Je suis Shaun Stockman, directeur senior du développement commercial pour les Amériques chez Ontrack. Nous intervenons auprès des assureurs, des équipes CERT (investigation numérique et réponse aux incidents) et des services informatiques une fois que la note de rançon s’est affichée à l’écran. J’ai donc vu ces attaques se dérouler, côté restauration, un très grand nombre de fois.
Un ransomware ne commence pas par le chiffrement : c’est la dernière étape. Quand vous le constatez, l’attaquant est généralement présent dans votre réseau depuis plusieurs jours, voire plusieurs semaines. Je vous explique ce qui se passe avant le verrouillage de l’écran, car comprendre cette séquence change la façon de réagir et influe sur vos options de restauration.
Points clés à retenir
- Le chiffrement est la dernière étape d’une attaque, pas la première. La plupart des groupes de ransomware passent des jours, voire des semaines, dans un réseau avant de verrouiller quoi que ce soit.
- Les attaques modernes volent les données avant de les chiffrer. C’est la « double extorsion » : payer la rançon ne supprime pas le risque de divulgation.
- Les VPN non mis à jour, les bureaux à distance exposés et les identifiants volés restent les trois principales portes d’entrée des attaquants.
- Isoler les appareils et préserver les preuves dès la première heure influe concrètement sur la quantité de données récupérables. Savoir qui appeler compte tout autant.
S’introduire dans le réseau
Toute attaque par ransomware commence par un accès initial, rarement spectaculaire. On imagine souvent un pirate de génie contournant un pare-feu en direct. La réalité est plus banale : un VPN non mis à jour, un port de bureau à distance resté ouvert sur Internet, ou un employé qui a réutilisé un mot de passe obtenu par hameçonnage.
Les courtiers d’accès initial ont rendu cette étape encore plus courante. Ces groupes criminels se consacrent uniquement à s’introduire dans des réseaux pour revendre l’accès aux opérateurs de ransomware. La personne qui ouvre la porte et celle qui réclame finalement la rançon relèvent donc souvent de deux opérations criminelles distinctes.
Une fois à l’intérieur, les attaquants ne s’en prennent pas tout de suite aux données de valeur. Ils cartographient le réseau, repèrent les contrôleurs de domaine, identifient les systèmes de sauvegarde et déterminent quels serveurs contiennent les données dont la perte serait la plus préjudiciable. Cette phase de reconnaissance dure de quelques heures à plusieurs mois, selon le mode opératoire du groupe et la rapidité avec laquelle il est repéré.
Presque tout ce qui se passe à ce stade semble normal à un œil non averti. L’attaquant se connecte avec des identifiants valides, volés, et parcourt les lecteurs partagés comme le ferait n’importe quel employé. C’est en partie ce qui rend la détection si difficile : rien d’anormal n’est visible. Les systèmes fonctionnent, les fichiers s’ouvrent, et rien n’indique que quelqu’un d’autre circule déjà dans le réseau et choisit ce qu’il va emporter en premier.
Se déplacer dans le réseau
C’est là qu’un simple ordinateur portable infecté devient une crise à l’échelle de l’entreprise. Les attaquants se déplacent latéralement, de machine en machine, en élevant leurs privilèges au fur et à mesure jusqu’à contrôler les identifiants d’administrateur du domaine. Ils peuvent alors accéder à presque tout.
C’est aussi à ce stade qu’ils s’en prennent spécifiquement aux sauvegardes. J’ai vu des cas où le logiciel malveillant visait les bandes de sauvegarde et les instantanés avant même de toucher aux données principales : une entreprise capable de restaurer depuis une sauvegarde n’a aucune raison de payer. Supprimer ou corrompre les sauvegardes en premier est donc délibéré. Il s’agit de vous priver de toute option avant même la demande de rançon.
Pour voir ce que cela donne de l’intérieur quand une organisation comprend ce qui se passe, notre guide sur la gestion d’une attaque par ransomware détaille les mesures à prendre durant les premières heures, de l’isolement des appareils au recours à un conseil juridique.
Le vol précède l’écran de verrouillage
C’est l’évolution la plus marquante de ces dernières années. Les attaquants exfiltrent désormais les données avant de chiffrer quoi que ce soit. Ils copient discrètement les fichiers sensibles vers leurs propres serveurs, et ce n’est qu’ensuite qu’ils déclenchent le chiffrement qui vous bloque l’accès.
