Rançongiciel en entreprise : que faire dans la première heure ?

Les fichiers ne s’ouvrent plus, un message réclame une rançon : c’est un rançongiciel. Les décisions prises dans la première heure pèsent lourd sur la suite. Voici les gestes utiles, dans l’ordre, et ceux qu’il vaut mieux éviter.

Comment reconnaître une attaque par rançongiciel ?

Les signes les plus courants :

• des fichiers qui changent de nom ou d’extension, et qui ne s’ouvrent plus ;
• un message, à l’écran ou dans un fichier texte, qui demande un paiement ;
• des postes ou un serveur soudain très lents ;
• des dossiers partagés devenus illisibles pour tout le monde en même temps.

Au moindre doute, agissez comme si l’attaque était réelle. Une fausse alerte coûte une heure. Une vraie attaque ignorée peut coûter toutes vos données.

Quels sont les premiers gestes ?

• Isoler : débranchez le câble réseau et coupez le Wi-Fi des machines touchées. L’objectif est d’empêcher la propagation.
• Ne pas éteindre les machines si vous pouvez l’éviter : des traces utiles à l’analyse se trouvent en mémoire.
• Protéger les sauvegardes : déconnectez le disque ou le support de sauvegarde s’il est encore relié.
• Prévenir : votre direction, votre prestataire informatique, puis vos équipes, pour que personne ne rallume un poste douteux.
• Noter : l’heure, les machines concernées, le message affiché. Une photo de l’écran suffit.

Si l’attaque arrivait ce matin, qui appelleriez-vous en premier, et avez-vous son numéro ailleurs que dans votre messagerie ?

Faut-il payer la rançon ?

Les autorités recommandent de ne pas payer. Le paiement ne garantit ni la récupération des fichiers ni la fin du chantage, et il finance les attaques suivantes. La voie sûre reste la restauration à partir de sauvegardes saines, après nettoyage des machines.

Quelles sont les erreurs à éviter ?

• Restaurer les sauvegardes sur des machines qui n’ont pas été nettoyées.
• Rebrancher un poste « pour voir ».
• Effacer les traces en réinstallant trop vite, avant d’avoir compris par où l’attaque est entrée.
• Garder le silence. Si des données personnelles sont touchées, une déclaration à la CNIL peut être obligatoire, dans un délai court. Un dépôt de plainte est également conseillé.

Votre entreprise est-elle prête ? Cinq questions

• Avez-vous une sauvegarde qui n’est pas reliée en permanence au réseau ?
• Avez-vous déjà essayé de restaurer un fichier à partir de cette sauvegarde ?
• Savez-vous qui appeler, avec un numéro noté sur papier ?
• Vos postes et votre serveur reçoivent-ils leurs mises à jour ?
• Vos comptes de messagerie sont-ils protégés par une double authentification ?

Si vous répondez non à deux de ces questions, c’est le bon moment pour en parler.

Ce que Facile IT prend en charge

Nous intervenons sur place ou à distance pour isoler les machines, faire le point sur ce qui est touché et remettre l’activité en route à partir de vos sauvegardes. Ensuite, nous corrigeons ce qui a permis l’attaque : sauvegardes, mises à jour, antivirus, accès. Voir notre page infrastructure et Office 365 et notre article sur la règle du 3-2-1.

Questions fréquentes

Un antivirus suffit-il à bloquer un rançongiciel ?

Non. Il en arrête une partie, mais beaucoup d’attaques passent par un mot de passe volé ou un e-mail piégé. La vraie protection, c’est l’ensemble : mises à jour, double authentification et sauvegardes testées.

Peut-on récupérer des fichiers chiffrés sans sauvegarde ?

Parfois, quand un outil de déchiffrement existe pour le rançongiciel en cause. C’est loin d’être garanti. Sans sauvegarde, la perte est souvent définitive.

Combien de temps faut-il pour repartir ?

Tout dépend de l’état des sauvegardes et du nombre de machines. Avec une sauvegarde saine et récente, l’essentiel peut repartir vite. Sans elle, il faut parfois tout reconstruire.

Une petite entreprise est-elle vraiment visée ?

Oui. La plupart des attaques sont automatiques : elles ne choisissent pas leur cible, elles cherchent une porte ouverte. Une petite structure peu protégée est une cible facile.