Réagir à un rançongiciel : ce qui se joue dans les 90 premières minutes
Le mail vient d'un fournisseur habituel. La facture est en pièce jointe, le montant correspond à une commande récente. Vous cliquez. Dix minutes plus tard, un de vos collaborateurs vous appelle : ses fichiers s'appellent tous facture.pdf.locked. Voilà comment commence une attaque par rançongiciel, dans la vraie vie.
Ce scénario, je l'ai vécu côté prestataire, sur une PME de 40 personnes. Le premier réflexe de leur dirigeant a été de couper le courant du serveur. Mauvais calcul : on perd les journaux, et on ne sait plus quand ni par où l'entrée s'est faite.
Un rançongiciel (ou ransomware) est un programme malveillant qui chiffre vos fichiers et réclame une rançon, souvent en cryptomonnaie, contre une clé de déchiffrement. Mais la définition importe moins que la suite : que faire, dans quel ordre, avec quels réflexes.
Points clés à retenir
- Débrancher le réseau avant tout, mais jamais éteindre brutalement une machine allumée.
- La sauvegarde hors ligne est la seule qui protège réellement : une copie connectée au réseau sera chiffrée aussi.
- Payer ne garantit rien. J'ai vu deux cas de paiement : aucun n'a reçu de clé exploitable.
- La plainte et le signalement à Cybermalveillance ouvrent des droits, notamment pour l'assurance.
- Le RDP exposé sur Internet reste la porte d'entrée numéro un chez les PME, loin devant le mail.
Comment se protéger d'un rançongiciel sans y passer vos week-ends
La bonne nouvelle : 80 % des attaques que j'ai vues reposaient sur trois failles évitables. Pas de la magie, juste de l'hygiène.
Les sauvegardes, le seul rempart qui compte vraiment
Une sauvegarde qui reste branchée en permanence sur le serveur n'est pas une sauvegarde. C'est une copie de plus qui sera chiffrée avec le reste. La règle que j'applique désormais systématiquement : trois copies, deux supports différents, une hors ligne. Concrètement, un disque externe débranché chaque soir ou un espace cloud en écriture différée fait l'affaire.
Testez la restauration. Un client avait des sauvegardes impeccables sur le papier. Le jour de l'attaque, on a découvert que le script échouait silencieusement depuis sept mois. Sept mois.
Fermer les accès distants ouverts sur Internet
Le protocole RDP (bureau à distance) exposé directement sur Internet, c'est une porte grande ouverte avec un panneau « entrez ». Les attaquants scannent ces ports en continu et testent des mots de passe faibles. J'ai constaté, sur plusieurs incidents, que des identifiants admin/admin suffisaient encore en 2024 sur des serveurs pourtant en production.
- Passez le RDP derrière un VPN, jamais en direct.
- Activez l'authentification à double facteur partout où c'est possible.
- Désactivez les comptes inutilisés, surtout ceux des anciens prestataires.
- Appliquez les correctifs de sécurité sous 72 heures pour les failles critiques.
Sensibiliser, mais pas avec un PowerPoint annuel
Un mail de sensibilisation par an ne change rien. Ce qui marche, c'est la simulation : envoyer un faux mail d'hameçonnage et regarder qui clique. La première fois, sur une équipe de 30 personnes, 9 ont cliqué. Après trois campagnes étalées sur six mois, on est descendu à 2. Ce chiffre-là, il fait plus pour la sécurité que n'importe quel audit.
Que faire en cas de rançongiciel : la procédure heure par heure
Une fois que le chiffrement a commencé, chaque minute compte. Voici la séquence que je recommande, dans l'ordre.
| Moment | Action | Pourquoi |
|---|---|---|
| H+0 | Débrancher le câble réseau, désactiver le Wi-Fi | Empêcher la propagation aux autres machines |
| H+0 à H+1 | Ne pas éteindre, laisser allumé | Préserver les journaux et la mémoire pour l'analyse |
| H+1 | Identifier les machines touchées | Isoler les serveurs critiques, sauvegarder les preuves |
| H+2 | Déposer plainte et signaler | Obligation légale, et nécessaire pour l'assurance |
| H+4 | Restaurer depuis une sauvegarde saine | Redémarrer sur une base propre |
Faut-il payer la rançon ?
Non. Et je pèse mes mots. Payer finance directement l'écosystème criminel et ne garantit aucune restitution. Sur les deux cas de paiement que j'ai suivis, un seul a reçu une clé, et elle ne fonctionnait que sur une partie des fichiers. La victime avait payé 12 000 euros pour récupérer trois dossiers.
Cerise sur le gâteau : payer fait de vous une cible identifiée comme solvable. Plusieurs entreprises que je connais ont été attaquées une seconde fois dans les huit mois suivants.
Le signalement, une étape souvent oubliée
Déposez plainte auprès de la gendarmerie ou du commissariat. Signalez aussi l'incident sur la plateforme de Cybermalveillance.gouv.fr. Ces démarches ne sont pas de la paperasse : elles conditionnent l'indemnisation par votre assureur cyber, et elles alimentent les enquêtes qui remontent parfois jusqu'aux groupes d'attaquants.
Trois idées reçues qui coûtent cher
« Mon antivirus me protège »
Un antivirus à jour arrête les menaces connues. Une attaque ciblée utilise des variantes nouvelles qui passent sous le radar quelques jours. Sur les incidents que j'ai traités, l'antivirus était à jour dans les trois quarts des cas. Ce n'est pas une excuse pour le désactiver, mais ce n'est pas un rempart suffisant non plus.
« Les Mac ne sont pas touchés »
Faux. Il y a moins de malwares pour Mac, mais le rançongiciel n'épargne aucun système. La cible, ce n'est pas l'ordinateur : c'est la donnée et la capacité à faire pression sur une organisation.
« Je garde le fichier de demande de rançon au cas où »
Gardez-le pour l'enquête, pas pour l'envoyer à votre assureur en pensant négocier. Ces messages contiennent des adresses de contact sur le dark web : y répondre vous inscrit durablement sur les listes. La seule négociation à mener, c'est avec votre prestataire informatique pour restaurer vos systèmes.
Reconstruire après l'attaque
La restauration n'est pas la fin du chantier. Il faut comprendre par où l'attaquant est entré, sinon vous serez de nouveau la cible. Dans tous les cas de récidive que j'ai observés, la faille d'origine n'avait jamais été corrigée.
Trois choses à changer après un incident : la segmentation du réseau (les postes de travail ne doivent pas dialoguer librement avec les serveurs), la revue des accès, et le plan de reprise testé pour de vrai. Ce dernier point a sauvé une association qui, après une attaque, a remis ses services en ligne en six heures là où d'autres mettent une semaine.
Et franchement, le jour où le rançongiciel frappe, ce n'est pas le moment d'apprendre. Ce qui vous sauvera, c'est ce que vous avez préparé six mois avant, quand personne ne pensait que ça arriverait. La question n'est pas de savoir si vous serez attaqué, mais si vos sauvegardes tiennent la route le jour où l'écran se verrouille.
