Rançongiciel : que faire en cas d'attaque
Les icônes des fichiers ont changé, leurs noms se terminent par une extension inconnue, et un message s’affiche : vos données sont chiffrées, un paiement est exigé pour les récupérer. C’est la signature d’un rançongiciel (ransomware en anglais). Dans ces moments, la panique pousse à de mauvaises décisions. Voici, dans l’ordre, ce qu’il faut faire et ne pas faire.
Les premiers réflexes : isoler, sans tout éteindre
L’objectif immédiat est d’empêcher la propagation aux autres appareils.
- Déconnecter le poste touché du réseau : débrancher le câble réseau, couper le Wi-Fi. Faites de même pour tout appareil qui présente des signes similaires.
- Débrancher les disques et clés de sauvegarde encore connectés, s’ils ne sont pas déjà touchés.
- Ne pas éteindre brutalement la machine si vous pouvez l’éviter : certaines traces utiles à l’analyse ne subsistent qu’en mémoire. Laissez-la allumée mais isolée, sauf avis contraire d’un professionnel.
- Prévenir toute l’équipe de ne plus utiliser le réseau et de signaler tout comportement anormal.
- Photographier l’écran et le message de rançon avec un téléphone.
Ce qu’il ne faut pas faire
| À éviter | Pourquoi |
|---|---|
| Payer la rançon | Aucune garantie de récupération, financement des attaquants, risque d’être de nouveau ciblé |
| Contacter les attaquants seul | Toute négociation doit être encadrée par des professionnels et les autorités |
| Effacer ou réinstaller tout de suite | Vous détruisez des preuves et ne saurez pas par où l’attaque est entrée |
| Rebrancher les sauvegardes pour « voir » | Elles risquent d’être chiffrées à leur tour |
| Utiliser la messagerie de l’entreprise pour organiser la réponse | Les comptes peuvent être compromis ; préférez le téléphone |
Les autorités recommandent officiellement de ne pas payer la rançon. Même en payant, rien n’assure que la clé fournie fonctionne, ni que les données volées ne seront pas publiées ou revendues.
Se faire aider
Le site cybermalveillance.gouv.fr, dispositif national d’assistance aux victimes porté par le GIP ACYMA, propose un diagnostic en ligne et une mise en relation avec des prestataires spécialisés, référencés et proches de chez vous. Si vous avez un prestataire informatique ou un contrat d’assurance couvrant le risque cyber, appelez-les sans tarder : certains assureurs imposent un délai de déclaration et peuvent mandater eux-mêmes un intervenant.
Notez au fur et à mesure, sur papier, tout ce qui est fait : heures, actions, personnes contactées. Ce journal servira pour la plainte, l’assureur et l’analyse.
Les démarches officielles
Porter plainte
Une attaque par rançongiciel est une infraction. Il est recommandé de porter plainte, au commissariat ou à la brigade de gendarmerie, en apportant tous les éléments recueillis (captures, message de rançon, journal des actions). Selon la nature des faits, des dispositifs en ligne de pré-plainte ou de signalement existent ; renseignez-vous sur masecurite.interieur.gouv.fr ou auprès des services de police et de gendarmerie pour savoir lequel s’applique à votre situation. Le dépôt de plainte est souvent demandé par l’assureur.
Notifier la CNIL si des données personnelles sont touchées
Un rançongiciel constitue presque toujours une violation de données personnelles : fichiers clients, données des salariés, coordonnées de contacts. Lorsque la violation présente un risque pour les droits et libertés des personnes, le RGPD (article 33) impose de la notifier à la CNIL dans les 72 heures après en avoir pris connaissance. Le formulaire est disponible sur cnil.fr. Si le risque est élevé, les personnes concernées doivent aussi être informées.
Même lorsque la notification n’est pas obligatoire, la violation doit être consignée dans un registre interne. Pour poser les bases, voir notre article sur le RGPD dans une TPE. Pour une situation particulière, rapprochez-vous d’un professionnel du droit.
Prévenir les partenaires
Clients, fournisseurs, banque : s’ils risquent de recevoir des e-mails frauduleux envoyés depuis vos comptes, ou si leurs données sont concernées, informez-les rapidement, par un canal autre que la messagerie compromise.
Redémarrer proprement
La remise en route se fait de préférence avec un professionnel :
- Identifier la porte d’entrée : pièce jointe piégée, accès à distance mal protégé, mot de passe dérobé, faille non corrigée. Sans cela, l’attaque peut recommencer.
- Réinstaller les postes touchés à partir de supports sains, plutôt que de tenter de les « nettoyer ».
- Changer tous les mots de passe, en commençant par la messagerie et les comptes administrateur, et activer la double authentification.
- Restaurer les données depuis une sauvegarde saine, antérieure à l’infection, après avoir vérifié qu’elle n’est pas elle-même compromise.
- Surveiller les comptes et le réseau dans les semaines suivantes.
C’est ici que tout se joue : une entreprise qui dispose d’une copie hors ligne récente repart en quelques jours. Notre article sur la règle de sauvegarde 3-2-1 explique comment s’en assurer.
Préparer la fiche réflexe dès aujourd’hui
Le jour de l’attaque, l’ordinateur ne sera peut-être pas utilisable. Imprimez une fiche et rangez-la dans un endroit connu de tous :
- les gestes d’isolement (débrancher, couper le Wi-Fi, ne pas éteindre) ;
- le numéro du prestataire informatique et celui de l’assureur ;
- l’adresse de cybermalveillance.gouv.fr ;
- les coordonnées de la gendarmerie ou du commissariat le plus proche ;
- l’emplacement des sauvegardes hors ligne et la personne qui sait les restaurer ;
- le rappel du délai de 72 heures pour la CNIL.
Cette fiche complète les mesures de cybersécurité essentielles, qui restent la meilleure façon de ne jamais avoir à la sortir du tiroir.
Cet article peut contenir des liens partenaires. Ils n'influencent jamais ce que nous écrivons.