Rançongiciel : quels réflexes adopter en cas d'attaque ?

Un rançongiciel est un logiciel malveillant qui chiffre vos fichiers, c'est-à-dire les rend illisibles, puis réclame une rançon pour les restituer. Les premières heures comptent : les bons gestes limitent la propagation et préservent vos chances de redémarrer. Cet article reprend les recommandations publiques de cybermalveillance.gouv.fr et de l'ANSSI.

Comment reconnaître une attaque par rançongiciel ?

• des fichiers impossibles à ouvrir, souvent renommés avec une extension inconnue ;
• un message de rançon : fichier texte dans chaque dossier, fond d'écran remplacé, fenêtre bloquante ;
• un antivirus désactivé, des ordinateurs très lents ou des serveurs inaccessibles ;
• parfois une menace de publier des données volées. On parle de double extorsion quand les attaquants copient les données avant de les chiffrer.

Le chiffrement peut se poursuivre pendant que vous constatez les dégâts. Tant qu'un appareil infecté reste connecté, le logiciel peut atteindre d'autres machines, les partages de fichiers et les sauvegardes accessibles en réseau.

Les premiers réflexes, dans l'ordre

1. Isoler : débranchez le câble réseau, coupez le Wi-Fi, retirez disques externes et clés USB. Si possible, n'éteignez pas l'appareil : sa mémoire peut contenir des traces utiles à l'analyse.
2. Alerter : prévenez votre support informatique et la direction. Coordonnez-vous par téléphone plutôt que par une messagerie peut-être compromise.
3. Protéger les sauvegardes : déconnectez celles qui sont encore intactes pour qu'elles ne soient pas chiffrées à leur tour.
4. Conserver les preuves : photographiez le message de rançon, notez l'heure de découverte et les machines touchées, ne supprimez ni ne renommez les fichiers chiffrés.
5. Ne pas négocier seul : ne répondez pas aux attaquants sans être accompagné.
6. Déposer plainte auprès de la police ou de la gendarmerie.
7. Se faire assister : cybermalveillance.gouv.fr propose un parcours de diagnostic et une mise en relation avec des professionnels.

Faut-il payer la rançon ?

Les autorités françaises, dont l'ANSSI et cybermalveillance.gouv.fr, recommandent de ne pas payer. Les raisons qu'elles avancent sont les suivantes :

• rien n'assure que la clé de déchiffrement fonctionnera, ni que les données volées seront supprimées ;
• le paiement finance les groupes criminels et leurs prochaines attaques ;
• une organisation qui a payé peut être identifiée comme une cible rentable.

Cette décision engage l'organisation et peut soulever des questions juridiques et d'assurance. Elle ne se prend ni seul, ni dans l'urgence, ni sans conseil.

Quelles démarches après l'attaque ?

Restaurer et redémarrer proprement

1. Identifiez la porte d'entrée : pièce jointe piégée, accès à distance exposé, faille non corrigée ou mot de passe volé.
2. Réinstallez les systèmes touchés plutôt que de tenter un simple nettoyage.
3. Restaurez des sauvegardes vérifiées, antérieures à l'infection.
4. Changez tous les mots de passe, en priorité ceux des comptes d'administration.
5. Corrigez la faille avant de reconnecter, puis surveillez le réseau de près.

Pour certaines familles de rançongiciels, des outils de déchiffrement gratuits ont été publiés. Un professionnel peut vérifier si c'est votre cas.

Se préparer avant que cela n'arrive

• des sauvegardes selon la règle 3-2-1, dont une copie déconnectée, et des restaurations testées ;
• des mises à jour appliquées rapidement, surtout sur les équipements exposés à Internet ;
• la double authentification sur la messagerie et les accès à distance ;
• des comptes utilisateurs sans droits d'administrateur sur leur poste, pour limiter ce qu'un logiciel malveillant peut modifier ;
• des équipes entraînées à repérer les pièces jointes et les liens piégés, porte d'entrée classique des rançongiciels ;
• un plan de reprise d'activité et une liste de contacts d'urgence imprimée.

Pour vérifier que vos sauvegardes résisteraient à une telle attaque, consultez le service sauvegardes et surveillance de NexSecure.