Des fichiers inaccessibles, un message de rançon sur l'écran, l'activité qui s'arrête : une attaque par ransomware est un choc. Chaque minute compte, et les décisions prises dans les premières heures peuvent faire la différence entre une reprise rapide et une catastrophe.
Voici la marche à suivre, dans l'ordre, avec les erreurs à ne surtout pas commettre.
Les 10 premières minutes : isoler
La priorité absolue : stopper la propagation. Un ransomware se propage sur le réseau et peut chiffrer l'ensemble de votre parc en quelques minutes.
- Débranchez les câbles réseau de tous les postes touchés - ou désactivez le WiFi. Immédiatement.
- Éteignez les serveurs si vous en avez, pour stopper la propagation. Sauf si une sauvegarde est en cours sur un NAS : attendez qu'elle se termine avant d'éteindre.
- Ne redémarrez pas les postes infectés. Le ransomware peut avoir laissé des traces en mémoire vive utiles pour l'analyse.
- Prévenez vos collègues immédiatement de ne rien faire sur leurs postes.
Dans la première heure : évaluer et alerter
Identifier le périmètre
Combien de postes sont touchés ? Les serveurs sont-ils atteints ? Les sauvegardes sont-elles accessibles ? Notez ce que vous pouvez observer, mais ne cherchez pas à tout analyser vous-même - vous risqueriez d'effacer des traces précieuses.
Alerter les bonnes personnes
- Votre prestataire informatique en premier - il doit prendre la main le plus vite possible.
- Votre direction / dirigeant si vous n'êtes pas décisionnaire.
- Votre assureur cyber si vous en avez un - les délais de déclaration sont souvent courts.
- La CNIL si des données personnelles ont probablement été exfiltrées - délai légal de 72h.
Déposer plainte
Signalez l'attaque à la police ou à la gendarmerie dès que possible. Un dépôt de plainte est nécessaire pour certaines démarches (assurance, CNIL, aides de l'État). Vous pouvez aussi signaler sur cybermalveillance.gouv.fr pour obtenir de l'aide.
Les 3 erreurs à ne pas commettre
1. Payer la rançon
Le paiement ne garantit pas la récupération des données. Il finance les criminels pour leurs prochaines attaques. Et de nombreux groupes de ransomware reviennent attaquer leurs « bons payeurs ». Le gouvernement français déconseille fortement le paiement.
2. Reformater immédiatement les postes
C'est le réflexe instinctif - et une erreur. Les postes chiffrés contiennent des éléments d'investigation indispensables : journaux d'événements, artefacts malware, vecteur d'infection. Attendez le feu vert de votre prestataire ou d'un expert.
3. Restaurer les sauvegardes sans les avoir décontaminées
Si vous avez des sauvegardes (bravo !), ne les restaurez pas avant d'avoir vérifié que l'infrastructure est propre. Sinon, le ransomware rechiffre immédiatement vos données restaurées.
La reprise d'activité
La reprise suit un ordre strict :
- Identifier et éliminer le vecteur d'infection (e-mail piégé, accès RDP exposé, logiciel vulnérable).
- Assainir l'infrastructure (retirer le malware de tous les postes, y compris ceux qui semblent intacts).
- Restaurer à partir d'une sauvegarde saine - si vous en avez une. C'est là que la règle 3-2-1 prend tout son sens.
- Reconstruire les postes non sauvegardés.
- Corriger les failles qui ont permis l'attaque.
Après l'attaque : tirer les leçons
Un ransomware est souvent le révélateur de lacunes connues mais non traitées : sauvegardes inexistantes ou non testées, mises à jour négligées, accès RDP exposés, absence de MFA. L'après-attaque est le moment de faire l'inventaire et de ne pas reproduire les mêmes erreurs.
Vous avez été victime d'un ransomware, ou vous voulez vous préparer avant qu'il soit trop tard ? Point Net intervient en urgence partout en Occitanie et propose un audit de sécurité pour identifier vos points faibles. Voir notre offre cybersécurité ou nous contacter.
Cet article est publié à titre informatif. En cas d'incident actif, contactez immédiatement votre prestataire informatique. Cybermalveillance.gouv.fr peut également vous orienter vers des experts certifiés.
Photo : Ann H - Pexels