Rançongiciel : les bons réflexes avant, pendant et après
Un rançongiciel chiffre vos fichiers et réclame une rançon pour les rendre. Les dégâts dépendent surtout de ce qui a été préparé avant l'attaque et des premières décisions prises.
Équipe éditoriale Kayzen Security3 min de lecture
Avant : réduire le risque et l'impact
- Sauvegardes régulières, dont au moins une copie déconnectée du réseau, et restauration testée.
- Mises à jour rapides des systèmes, des logiciels et des équipements exposés sur Internet (VPN, messagerie, accès à distance).
- Authentification multifacteur sur les accès à distance, la messagerie et les comptes administrateurs.
- Droits limités : les utilisateurs ne travaillent pas avec un compte administrateur.
- Protection des postes (antivirus, filtrage des sites malveillants) et vigilance face aux pièces jointes.
- Un plan de réaction écrit : qui appeler, comment isoler, où sont les sauvegardes, comment travailler en mode dégradé.
Pendant : les premières minutes
- Déconnectez l'appareil du réseau (câble, Wi-Fi) pour limiter la propagation. Ne le formatez pas : il contient des traces utiles à l'enquête.
- Prévenez immédiatement votre prestataire informatique ou votre référent sécurité.
- Déconnectez les sauvegardes encore branchées pour les protéger.
- Ne payez pas la rançon : c'est la recommandation constante des autorités. Rien ne garantit la récupération des données et cela finance les attaquants.
- Notez l'heure, les messages affichés et les actions réalisées.
Après : déclarer, enquêter, redémarrer
- Déposez plainte auprès de la police ou de la gendarmerie, et faites-vous orienter par 17Cyber (17cyber.gouv.fr) vers des prestataires de proximité.
- Si des données personnelles sont touchées, évaluez l'obligation de notifier la CNIL dans les 72 heures (article 33 du RGPD) et, en cas de risque élevé, d'informer les personnes concernées.
- Si votre organisation relève de NIS2, des délais de signalement spécifiques s'appliquent auprès de l'autorité compétente.
- Consultez le site No More Ransom (Europol et partenaires) : il propose des outils de déchiffrement gratuits pour certaines familles de rançongiciels.
- Identifiez la porte d'entrée, corrigez-la, réinitialisez les mots de passe, puis restaurez depuis des sauvegardes saines.
- Professionnels assurés contre le risque cyber : le code des assurances (article L.12-10-1) subordonne l'indemnisation au dépôt d'une plainte au plus tard 72 heures après la découverte de l'attaque. Déposez plainte sans attendre, puis prévenez votre assureur. Point à valider avec votre assureur ou un professionnel.
Sources officielles
- 17Cyber (nouvel onglet) — Le réflexe en cas de cybermalveillance (Police nationale, Gendarmerie nationale, Cybermalveillance.gouv.fr)
- Cybermalveillance.gouv.fr (nouvel onglet) — Assistance et prévention en sécurité numérique (fiches réflexes, prestataires ExpertCyber)
- No More Ransom (nouvel onglet) — Outils de déchiffrement gratuits (Europol et partenaires)
- CNIL (nouvel onglet) — Commission nationale de l'informatique et des libertés
- ANSSI (nouvel onglet) — Agence nationale de la sécurité des systèmes d'information — guides et publications
Les ressources citées sont publiées par leurs auteurs, dans leur langue d'origine. Kayzen n'est affilié à aucun de ces organismes.
Ce guide est informatif et général. Il ne remplace ni un conseil juridique ni l'intervention d'un professionnel de la sécurité informatique.