Blog · Sécurité
Ransomware : que faire pendant les 24 premières heures ?
Face à un ransomware, isolez les équipements suspects du réseau, alertez votre responsable informatique et préservez les preuves. Ne lancez aucune restauration précipitée. Pendant les premières heures, organisez la crise, protégez les sauvegardes et évaluez les obligations de notification avec vos conseils. La reprise doit attendre un environnement suffisamment maîtrisé.
Par Pierre de Ramel · publié le · mis à jour le · 4 min de lecture
Que faut-il faire dès la découverte ?
Un écran de rançon, des fichiers devenus illisibles ou une activité inhabituelle doivent déclencher une alerte immédiate. Déconnectez du réseau les postes suspects, notamment leur connexion sans fil, sans explorer les fichiers pour vérifier leur état. Si un serveur ou un équipement critique est concerné, faites intervenir votre référent technique pour éviter une manipulation qui aggraverait la situation. Utilisez un téléphone ou un canal indépendant pour prévenir les personnes responsables.
Ne lancez pas un antivirus, une réinstallation ou un outil trouvé sur Internet à l’aveugle. La question de l’arrêt électrique dépend du contexte : des informations utiles peuvent disparaître, tandis qu’un chiffrement encore actif peut continuer. Faites arbitrer ce point rapidement par un intervenant compétent. Notez ce que vous observez, l’heure de découverte et les gestes déjà effectués, même si certaines informations restent incertaines.
Comment organiser une cellule de crise à taille de PME ?
Désignez une personne qui décide et une personne qui tient le journal des événements. Le dirigeant, le référent informatique et le prestataire doivent partager un même état de situation. Selon les données touchées, associez le conseil juridique et la personne chargée de la protection des données. Évitez une réunion permanente avec tous les salariés : elle ralentit les décisions et diffuse parfois des informations encore non vérifiées.
Prévenez votre assureur selon les modalités du contrat, avant d’engager des dépenses lorsque son accord est requis. Demandez quels intervenants peuvent être mobilisés et quelles pièces conserver. Informez les équipes avec des consignes simples : ne pas reconnecter un ordinateur isolé, ne pas utiliser de support personnel et signaler toute anomalie. Préparez un fonctionnement temporaire pour les activités indispensables, sans transférer des dossiers sensibles vers des comptes privés.
Quelles preuves et quelles sauvegardes protéger ?
Conservez le message de rançon, les coordonnées éventuellement affichées, les noms des fichiers concernés et les premières alertes. Les journaux de connexion, les traces de sécurité et les informations sur les comptes compromis peuvent aider l’investigation. Leur collecte doit être organisée par une personne compétente, avec une attention particulière à leur intégrité. Un dossier chronologique vaut mieux qu’une accumulation de captures dispersées dans plusieurs messageries.
Ne branchez pas une sauvegarde hors ligne sur un système suspect. Vérifiez depuis un environnement de confiance quels jeux de sauvegarde existent, leurs dates et leurs possibilités de restauration. Une sauvegarde disponible n’est pas forcément saine : elle peut contenir un programme malveillant ou être antérieure à une compromission ancienne. Il faut identifier un point de reprise crédible et tester un échantillon avant de décider quelles données remettre en production.
Qui prévenir et quelles obligations examiner ?
Le dépôt de plainte fait partie des démarches à organiser ; les recommandations de Cybermalveillance.gouv.fr constituent un point d’entrée utile. Gardez les éléments disponibles pour les enquêteurs. Ne promettez pas une date de rétablissement tant que le périmètre de l’incident reste incertain. Pour les clients et partenaires, préparez un message factuel sur les services affectés et les moyens de contact, sans attribuer l’attaque sans preuve.
Un ransomware peut constituer une violation de données personnelles, même si aucune exfiltration n’est encore démontrée. Le RGPD prévoit une notification à l’autorité de contrôle lorsque la violation présente un risque pour les personnes, si possible dans les soixante-douze heures après en avoir pris connaissance. Documentez l’analyse et les éventuelles notifications ; l’information des personnes dépend notamment du risque élevé. Faites apprécier ces critères avec votre conseil plutôt que d’attendre la fin de l’investigation.
Quand peut-on commencer à redémarrer ?
La priorité n’est pas de rallumer tout le parc, mais de reprendre sans réintroduire l’attaquant. Avant de restaurer, recherchez le point d’entrée, sécurisez les accès d’administration et révoquez les sessions compromises. Les changements de mots de passe doivent être effectués depuis des équipements de confiance. Une réinstallation maîtrisée peut être nécessaire ; une simple disparition de la note de rançon ne prouve pas que le système est sain.
Validez ensuite les applications dans un ordre défini avec les métiers : dossiers urgents, gestion commerciale, production ou facturation selon votre activité. Documentez les contrôles de cohérence et surveillez les nouvelles connexions. Après la reprise, prévoyez un retour d’expérience sans recherche de coupable. Cet article est signé Pierre de Ramel, fondateur d’AldenSync, société d’infogérance pour les PME à Paris : la préparation et les exercices de restauration rendent ces décisions moins improvisées.