Rançongiciel : les 30 premières minutes
Un poste affiche une demande de rançon, les documents partagés portent une extension inconnue et refusent de s’ouvrir. La priorité n’est ni de comprendre, ni de réparer : c’est d’arrêter la propagation. Chaque minute pendant laquelle une machine infectée reste connectée au réseau étend le chiffrement à d’autres postes, au serveur, et surtout aux sauvegardes accessibles depuis ce réseau.
Le scénario, tel qu’il se présente
Un lundi matin, une salariée n’arrive plus à ouvrir un devis sur le dossier partagé. Elle appelle un collègue, qui n’y arrive pas non plus. Quelqu’un remarque qu’un fichier texte a été déposé dans chaque dossier, avec des instructions de paiement. Le premier réflexe collectif est de continuer à essayer d’ouvrir des documents, poste après poste, pendant que le chiffrement se poursuit sur le serveur.
Ce que vous voyez lundi matin est la partie visible de l’attaque, pas forcément son début. L’ANSSI le souligne : de plus en plus d’attaquants s’en prennent aux sauvegardes elles-mêmes, pour priver la victime de tout moyen de récupérer ses données et la pousser à payer.
Les trois gestes, dans cet ordre
1. Isoler, sans éteindre. Débranchez le câble réseau des machines touchées, coupez leur Wi-Fi, et coupez l’accès Internet du réseau concerné. C’est la première recommandation officielle (Cybermalveillance.gouv.fr) : la déconnexion empêche l’attaque de gagner les autres équipements.
Mais n’éteignez pas les machines. C’est le réflexe le plus naturel, et il efface la mémoire des équipements : les éléments de preuve nécessaires à l’enquête, et parfois des éléments permettant de récupérer les fichiers chiffrés. Une exception : si le chiffrement est encore en cours, l’ANSSI recommande la mise en veille prolongée, qui arrête le programme malveillant tout en conservant la mémoire. Et ne rallumez pas les machines déjà éteintes : épargnées, elles seraient chiffrées à leur tour.
2. Débrancher physiquement les sauvegardes. Si un disque de sauvegarde est branché en USB sur un serveur touché, ou si un NAS est accessible depuis le réseau infecté, il est en train d’être chiffré lui aussi. C’est le point qui décide de l’issue : avec une sauvegarde intacte, on restaure ; sans elle, il ne reste que de mauvaises options.
3. Alerter, avant de tenter quoi que ce soit. Appelez votre prestataire informatique avant d’essayer un antivirus, un utilitaire de déchiffrement trouvé en ligne, ou une restauration. Une restauration lancée sur un réseau encore infecté se fait rechiffrer dans la foulée — et vous aurez consommé votre seule copie saine.
Ne pas payer — et pourquoi ce n’est pas qu’une question de principe
La recommandation officielle est constante : ne pas payer la rançon. Trois raisons concrètes, au-delà de la morale.
Le paiement ne garantit rien : l’outil de déchiffrement peut ne jamais arriver, et même obtenu, il ne reconstitue pas toujours l’intégralité des fichiers. Il ne vous protège pas d’une nouvelle attaque : votre entreprise peut à nouveau être ciblée. Et il finance et encourage les groupes qui vous ont attaqué.
Le guide de l’ANSSI et du ministère de la Justice (Attaques par rançongiciels, tous concernés) recommande fortement le dépôt de plainte : il déclenche une enquête suivie d’une « chasse aux clés », qui permettra éventuellement de déchiffrer les données, et il conditionne généralement l’indemnisation du sinistre. Conservez aussi les fichiers chiffrés : un outil de déchiffrement peut être publié plus tard.
L’obligation que beaucoup découvrent trop tard
Si des données personnelles ont été chiffrées ou exfiltrées — fichier clients, dossiers du personnel, coordonnées de patients — et que la violation présente un risque pour les personnes concernées, vous devez notifier la CNIL dans les 72 heures si possible après sa constatation (CNIL). Ce délai court à partir du moment où vous constatez l’incident, pas du moment où vous en comprenez l’ampleur. En cas de doute sur le risque, la CNIL conseille de notifier.
Si toutes les informations ne sont pas disponibles, la CNIL prévoit une notification en deux temps : une notification initiale dans le délai, complétée ensuite. Passé 72 heures, il faudra justifier le retard. En pratique, une décision réglementaire doit donc être prise dans les premiers jours, en pleine gestion de crise — raison de plus pour savoir à l’avance qui la prend.
Ce qui se joue avant l’incident
Trois éléments décident de l’issue, et aucun ne se met en place le jour J.
Une sauvegarde hors ligne ou immuable. Une copie qui n’est pas accessible en écriture depuis le réseau — disque déconnecté après usage, ou stockage dont les versions ne peuvent pas être supprimées avant un délai fixé. C’est la différence entre un incident et une catastrophe.
Un réseau segmenté. Si le poste d’accueil et le serveur comptable sont sur le même réseau plat, une infection sur l’un atteint l’autre sans obstacle.
Une restauration déjà testée. Restaurer sous pression, pour la première fois, avec une procédure jamais éprouvée, ajoute des heures d’arrêt à un moment où chacune compte.
À retenir
Dans la demi-heure : isoler sans éteindre (veille prolongée si le chiffrement est en cours), débrancher les sauvegardes, appeler. Ne pas payer, déposer plainte, et vérifier si la CNIL doit être notifiée sous 72 heures. Tout le reste — l’analyse, la remise en service, la recherche du point d’entrée — vient après, et se fait avec des professionnels. La préparation, elle, se joue avant : c’est ce que couvre une infogérance avec sauvegardes supervisées et réseau cloisonné, où la restauration est testée en dehors de toute urgence.
Sources : Cybermalveillance.gouv.fr, fiche réflexe « Rançongiciel » ; ANSSI et ministère de la Justice, Attaques par rançongiciels, tous concernés — Comment les anticiper et réagir en cas d’incident ? (2020, PDF) ; CNIL, « Notifier une violation de données personnelles ».