Attaque par rançongiciel (ransomware) Vos fichiers sont chiffrés ? Les bons gestes, dans l’ordre
Un message de rançon, des fichiers qui ne s’ouvrent plus, des noms de fichiers étranges : c’est probablement un rançongiciel. Gardez votre calme. Les premières heures comptent, et nous pouvons vous guider dès maintenant.
Les premiers gestes, maintenant
- Isolez les appareils touchés. Débranchez le câble réseau et coupez le Wi-Fi des ordinateurs et serveurs concernés. Ne les éteignez pas : leur mémoire contient des traces utiles à l’analyse.
- Protégez vos sauvegardes. Déconnectez les disques et serveurs de sauvegarde encore intacts. Ne les rebranchez surtout pas sur le réseau infecté.
- Ne payez pas la rançon. Rien ne garantit que vous récupérerez vos fichiers, et le paiement finance de nouvelles attaques. Les autorités françaises le déconseillent.
- Appelez un spécialiste. Notre ligne directe, le 06 30 39 95 06, est joignable 7j/7 et 24h/24. Le dispositif public 17Cyber peut aussi vous orienter.
- Prévenez votre assureur si vous avez une assurance cyber : les contrats prévoient souvent un délai de déclaration et parfois une assistance.
- Gardez les preuves. Photographiez le message de rançon, notez l’heure de découverte et ce que vous avez constaté. Ne supprimez rien, ne réinstallez rien.
- Portez plainte auprès de la police ou de la gendarmerie. Le récépissé est souvent demandé par l’assureur.
- Pensez à la CNIL. Si des données personnelles sont touchées (clients, salariés, patients), la violation doit en principe lui être notifiée dans les 72 heures.
Ce que vous ne devez pas faire
- Payer la rançon, ou entrer en contact avec les attaquants sans être accompagné.
- Éteindre et redémarrer les machines en boucle, ou lancer un antivirus qui effacerait les traces.
- Tout réinstaller dans l’urgence : on risque de réinfecter le réseau et de perdre les preuves.
- Brancher vos sauvegardes pour « vérifier » qu’elles sont intactes.
- Échanger sur l’incident par la messagerie de l’entreprise : l’attaquant peut encore la lire. Préférez le téléphone.
Comment reconnaître un rançongiciel
Les signes sont souvent les mêmes : des fichiers dont l’extension a changé et qui ne s’ouvrent plus, un fichier texte « LISEZ-MOI » déposé dans chaque dossier, un fond d’écran remplacé par un message, des serveurs ou logiciels métier qui ne répondent plus. Un rançongiciel chiffre vos données pour les rendre illisibles, et réclame un paiement en échange de la clé. De plus en plus souvent, les attaquants ont aussi copié des données avant de les chiffrer, et menacent de les publier : voyez aussi notre page fuite de données.
Ce que nous faisons pour vous
1
Écoute et premiers conseils
Au téléphone, nous évaluons la situation avec vous et vous indiquons les gestes à faire tout de suite.
2
Confinement
Nous isolons les machines touchées et coupons les accès de l’attaquant, sur place ou à distance.
3
Analyse
Nous recherchons par où l’attaquant est entré, ce qu’il a touché et si des données ont été copiées.
4
Remise en route
Nous redémarrons votre activité par priorité, à partir de sauvegardes saines, sur des systèmes nettoyés.
5
Après l’incident
Nous vous aidons pour l’assureur, la plainte, la CNIL, puis nous corrigeons les failles pour que cela ne se reproduise pas.
Pour en savoir plus sur notre accompagnement, consultez notre page urgence cyberattaque. Votre messagerie est piratée, sans fichiers chiffrés ? Voyez plutôt boîte mail piratée : que faire.
Après l’attaque : éviter que cela recommence
Un rançongiciel est rarement le fruit du hasard. Il profite presque toujours des mêmes faiblesses. Les corriger change tout :
Sauvegarde
Des sauvegardes intouchables
Une copie de vos données hors de vos locaux, que personne ne peut modifier ni effacer, et dont la restauration est testée.
EDR
Des ordinateurs protégés
Une protection qui repère et bloque les comportements anormaux, avant que le chiffrement ne se propage.
Active Directory
Un réseau bien verrouillé
Les rançongiciels se propagent en prenant le contrôle de l’Active Directory. Un audit montre par où.
Sensibilisation
Des équipes vigilantes
Beaucoup d’attaques commencent par un e-mail piégé. Des salariés entraînés le repèrent et le signalent.
Questions fréquentes sur les rançongiciels
Faut-il payer la rançon ?
Non. Payer ne garantit ni la récupération des fichiers, ni que les données copiées ne seront pas publiées, ni que l’attaquant ne reviendra pas. Les autorités françaises déconseillent de payer. Parlons-en avant toute décision.
Peut-on récupérer les fichiers sans payer ?
Le plus souvent, grâce à des sauvegardes saines, conservées hors de portée de l’attaquant. Pour certains rançongiciels anciens, des outils de déchiffrement gratuits existent, recensés par le projet public No More Ransom. Nous vérifions avec vous.
Mon assurance couvre-t-elle une attaque ?
Cela dépend de votre contrat. Une assurance cyber couvre généralement une partie des frais d’intervention et des pertes d’exploitation, à condition de déclarer le sinistre rapidement. Relisez votre contrat ou appelez votre assureur sans attendre.
Dois-je prévenir mes clients ?
Si leurs données personnelles ont pu être touchées, vous devez en principe notifier la CNIL et, selon le risque, informer les personnes concernées. Nous vous aidons à évaluer la situation et à préparer une communication claire.
Combien de temps pour redémarrer ?
Cela dépend surtout de l’état de vos sauvegardes et de l’étendue de l’attaque. Nous redémarrons d’abord ce qui est vital pour votre activité, puis le reste, en vous tenant informé à chaque étape.
Comment éviter que cela arrive ?
Des sauvegardes intouchables, des ordinateurs à jour et protégés, la double authentification et des équipes sensibilisées couvrent l’essentiel des risques. Un audit de cybersécurité vous dit par où commencer.
Un rançongiciel en cours ? Appelez-nous maintenant
Ne restez pas seul face à l’attaque : nous vous guidons pas à pas, au téléphone puis sur place ou à distance.
Ou appelez-nous au 06 30 39 95 06, joignable 7j/7 et 24h/24.