C’est la « double extorsion », qui rend la question du paiement bien plus complexe. Même avec des sauvegardes intactes et sans aucun besoin de la clé de déchiffrement, l’attaquant détient toujours vos données. Il peut menacer de les publier, de les vendre et, dans certains cas, de les signaler aux autorités de régulation. Cette menace ne disparaît pas parce que vous avez restauré vos systèmes. C’est, à mon sens, le changement le plus important dans le fonctionnement de ces groupes, et la raison pour laquelle « nous avons des sauvegardes » ne suffit plus comme réponse à une attaque par ransomware.
Nous avons déjà abordé la décision à laquelle les organisations sont confrontées : savoir si payer la rançon en vaut la peine se résume rarement à un simple « oui » ou « non ». Certains attaquants ne fournissent pas d’outil de déchiffrement fonctionnel, même après paiement. Certaines variantes, notamment les « wipers » (logiciels destructeurs), ne sont pas conçues pour restituer les données.
Le chiffrement ne signifie pas toujours que tout est perdu
Dès que la demande de rançon apparaît, la plupart des gens pensent que la partie est perdue : on paie ou on ne paie pas, et dans les deux cas les données disparaissent, sauf si une clé de déchiffrement arrive. Ce n’est pas tout à fait exact. Le chiffrement ne détruit pas toujours les données aussi complètement que les attaquants veulent le faire croire. Selon le comportement du logiciel malveillant et les systèmes de stockage concernés, il existe parfois des moyens de les récupérer sans passer par l’attaquant.
J’ai travaillé sur des cas où des bandes de sauvegarde corrompues étaient encore récupérables, et sur d’autres où des volumes supprimés sur un système de stockage NetApp ont pu être restaurés dans une version non chiffrée, en remontant dans le temps grâce aux points de cohérence du système de fichiers. Deux cas ne se ressemblent jamais. C’est en partie pour cela qu’une décision précipitée, payer ou tout effacer pour repartir de zéro, peut vous priver d’options dont vous ignoriez l’existence. Nous avons documenté quelques-unes de ces récupérations pour montrer ce que cela donne concrètement.
Je comprends l’instinct qui pousse à effacer les disques touchés et à tout reconstruire : cela paraît la solution la plus sûre. Mais il peut détruire les preuves dont un ingénieur en récupération de données ou un enquêteur a besoin. Avant de réinstaller un système d’exploitation ou de reformater quoi que ce soit, demandez un second avis sur ce qui est récupérable. Cela peut coûter un jour ou deux, mais effacer d’abord supprime définitivement cette possibilité.
Que faire concrètement ?
Si vous recevez l’appel quand cela se produit, que vous soyez dans une équipe informatique, une équipe CERT ou un service d’assurance chargé d’évaluer une demande d’indemnisation, ce qui précède doit guider vos premières actions. Isolez immédiatement les systèmes touchés, mais n’effacez rien. Conservez les données chiffrées et la note de rançon exactement dans l’état où vous les avez trouvées. Faites ensuite appel à un spécialiste avant de prendre une décision définitive sur le paiement : son évaluation peut révéler des pistes de récupération qui changent complètement la donne.
FAQ
Combien de temps les attaquants restent-ils dans un réseau avant de déployer le ransomware ?
Cela varie beaucoup, mais une présence de plusieurs jours à quelques semaines est courante. Certains groupes agissent plus vite, notamment lorsqu’ils achètent un accès à un courtier plutôt que de mener eux-mêmes la reconnaissance.
Payer la rançon garantit-il de récupérer mes données ?
Non. Certaines victimes ne reçoivent jamais de clé de déchiffrement fonctionnelle, même après paiement. Et avec la double extorsion, les données volées peuvent refaire surface plus tard, quel que soit le paiement.
Peut-on récupérer les données sans payer la rançon ?
Souvent, oui. Cela dépend de la variante du ransomware, des systèmes de stockage touchés et de l’état des sauvegardes (détruites ou non, en partie ou en totalité). C’est précisément ce qu’un spécialiste de la récupération de données doit évaluer avant toute décision de paiement.
Pourquoi les attaquants s’en prennent-ils d’abord aux sauvegardes ?
Parce qu’une entreprise dont les sauvegardes sont intactes n’a aucune raison financière de payer. Les détruire ou les chiffrer dès le début supprime cette option et renforce la pression pour négocier.
Ce qu’il faut retenir
Les groupes de ransomware affinent sans cesse leur stratégie, mais le schéma d’attaque, lui, n’a pas changé. Ce qui a changé, c’est le rapport de force que les attaquants construisent avant même que vous remarquiez leur présence. C’est précisément pour cela que la première heure est décisive.
France | Français
Localisations
Rechercher
Retour à l'accueil
