J’ai voulu rédiger un guide clair sur la marche à suivre en cas d’attaque par ransomware, car dans l’urgence, on décide sous pression sans avoir le temps de se documenter.
1. Isolez les systèmes touchés
Déconnectez immédiatement les machines infectées du réseau : débranchez le câble réseau ou désactivez le Wi-Fi. Évitez de simplement les éteindre. L’extinction peut effacer la mémoire vive, dont les experts en investigation numérique auront besoin par la suite, et elle n’empêche pas le ransomware d’avoir déjà atteint les disques partagés ou les sauvegardes encore connectés au réseau.
2. Confirmez qu’il s’agit bien d’un ransomware et identifiez-le
Repérez la note de rançon, les changements d’extension des fichiers et tout message affiché sur l’écran de verrouillage. Des outils comme ID Ransomware, ou une simple recherche sur le texte de la note, peuvent vous aider à identifier la souche en cause. C’est utile, car certaines souches disposent d’outils de déchiffrement connus, et chacune a ses propres méthodes de chiffrement et de propagation.
3. Activez votre plan de réponse aux incidents
Mobilisez votre équipe de réponse aux incidents et associez dès le départ le service juridique et la direction. Si vous avez une cyberassurance, contactez aussi votre assureur sans attendre : de nombreux contrats imposent une déclaration dans un délai précis et prévoient des prestataires agréés pour l’investigation numérique et la négociation.
4. Préservez les preuves avant toute intervention
Faites des captures d’écran des systèmes touchés ou, au minimum, sauvegardez les journaux avant de lancer la remédiation. Cette étape est souvent négligée, car on veut agir vite. Pourtant, sans preuves, il devient impossible de comprendre comment l’attaquant s’est introduit, et elles peuvent être nécessaires pour une demande d’indemnisation ou auprès des autorités judiciaires.
5. Signalez l’incident et déposez plainte
Commencez par 17Cyber (17cyber.gouv.fr), le guichet en ligne de la police, de la gendarmerie et de Cybermalveillance.gouv.fr, accessible 24 h/24 et 7 j/7. Il vous aide à qualifier l’attaque et, si elle est grave, à échanger par tchat avec un policier ou un gendarme, qui peut vous orienter vers un dépôt de plainte. Attention : 17Cyber n’est pas un numéro d’urgence. En cas d’urgence immédiate, composez le 17 ou le 112.
La plainte reste une démarche à part entière : déposez-la en commissariat, en gendarmerie ou en ligne via THESEE, avant de réinstaller vos machines, et dans les 72 heures si vous avez une cyberassurance. Si des données personnelles sont concernées, notifiez également la CNIL dans les 72 heures. Enfin, si vous relevez du périmètre du CERT-FR (services de l’État, opérateurs d’importance vitale ou de services essentiels), vous pouvez le joindre au 3218.
Pour cette étape et les suivantes, la fiche réflexe « Rançongiciels » de Cybermalveillance.gouv.fr est une bonne référence (cybermalveillance.gouv.fr).
6. Vérifiez vos sauvegardes
Contrôlez qu’elles sont réellement intactes et si elles étaient déconnectées ou isolées physiquement (air gap) au moment de l’attaque. C’est généralement cette étape qui détermine toute la suite de la restauration. Si vos sauvegardes sont intactes, vous disposez d’une vraie voie de reprise, sans rien avoir à payer. Si elles étaient connectées au réseau et ont également été chiffrées, vos options se réduisent considérablement.
7. Réfléchissez posément à la question de la rançon
Mon conseil : ne décidez pas dans la précipitation. Payer ne garantit pas l’obtention d’une clé de déchiffrement fonctionnelle, et peut faire de vous une cible prête à payer à nouveau. Ne pas payer peut, de son côté, allonger la reconstruction. Cette décision doit se prendre collectivement avec la direction, le service juridique et, souvent, les forces de l’ordre, et non seul à 2 h du matin. Ontrack a publié un article plus détaillé sur les enjeux si vous souhaitez approfondir (faut-il payer la rançon ?).
8. Reconstruisez et restaurez à partir de systèmes sains
Effacez les machines touchées et reconstruisez-les à partir d’images dont vous êtes certain qu’elles sont saines, puis restaurez les données à partir de sauvegardes dont vous avez vérifié l’intégrité. Donnez la priorité aux systèmes les plus critiques pour la sécurité et le chiffre d’affaires, et reconstruisez dans un environnement segmenté : rien ne doit être reconnecté au réseau de production tant que sa sécurité n’est pas confirmée.
9. Analysez tout avant de reconnecter
Lancez des analyses antimalware complètes sur les systèmes restaurés avant de les remettre en réseau. Prenez le temps nécessaire : aller trop vite, c’est risquer de réinfecter un environnement tout juste nettoyé.
10. Tirez les leçons de l’incident et corrigez les failles
Une fois la situation stabilisée, menez une analyse post-incident en bonne et due forme. Identifiez le point d’entrée (hameçonnage, port RDP exposé, vulnérabilité non corrigée) et corrigez précisément cette faille. Mettez à jour votre plan de réponse aux incidents à partir de ce que vous avez appris, et pas seulement de ce que disent les manuels.
Un mot en toute franchise : les délais de restauration varient beaucoup selon la qualité des sauvegardes et la rapidité avec laquelle la menace est isolée. Je préfère donc ne pas promettre un nombre de jours précis. Si vous faites face à un incident en cours, concentrez-vous d’abord sur les étapes 1 à 5 ; le reste pourra suivre une fois la situation maîtrisée.
Sources :
France | Français
Localisations
Rechercher
Retour à l'accueil
