Rançongiciel : ce qu’il faut faire dans l’heure

Un fichier partagé refuse de s’ouvrir, puis plusieurs postes affichent une demande de paiement. Ces signes peuvent révéler un rançongiciel, mais le chiffrement visible n’est parfois que le dernier acte d’une cyberattaque commencée plus tôt.

Dans l’heure, l’ordre des gestes compte : contenir la propagation, préserver les traces et prévenir les responsables. Les priorités immédiates tiennent en quelques réflexes concrets.

A retenir :

• Isolation des appareils touchés, sans extinction des machines
• Alerte informatique rapide à la direction et au prestataire
• Conservation des preuves avant toute restauration ou nettoyage
• Signalement aux autorités et évaluation des données personnelles

Rançongiciel : les gestes prioritaires dans la première heure

Cette urgence impose d’abord une déconnexion réseau maîtrisée, car chaque minute peut laisser le chiffrement gagner d’autres équipements. Un poste isolé limite les échanges, tandis qu’un arrêt brutal risque d’effacer des éléments utiles à l’enquête.

Isoler les appareils sans les éteindre

Pour contenir l’incident, débranchez le câble réseau ou désactivez le Wi-Fi des machines touchées. Si l’équipe informatique en a la maîtrise, elle peut aussi couper les ports concernés sur le commutateur réseau.

Gardez les postes allumés et évitez toute manipulation supplémentaire : la mémoire vive peut conserver des indices temporaires. Cette conservation des preuves aide les spécialistes à comprendre l’intrusion et, parfois, à repérer des éléments exploitables.

« La question “Que puis-je faire sans ordinateur ?” était dans tous les esprits. En à peine deux heures, tout le monde était sur le pont ! »

Jérôme L.

Alerter la direction et cadrer les décisions

Après l’isolement, déclenchez une alerte informatique auprès de la direction et du responsable informatique. Désignez un point de contact interne pour centraliser les informations et éviter les consignes contradictoires.

Selon Cybermalveillance.gouv.fr, le paiement ne garantit ni le déchiffrement ni la confidentialité des données dérobées. Résistez à la pression d’un compte à rebours et demandez conseil avant tout échange avec les attaquants.

La première heure sert donc à stabiliser la situation ; ensuite, il faut préserver les éléments nécessaires aux démarches et à l’analyse.

Actions immédiates sur les postes :

• Débrancher les connexions réseau des équipements compromis
• Laisser les machines allumées et limiter les manipulations
• Photographier la note de rançon et noter l’heure de découverte
• Prévenir la direction et contacter le support informatique

Rançongiciel : préserver les preuves et respecter les obligations

Une fois les premières machines isolées, le périmètre de l’incident doit être évalué sans effacer les traces. Cette étape relie la réponse technique aux décisions juridiques, assurantielles et opérationnelles.

Conserver les traces et signaler l’attaque

Conservez la note de rançon, les captures d’écran et les journaux accessibles, sans tenter de nettoyer seul un serveur critique. Selon l’ANSSI, le dépôt de plainte contribue aux enquêtes et permet de rapprocher des incidents similaires.

La direction peut organiser le signalement aux autorités, auprès de la police ou de la gendarmerie, et vérifier les démarches attendues par l’assurance cyber. Évitez de brancher une clé USB sur une machine compromise : elle pourrait être contaminée.

« Déposer plainte peut surtout permettre d’identifier, interpeller et présenter les auteurs de l’attaque à la Justice, afin de mettre un terme au sentiment d’impunité des cyberdélinquants. »

Catherine P.

Évaluer les données personnelles concernées

Si des fichiers clients, salariés ou prospects sont concernés, l’article 33 du RGPD prévoit une notification à la CNIL dans les 72 heures après la prise de connaissance de la violation. Ce délai ne commence pas à la fin de l’enquête technique.

Selon la CNIL, l’organisme doit aussi évaluer le risque pour les personnes et déterminer si elles doivent être informées. Documentez cette analyse, même lorsque vous estimez qu’une communication individuelle n’est pas nécessaire.

La coordination des démarches devient plus solide lorsque les informations techniques et les obligations sont suivies dans un même plan de réponse à incident.

Repères pour les démarches :

• Note de rançon, captures d’écran et journaux conservés
• Plainte auprès des services compétents et assurance informée
• Données personnelles repérées et risques documentés
• Notification CNIL sous 72 heures lorsque le RGPD l’exige

Élément à vérifier	Action prudente
Note de rançon	La conserver et la photographier
Journaux système	Les préserver sans nettoyage improvisé
Données personnelles	Évaluer leur présence et les risques
Assurance cyber	Vérifier les conditions de déclaration
Plainte	Transmettre les éléments disponibles aux autorités

Rançongiciel : restaurer sans relancer l’infection

Après le confinement et les premiers signalements, la priorité devient la reprise d’activité. Restaurer trop tôt peut toutefois remettre en ligne une faille encore ouverte et exposer de nouveau les sauvegardes.

Faire intervenir un spécialiste en réponse à incident

Sollicitez un professionnel si plusieurs postes sont touchés, si un serveur de production est chiffré ou si l’origine de l’attaque reste inconnue. Son analyse est particulièrement utile lorsque des données sensibles ont pu être copiées avant le chiffrement.

Le spécialiste délimite l’intrusion, recherche les accès persistants et aide à préserver les éléments nécessaires aux assureurs ou aux enquêteurs. Selon le guide de l’ANSSI, la préparation et la coordination facilitent la réaction des organisations victimes.

« Il est urgent pour les entreprises et les collectivités de mettre en œuvre des mesures pour prévenir les attaques par rançongiciels et d’apprendre à bien réagir lorsqu’il est trop tard. »

François D.

Vérifier les sauvegardes avant la remise en service

La restauration commence après l’identification et la correction du vecteur d’entrée, depuis des sauvegardes vérifiées et antérieures à la compromission. Une copie déconnectée du réseau principal réduit le risque qu’un attaquant chiffre aussi les archives.

Avant le redémarrage général, contrôlez les accès et renforcez-les, notamment avec l’authentification multifacteur lorsque disponible. Le changement des mots de passe doit s’inscrire dans une reprise maîtrisée, après sécurisation des comptes potentiellement compromis.

Ordre de reprise à valider :

• Identifier puis corriger la faille d’entrée
• Vérifier l’intégrité des sauvegardes disponibles
• Restaurer progressivement les services prioritaires
• Renforcer les accès et surveiller les connexions inhabituelles

Phase	Objectif opérationnel	Point de vigilance
Confinement	Limiter la propagation	Ne pas éteindre sans consigne spécialisée
Analyse	Comprendre l’intrusion	Préserver les preuves et les journaux
Éradication	Supprimer les accès malveillants	Ne pas laisser la faille d’entrée active
Restauration	Rétablir les services utiles	Utiliser des sauvegardes vérifiées
Durcissement	Réduire le risque de récidive	Contrôler les comptes et les accès

« Les acteurs privés comme publics sont encore trop peu conscients du risque et de leur propre vulnérabilité. »

Guillaume P.

Un plan de réponse à incident éprouvé avant la crise aide chacun à connaître son rôle, à protéger les preuves et à remettre les services en marche sans précipitation.

Source : ANSSI, « Attaques par rançongiciels, tous concernés – Comment les anticiper et réagir en cas d’incident ? », 4 septembre 2020 ; Règlement général sur la protection des données, article 33 ; Cybermalveillance.gouv.fr.