Rançongiciel en entreprise : que faire dans les premières heures | M-KIS

Un fichier partagé ne s'ouvre plus. Puis un autre. Puis tous les postes du service comptabilité affichent le même message, dans une police inhabituelle, avec un compte à rebours et une adresse pour payer en cryptomonnaie. Vous venez de découvrir un rançongiciel (ransomware) sur votre système d'information. Ce qui se passe dans les minutes et les heures qui suivent conditionne largement l'ampleur des dégâts, la possibilité de récupérer vos données, et vos obligations réglementaires. Ce guide détaille les gestes à faire, ceux à éviter absolument, et le moment où faire appel à un professionnel devient nécessaire.

#1. Reconnaître un rançongiciel

Un rançongiciel est un logiciel malveillant qui chiffre les fichiers d'un poste, d'un serveur ou d'un partage réseau, puis exige le paiement d'une rançon (le plus souvent en cryptomonnaie) contre la promesse d'une clé de déchiffrement. Les signes les plus fréquents :

• Des fichiers qui ne s'ouvrent plus, ou dont l'extension a changé (.locked, .encrypted, ou une extension aléatoire)
• L'apparition d'une note de rançon sous forme de fichier texte ou HTML (souvent nommée README, DECRYPT, HOW_TO_RECOVER) dans plusieurs dossiers
• Un écran de verrouillage avec compte à rebours et instructions de paiement
• Un ralentissement brutal du réseau ou des serveurs, signe que le chiffrement est en cours de propagation
• Des alertes antivirus ou EDR signalant une activité de chiffrement massif
• Une déconnexion soudaine de plusieurs postes du réseau, parfois orchestrée par l'attaquant lui-même pour empêcher toute réaction

#2. Les premiers gestes à faire immédiatement

#2.1 Isoler la machine du réseau, sans l'éteindre

C'est le geste le plus important et le plus souvent mal exécuté. Débranchez le câble réseau ou désactivez le Wi-Fi des machines concernées pour stopper la propagation du chiffrement aux autres postes et serveurs. En revanche, n'éteignez pas la machine.

La bonne séquence : couper l'accès réseau (câble Ethernet débranché, Wi-Fi désactivé, port switch coupé si vous en avez la main), laisser la machine allumée, et ne plus y toucher en attendant une analyse.

#2.2 Ne pas payer la rançon

Le paiement de la rançon ne garantit ni la récupération des données, ni l'absence de republication de vos données si l'attaquant en a exfiltré, ni l'absence d'une nouvelle attaque une fois votre entreprise identifiée comme payeuse. Il finance en outre directement des groupes criminels organisés. Cybermalveillance.gouv.fr, le dispositif public d'assistance aux victimes de cybermalveillance, déconseille explicitement le paiement de la rançon.

#2.3 Prévenir la direction sans délai

Un incident de cette nature dépasse le périmètre technique. La direction doit être informée immédiatement pour arbitrer les décisions qui suivent : dépôt de plainte, notification éventuelle à la CNIL, communication vers les clients et partenaires si nécessaire, et déclenchement d'une éventuelle assurance cyber.

#2.4 Déposer plainte

Le dépôt de plainte auprès de la police, de la gendarmerie, ou en ligne sur la plateforme THESEE pour les infractions numériques, est une étape à ne pas négliger. Il conditionne souvent la prise en charge par une assurance cyber, et permet aux services d'enquête de recouper l'attaque avec d'autres incidents similaires. Conservez toute trace utile : la note de rançon, les captures d'écran, les journaux d'accès disponibles.

#2.5 Notifier la CNIL sous 72 heures si des données personnelles sont concernées

Si le rançongiciel a touché des données personnelles (fichiers clients, salariés, prospects), l'article 33 du RGPD impose une notification à la CNIL dans les 72 heures suivant la prise de connaissance de la violation, via notifications.cnil.fr. Ce délai court dès la découverte de l'incident, pas depuis sa résolution complète : une notification initiale, même incomplète, vaut mieux qu'un dépassement du délai.

#2.6 Restaurer depuis une sauvegarde saine

Une fois la faille d'entrée identifiée et corrigée (voir plus bas), la restauration se fait depuis la dernière sauvegarde antérieure à la compromission, après vérification qu'elle n'est pas elle-même infectée. C'est la raison pour laquelle une sauvegarde externalisée, déconnectée du réseau principal (règle du 3-2-1-1-0), reste la meilleure protection réelle contre un rançongiciel : un attaquant qui chiffre vos serveurs de production ne doit pas pouvoir atteindre la copie de sauvegarde.

