Un lundi matin, plusieurs collaborateurs signalent que leurs fichiers portent une extension étrange et qu'un message réclame un paiement. Les premières heures d'une attaque par ransomware sont déterminantes : les décisions prises dans l'urgence peuvent limiter les dégâts ou, au contraire, les aggraver. Cet article décrit les réflexes à adopter. Il ne remplace pas l'intervention de spécialistes, mais il vous aide à garder la tête froide et à préparer, dès aujourd'hui, la réponse que vous espérez ne jamais devoir appliquer.
Contenir l'attaque sans tout détruire
La priorité est d'empêcher la propagation. Déconnectez du réseau les machines visiblement touchées : retirez le câble réseau et désactivez le Wi-Fi. Si l'attaque semble se répandre, il peut être nécessaire de couper la connexion Internet de l'entreprise ou d'isoler certains segments du réseau.
En revanche, évitez d'éteindre brutalement tous les ordinateurs ou de les réinstaller immédiatement. La mémoire vive et les journaux contiennent souvent des informations précieuses pour comprendre comment l'attaquant est entré. Un équipement débranché du réseau mais laissé allumé peut être analysé plus tard. Ne supprimez rien, ne lancez pas d'outils de nettoyage au hasard, et ne vous connectez pas avec un compte administrateur sur une machine compromise : vous risqueriez d'exposer ces identifiants.
Protéger ce qui peut encore l'être
Rapidement, posez-vous une question essentielle : les sauvegardes sont-elles intactes ? Si un support de sauvegarde est encore connecté au réseau, déconnectez-le immédiatement. Vérifiez l'état des copies hors site ou dans le cloud, sans les restaurer pour l'instant. Changez ensuite les mots de passe des comptes critiques, en particulier ceux des administrateurs et de la messagerie, depuis un appareil sain. Si l'authentification multifacteur n'était pas activée partout, c'est le moment de l'imposer.
Prévenir les bonnes personnes
Une attaque n'est pas seulement un problème technique. Établissez rapidement une petite cellule de crise avec la direction, la personne responsable de l'informatique et votre prestataire. Selon la situation, plusieurs contacts sont à envisager :
- votre prestataire informatique ou une équipe spécialisée en réponse à incident ;
- votre assureur, si vous disposez d'une police cyber : elle prévoit souvent une procédure et des intervenants à contacter en priorité ;
- le Centre for Cybersecurity Belgium (CCB), qui permet de signaler les incidents et propose des conseils ;
- la police, pour déposer plainte, ce qui peut être utile pour l'assurance et pour la suite ;
- l'Autorité de protection des données (APD), si des données personnelles sont concernées et que la violation présente un risque pour les personnes. Le RGPD prévoit en principe une notification dans les 72 heures après en avoir pris connaissance.
Si votre organisation relève de la réglementation NIS2, des obligations spécifiques de notification d'incident au CCB s'appliquent, avec des délais courts. Vérifiez votre situation sur les sources officielles avant qu'un incident ne survienne.
La question de la rançon
Payer la rançon est une décision lourde. Les autorités recommandent généralement de ne pas payer : rien ne garantit que les données seront restituées, que l'outil de déchiffrement fonctionnera correctement ou que les informations volées ne seront pas publiées malgré tout. Payer finance aussi les groupes criminels et peut faire de vous une cible pour une nouvelle tentative. Quelle que soit l'orientation envisagée, ne négociez jamais seul et dans la précipitation : impliquez des spécialistes, votre assureur et, si nécessaire, un conseil juridique.
Restaurer proprement et tirer les leçons
La remise en route doit se faire de manière méthodique. Restaurer des données sur un système encore compromis revient à offrir une seconde chance à l'attaquant. Les étapes habituelles sont les suivantes :
- identifier la porte d'entrée et la corriger (faille non corrigée, compte compromis, accès à distance exposé) ;
- reconstruire les systèmes critiques à partir d'une base saine ;
- restaurer les données depuis une sauvegarde antérieure à l'infection, après vérification ;
- remettre progressivement les services en ligne, en commençant par les plus essentiels ;
- surveiller attentivement l'activité pendant les semaines suivantes.
Une fois la crise passée, organisez un retour d'expérience. Qu'est-ce qui a fonctionné ? Qu'est-ce qui a manqué ? Les réponses alimentent votre plan de sécurité. Un support informatique réactif et une stratégie de sauvegarde testée sont souvent les deux éléments qui font la différence.
Le meilleur moment pour préparer la réponse à un ransomware, c'est avant l'attaque. Rédigez une fiche réflexe d'une page, listez vos contacts d'urgence, vérifiez vos sauvegardes : ces quelques heures de préparation vous feront gagner des jours le moment venu.
