à des systèmes obsolètes et le retard dans l’application des mises à jour de sécurité.

Qu’est-ce que WannaCry exactement ?

WannaCry appartient à la famille des crypto-ransomwares

Son principe est simple :

Il infiltre un système Windows vulnérable.
Il chiffre les fichiers à l’aide d’algorithmes cryptographiques robustes.
Il affiche une demande de rançon payable en bitcoin.

Le chiffrement utilisé rend les fichiers inaccessibles sans clé privée.
Techniquement, il s’agit d’un chiffrement asymétrique : une clé publique chiffre les données, une clé privée les déchiffre. Cette architecture rend le contournement extrêmement difficile sans sauvegarde préalable.
La rançon demandée variait entre 300 et 600 dollars en bitcoin, avec menace de suppression définitive des fichiers en cas de non-paiement sous trois jours.

Pourquoi l’attaque s’est-elle propagée aussi vite ?

C’est ici que WannaCry se distingue.
Contrairement aux ransomwares classiques qui reposent sur le phishing, WannaCry exploitait une faille réseau EternalBlue.
Cette vulnérabilité touchait le protocole SMB (Server Message Block) utilisé pour le partage de fichiers entre ordinateurs Windows sur un réseau local.

EternalBlue permettait l’exécution de code à distance sans authentification.
Autrement dit : un ordinateur vulnérable pouvait être infecté sans interaction humaine.
La faille avait été initialement développée par la NSA à des fins de renseignement, puis divulguée par le groupe Shadow Brokers. Microsoft avait publié un correctif (MS17-010) en mars 2017.

Mais dans la pratique, des millions de machines — notamment sous Windows XP — n’avaient pas été mises à jour.

WannaCry s’est alors comporté comme un ver informatique,
une machine infectée scannait automatiquement le réseau à la recherche d’autres systèmes vulnérables, déclenchant une propagation exponentielle.

DoublePulsar et l’architecture de l’attaque

Pour s’implanter durablement, WannaCry utilisait également un outil appelé DoublePulsar, une porte dérobée (backdoor) permettant d’exécuter du code à distance sur la machine compromise.
Le malware contenait aussi :

un module de chiffrement (Wana Decrypt0r 2.0),
des clés cryptographiques intégrées,
une version embarquée du réseau Tor pour anonymiser la communication avec les serveurs de paiement.

Cette combinaison technique explique pourquoi l’attaque a été si difficile à contenir dans les premières heures.

Le “kill switch” : un hasard salvateur

Un détail inattendu a changé le cours de l’événement.
Un chercheur en cybersécurité a remarqué qu’avant d’exécuter son code, WannaCry tentait de contacter un domaine web spécifique. En enregistrant ce domaine, il a involontairement activé ce qui est devenu le fameux kill switch, stoppant la propagation automatique d’une large partie des infections.
Ce mécanisme n’était pas une fonction de sécurité volontaire, mais probablement un test de sandbox mal implémenté par les attaquants.
Sans cette découverte, les dégâts auraient été bien plus étendus.

L’impact : au-delà des chiffres

Environ 230 000 ordinateurs infectés dans plus de 150 pays.
Des pertes estimées à près de 4 milliards de dollars.
Mais au-delà du coût financier, l’impact symbolique fut majeur.

Au Royaume-Uni, le NHS a dû annuler près de 19 000 rendez-vous médicaux. Des ambulances ont été redirigées. Des équipements critiques sont devenus inopérants.
Des industriels ont stoppé leurs chaînes de production. Des entreprises ont suspendu leurs activités pendant plusieurs jours.

WannaCry a illustré une réalité nouvelle : une cyberattaque peut produire des effets physiques concrets.

Pourquoi le paiement ne garantissait rien

Contrairement à certains groupes criminels organisés aujourd’hui, les auteurs de WannaCry n’avaient pas mis en place une infrastructure de suivi des paiements efficace.
Des analyses ont montré que l’association entre paiement et machine victime était mal conçue.
Certaines victimes ayant payé n’ont jamais reçu de clé de déchiffrement.
Cette attaque a renforcé un principe désormais central en cybersécurité : payer alimente le modèle criminel sans garantir la récupération des données.

WannaCry aujourd’hui : menace persistante ou leçon historique ?

La vulnérabilité exploitée en 2017 est aujourd’hui largement corrigée.
Cependant, les systèmes obsolètes ou non maintenus restent vulnérables.
Plus important encore, WannaCry a servi de modèle.
Les ransomwares modernes (LockBit, Ryuk, BlackCat…) ont perfectionné le modèle économique : double extorsion, vol de données avant chiffrement, négociations structurées.
WannaCry n’était qu’un signal précoce d’un phénomène devenu industriel.

Les enseignements stratégiques

WannaCry a mis en lumière plusieurs failles structurelles :

La dépendance à des systèmes hérités non mis à jour.
Le retard chronique dans l’application des correctifs critiques.
La difficulté à segmenter correctement les réseaux internes.
La sous-estimation du risque cyber dans les infrastructures essentielles.

Aujourd’hui, la défense contre ce type d’attaque repose sur plusieurs piliers :

Gestion rigoureuse des mises à jour
Sauvegardes hors ligne régulières
Segmentation réseau
Surveillance comportementale
Sensibilisation des utilisateurs

Mais au-delà des outils c’est une question de gouvernance et de culture numérique.

Une attaque qui a changé la perception du risque

WannaCry n’était pas l’attaque la plus avancée techniquement.
Mais elle a marqué un tournant psychologique.
Elle a montré qu’une faille connue, ignorée pendant quelques semaines, pouvait immobiliser des infrastructures nationales.
Elle a transformé la cybersécurité d’un sujet technique en enjeu stratégique.
Et surtout, elle a posé une question qui reste d’actualité en 2025
sommes-nous réellement préparés à la prochaine vulnérabilité massive ?

FAQ

WannaCry est-il encore une menace aujourd’hui ?

La faille exploitée en 2017 a été corrigée, mais les systèmes non mis à jour ou obsolètes peuvent toujours rester vulnérables à des attaques similaires.

Pourquoi l’attaque s’est-elle propagée aussi rapidement ?

Contrairement aux ransomwares classiques basés sur le phishing, WannaCry se comportait comme un ver informatique. Il scannait automatiquement les réseaux à la recherche de systèmes non corrigés, provoquant une propagation exponentielle.

Qu’est-ce qu’EternalBlue ?

EternalBlue est un exploit ciblant le protocole SMB de Windows, permettant l’exécution de code à distance sans authentification sur des machines vulnérables.

Payer la rançon garantissait-il la récupération des fichiers ?

Non. L’infrastructure de paiement était mal structurée, et plusieurs victimes n’ont jamais reçu de clé de déchiffrement malgré le versement demandé.