#3. Ce qu'il ne faut surtout pas faire

• Ne pas éteindre les machines chiffrées : cela détruit des preuves exploitables en mémoire.
• Ne pas payer la rançon sans avoir été conseillé, y compris sous la pression d'un compte à rebours affiché par l'attaquant.
• Ne pas restaurer immédiatement une sauvegarde sans avoir identifié le vecteur d'entrée : sans correction de la faille, la restauration est re-compromise en quelques heures.
• Ne pas brancher de clé USB ou de disque externe sur une machine potentiellement compromise pour tenter de sauver des fichiers : cela risque de propager l'infection à ce support.
• Ne pas communiquer avec l'attaquant sans l'avis d'un professionnel ou des forces de l'ordre, même pour "négocier" : cela confirme votre disponibilité à payer et peut aggraver la situation.
• Ne pas tenter de "nettoyer" seul un serveur de production critique sans sauvegarde forensique préalable de l'état compromis : vous perdez la possibilité d'analyser après coup ce qui s'est passé.
• Ne pas garder l'incident confidentiel en interne : plus les équipes techniques et la direction découvrent tardivement l'ampleur réelle, plus la réaction est lente et désorganisée.

#4. Quand faire appel à un professionnel

Certaines situations dépassent largement ce qu'une équipe interne, même compétente, peut gérer seule dans l'urgence :

• Le rançongiciel s'est propagé à plusieurs postes ou à un serveur de production
• Vous ne savez pas comment l'attaquant est entré (vecteur d'attaque non identifié)
• Vous n'avez pas de certitude sur l'état sain de vos sauvegardes
• Des données personnelles ou sensibles sont potentiellement concernées
• Vous devez produire un dossier documenté pour votre assurance cyber ou pour la CNIL
• Vous suspectez que l'attaquant a exfiltré des données avant de chiffrer (double extorsion)

Dans ces cas, une intervention de réponse à incident par un prestataire spécialisé permet de reprendre la main rapidement, sans aggraver la situation par des manipulations mal maîtrisées.

#5. L'intervention M-KIS

L'Équipe M-KIS intervient sur incident de type rançongiciel selon une méthode structurée en cinq temps, directement sur site pour les entreprises du Grand Est (Nancy, Metz, et alentours), ou à distance selon la nature de l'incident :

1. Isolement : confinement réseau des machines et serveurs touchés pour stopper la propagation, sans perte des preuves en mémoire.
2. Collecte de preuves : copie forensique de l'état compromis, journaux d'accès, éléments nécessaires à l'analyse, à l'assurance et à un éventuel dépôt de plainte.
3. Éradication : identification du vecteur d'attaque et suppression de toute persistance (comptes créés par l'attaquant, backdoors, tâches planifiées malveillantes).
4. Remise en service : restauration depuis une sauvegarde saine vérifiée, après correction de la faille d'entrée.
5. Durcissement : mise à jour des systèmes, activation ou renforcement du MFA, révision des accès, journalisation renforcée, pour éviter une récidive.

Cette méthode est détaillée sur notre page Réponse à incident & intervention curative sur site. Pour un site web piraté spécifiquement (WordPress, PrestaShop, défacement), notre offre dédiée Secours Site propose un diagnostic sous 2 heures et un nettoyage sous 24 à 72 heures ; notre article guide de récupération technique d'un site piraté détaille les étapes pour les équipes techniques qui souhaitent comprendre la procédure.

Une fois l'incident refermé, la question qui se pose est celle de la détection en continu, pour repérer une tentative de retour de l'attaquant ou une nouvelle intrusion avant qu'elle ne prenne la forme d'un nouveau rançongiciel. Notre SOC managé Wazuh open source assure cette supervision, sans dépendance à des outils propriétaires cloud américains.

Équipe M-KIS : victime d'un rançongiciel, contactez-nous par mail à [email protected], en décrivant brièvement la situation (nombre de postes concernés, présence ou non d'une note de rançon, sauvegardes disponibles). Nous répondons rapidement pour qualifier l'urgence et organiser l'intervention.

Récapitulatif des premiers gestes, dans l'ordre :

1. Isoler la machine du réseau, sans l'éteindre
2. Ne pas payer la rançon
3. Prévenir la direction
4. Contacter un professionnel de la réponse à incident
5. Déposer plainte
6. Notifier la CNIL sous 72 heures si des données personnelles sont concernées
7. Restaurer depuis une sauvegarde saine, après correction de la faille d'entrée