Ransomware en PME : que faire les 6 premières heures

Un rançongiciel ne se découvre presque jamais pendant l'attaque : on le découvre après, quand les fichiers ne s'ouvrent plus et qu'un message réclame un paiement. Ce que vous faites dans les six premières heures détermine l'essentiel de ce que vous perdrez. Voici la procédure, dans l'ordre.

Un avertissement d'abord : cette procédure vous permet de limiter les dégâts et de garder la maîtrise des premières décisions. Elle ne remplace pas l'intervention d'un professionnel, surtout si des serveurs ou des données personnelles sont touchés.

Heure 0 — Isoler, sans tout éteindre

1. Débranchez le réseau des machines touchées : câble Ethernet retiré, Wi-Fi coupé. C'est le seul geste qui arrête la propagation. Faites-le avant tout le reste.
2. Ne forcez pas l'extinction des postes concernés. Un arrêt brutal détruit des éléments présents uniquement en mémoire, parfois utiles pour identifier la souche et, dans certains cas, retrouver une clé de déchiffrement.
3. Débranchez les sauvegardes encore connectées : disque externe, NAS accessible depuis les postes. Un rançongiciel chiffre en priorité ce qui est atteignable depuis le réseau.
4. Coupez les synchronisations cloud sur les postes touchés, sinon vous répliquez les fichiers chiffrés dans votre espace en ligne.
5. Prévenez les équipes de ne rien allumer et de ne rien brancher, en particulier les clés USB.

Heure 1 — Évaluer l'étendue

Avant de décider quoi que ce soit, il faut savoir ce qui est touché. Trois questions dans cet ordre :

• •Quels postes et quels serveurs présentent des fichiers chiffrés ? Vérifiez poste par poste, sans les reconnecter au réseau.
• •Les sauvegardes sont-elles intactes ? Une sauvegarde hors ligne ou immuable a de bonnes chances d'avoir survécu. Une sauvegarde sur un disque resté branché, non.
• •Des données personnelles sont-elles concernées ? Fichiers clients, données RH, dossiers médicaux ou juridiques : la réponse conditionne vos obligations légales, pas seulement techniques.

Notez l'heure de découverte, l'aspect du message de rançon et les extensions ajoutées aux fichiers. Ces éléments servent à l'analyse et à la plainte.

Heure 2 — Ne pas payer

La recommandation des autorités françaises est constante : ne payez pas. Trois raisons concrètes, au-delà du principe :

• •Payer ne garantit rien. Vous achetez une promesse à quelqu'un dont le modèle repose sur l'extorsion. Des entreprises paient et ne reçoivent aucun outil fonctionnel.
• •Payer ne fait pas disparaître les données volées. La plupart des attaques exfiltrent avant de chiffrer, puis menacent de publier. Le paiement du déchiffrement n'éteint pas ce chantage.
• •Payer vous désigne comme cible solvable, pour ces attaquants comme pour d'autres.

L'argent est presque toujours mieux investi dans la restauration et dans la correction de la faille d'entrée.

Heure 3 — Préserver les preuves et déposer plainte

Un rançongiciel est une infraction pénale. Le dépôt de plainte n'est pas une formalité : il est souvent exigé par les assureurs, et il alimente les enquêtes.

• •Conservez les machines touchées en l'état si vous le pouvez, ou au minimum une copie des disques avant toute réinstallation.
• •Gardez le message de rançon, les journaux disponibles, les horodatages.
• •Déposez plainte auprès de la police ou de la gendarmerie ; le dispositif public cybermalveillance.gouv.fr recense la démarche et des prestataires de proximité.
• •Prévenez votre assureur si vous avez une couverture cyber : beaucoup de contrats imposent une déclaration rapide.

Heure 4 — La notification CNIL, sous 72 heures

Si des données personnelles sont concernées — et c'est le cas dès qu'un fichier clients, salariés ou fournisseurs est touché — le RGPD vous impose de notifier la CNIL dans les 72 heures après en avoir pris connaissance, sauf si la violation est peu susceptible d'engendrer un risque pour les personnes.

Ce délai court à partir de la découverte, pas de la fin de la crise. C'est pour cela que la notification arrive en heure 4 et non en fin de semaine : beaucoup d'entreprises le découvrent trop tard. Si le risque est élevé pour les personnes concernées, vous devez aussi les informer.

En pratique, une notification honnête, même incomplète, faite dans le délai, vaut mieux qu'un dossier parfait envoyé en retard. Le formulaire permet de compléter ensuite.

Heures 5 et 6 — Restaurer proprement

C'est l'étape où l'on recrée le plus souvent le problème. Restaurer sur une infrastructure encore compromise revient à se faire chiffrer une seconde fois, parfois dans la journée.

1. Identifiez le point d'entrée avant de remettre en service : compte compromis, accès distant exposé, pièce jointe, faille non corrigée. Restaurer sans corriger l'entrée ne sert à rien.
2. Réinstallez les machines touchées plutôt que de les nettoyer. Un poste ayant hébergé un rançongiciel ne se déclare pas sain parce qu'un antivirus ne trouve plus rien.
3. Restaurez depuis une sauvegarde antérieure à l'infection, en vérifiant sa date. La sauvegarde de la veille peut déjà contenir le logiciel malveillant. Une copie hors site, chiffrée et immuable, principe de notre sauvegarde externalisée pour PME, est celle que le chiffrement n'a pas pu atteindre.
4. Changez tous les mots de passe, en commençant par les comptes administrateurs et la messagerie, depuis une machine saine.
5. Remettez en ligne progressivement, en surveillant, plutôt que tout d'un coup.

Les 5 erreurs qui coûtent le plus cher

• •Reconnecter une machine au réseau « pour vérifier ». C'est ainsi que l'infection passe du poste au serveur.
• •Réinstaller avant d'avoir vérifié la sauvegarde. On efface la seule copie exploitable des données.
• •Attendre d'avoir tout compris pour notifier la CNIL. Le délai de 72 heures ne s'interrompt pas pendant l'enquête.
• •Communiquer trop tard en interne. Des salariés non prévenus rallument des postes et rebranchent des clés.
• •Corriger le symptôme et pas la cause. Sans fermer le point d'entrée, la seconde attaque arrive vite.

Après la crise : ce qui empêche la récidive

Un rançongiciel réussi révèle presque toujours les trois mêmes manques : des sauvegardes non testées, un accès distant mal protégé, et une authentification à un seul facteur. Ce sont aussi les trois chantiers les plus rentables à mener après l'incident.

La règle de sauvegarde 3-2-1, l'authentification multifacteur sur la messagerie et les accès distants, et la vérification régulière que l'on sait vraiment restaurer : ces trois mesures suffisent à transformer une catastrophe en incident gérable. Notre page cybersécurité pour PME à Montpellier détaille comment nous les mettons en place.

Questions fréquentes