Ransomware : comment réagir dans les premières heures

L'attaque par ransomware, un scénario de crise

Vos fichiers sont chiffrés, un message de rançon s'affiche à l'écran, votre activité est paralysée. Le ransomware est devenu la menace numéro un pour les entreprises. Les décisions prises dans les premières heures déterminent l'ampleur des dégâts.

Les 60 premières minutes

Isoler immédiatement les systèmes infectés

Déconnectez les machines touchées du réseau (câble et Wi-Fi) sans les éteindre. L'extinction peut détruire des traces forensiques précieuses. Débranchez les disques externes et les partages réseau pour stopper la propagation.

Alerter les bonnes personnes

Prévenez votre responsable informatique, votre prestataire cybersécurité et la direction. Ne communiquez pas sur la messagerie de l'entreprise si elle est potentiellement compromise : utilisez un canal externe (téléphone, messagerie personnelle sécurisée).

Les premières 24 heures

Évaluer l'étendue de l'attaque

Identifiez quels systèmes sont touchés, quelles données sont chiffrées et quel est le vecteur d'entrée (email de phishing, faille logicielle, accès RDP compromis). Cette analyse conditionne la stratégie de remédiation.

Ne pas payer la rançon

Toutes les autorités (ANSSI, CNIL, police) déconseillent le paiement. Il ne garantit pas la récupération des données, finance les criminels et vous identifie comme une cible payante pour de futures attaques.

Déposer plainte

Portez plainte auprès de la police ou de la gendarmerie. En France, la plateforme cybermalveillance.gouv.fr vous oriente vers les bons interlocuteurs et fournit des ressources d'aide.

La phase de restauration

• Vérifiez l'intégrité de vos sauvegardes avant toute restauration
• Reconstruisez les systèmes à partir d'images propres
• Changez tous les mots de passe de l'entreprise
• Appliquez les correctifs de sécurité manquants
• Renforcez les mesures de détection (EDR, monitoring réseau)

Après la crise : tirer les leçons

Réalisez un retour d'expérience formel. Identifiez les failles exploitées, les dysfonctionnements dans la réponse et les améliorations à apporter. Mettez à jour votre plan de continuité d'activité et renforcez la formation de vos équipes. La meilleure défense contre le prochain ransomware, c'est la préparation.