Plusieurs serveurs chiffrés, des fichiers devenus illisibles et une note de rançon : la première priorité consiste à stopper la propagation sans détruire les éléments utiles à l’enquête et à la reprise. Dans une PME, les décisions prises pendant les deux premières heures conditionnent directement la durée d’arrêt, le volume de données récupérables et le coût final de l’incident.
Face à un ransomware, il faut isoler les équipements touchés, préserver les preuves, mobiliser une cellule de crise réduite et vérifier la capacité réelle de restauration sauvegarde. Éteindre indistinctement tous les postes ou payer dans l’urgence crée souvent plus de risques qu’il n’en supprime. L’objectif opérationnel est de reprendre l’activité sur un environnement sain, avec des identifiants renouvelés et des données contrôlées.
Dans la première heure, isolez le ransomware sans effacer les traces
Déconnectez immédiatement du réseau les serveurs chiffrés, les postes présentant une extension de fichiers inconnue, les machines affichant une demande de paiement et les équipements ayant servi à administrer le système. Retirez le câble réseau, désactivez le Wi-Fi et les accès VPN de l’équipement concerné. Coupez les partages SMB, les synchronisations de fichiers et les connexions distantes qui peuvent servir de relais à l’attaquant.
N’éteignez pas systématiquement les machines compromises. Un serveur chiffré encore allumé contient parfois des informations décisives en mémoire : processus actifs, connexions réseau, session administrateur, outils de propagation ou clé de chiffrement temporairement chargée. Photographiez la note de rançon, les extensions de fichiers et les écrans d’erreur. Consignez l’heure de découverte, les comptes utilisés, les systèmes touchés et les symptômes observés. Cette chronologie évite de perdre du temps lorsque l’expert en réponse à incident cyber prend le relais.
Coupez en revanche les flux susceptibles d’étendre l’attaque : accès Internet sortants non essentiels, interconnexions avec les sites distants, VPN fournisseurs et accès administrateurs externes. Cette coupure doit être ciblée. Arrêter tout le système d’information sans distinguer les segments peut bloquer une restauration saine, interrompre des sauvegardes exploitables ou faire disparaître des journaux essentiels.
Prévenez immédiatement la direction, le responsable informatique, le référent juridique et le prestataire infogérance ou cybersécurité. Désignez un décideur unique pour valider les actions à impact : mise à l’arrêt d’un ERP, fermeture du VPN, communication client, engagement d’un prestataire et déclaration à l’assurance. Une PME gagne en efficacité avec une cellule de crise de quatre à six personnes, un canal de communication hors messagerie interne et un journal de décision horodaté.
Pour un accompagnement et des réflexes validés en France, les ressources de Cybermalveillance.gouv.fr constituent un point d’appui utile. Le signalement précoce améliore aussi les chances d’identifier une campagne en cours et les organisations ciblées.
Éteindre les postes, payer ou attendre : les arbitrages à éviter
La question « faut-il éteindre les postes ? » appelle une réponse nuancée : isolez d’abord. Un poste clairement compromis et sans valeur d’analyse immédiate peut ensuite être arrêté sur instruction de l’équipe technique. Un serveur critique, un contrôleur de domaine ou une machine d’administration doivent être examinés avec méthode avant tout redémarrage ou extinction. Le redémarrage peut supprimer des traces, relancer un chiffrement programmé ou déclencher des mécanismes de persistance.
Ne négociez pas seuls avec les attaquants et ne payez pas une rançon informatique dans l’urgence. Le paiement ne fournit aucune garantie sur la clé de déchiffrement, l’intégrité des données, l’effacement des copies exfiltrées ni l’absence d’une seconde extorsion. Il peut aussi exposer l’entreprise à des enjeux de conformité liés au bénéficiaire des fonds. La bonne décision se prend après une évaluation factuelle : données sorties du périmètre, sauvegardes intègres, coût d’arrêt quotidien, obligations contractuelles, garanties d’assurance et avis juridique.
| Décision dans les premières heures | Effet sur la reprise | Décision opérationnelle |
|---|---|---|
| Débrancher un serveur chiffré du réseau | Limite la propagation vers les partages et les sauvegardes connectées | À faire immédiatement |
| Éteindre tous les équipements | Peut supprimer des preuves et ralentir le diagnostic | À décider système par système |
| Payer la demande de rançon | Ne garantit ni déchiffrement ni confidentialité des données | À soumettre à expertise, assurance et conseil juridique |
| Restaurer directement sur les serveurs infectés | Risque de réinfection et de corruption des sauvegardes | À proscrire avant assainissement |
| Réinitialiser les comptes à privilèges | Réduit le risque de retour de l’attaquant | À engager avant la remise en production |
La demande de rançon indique souvent une double extorsion : les cybercriminels ont chiffré les données et prétendent en avoir exfiltré une copie. Traitez cette hypothèse comme crédible jusqu’à preuve du contraire. Analysez les journaux du pare-feu, du VPN, de la messagerie, des serveurs de fichiers et des solutions de détection afin d’identifier les volumes sortants, les comptes suspects et la période de compromission.
Tester la restauration sauvegarde avant de remettre les services en ligne
La restauration sauvegarde devient la voie de reprise prioritaire lorsque les copies sont antérieures à l’intrusion et isolées du réseau compromis. Une sauvegarde récente ne suffit pas : l’attaquant peut être présent depuis plusieurs jours ou semaines avant le chiffrement. Restaurer une image infectée réintroduit les accès frauduleux, les tâches planifiées et les comptes créés clandestinement.
Commencez par identifier le dernier point de restauration fiable. Comparez la date des premières traces d’intrusion avec les sauvegardes disponibles. Vérifiez la présence de copies hors ligne, immuables ou hébergées dans un compte séparé. Testez la restauration dans un environnement isolé : machine virtuelle dédiée, VLAN de quarantaine ou infrastructure de secours. Faites vérifier les données restaurées par un antivirus à jour, une analyse des journaux et un contrôle fonctionnel par les métiers.
Rebâtissez d’abord les fondations : annuaire et identités, DNS, messagerie, sauvegarde, accès réseau, puis applications métier et fichiers partagés. Réinitialisez les mots de passe administrateurs, les comptes de service, les clés API, les accès VPN et les jetons d’administration. Activez l’authentification multifacteur partout où elle est disponible. Une reprise progressive permet d’éviter qu’un poste non détecté ne compromette une seconde fois un domaine fraîchement restauré.
Priorisez les processus qui génèrent du chiffre d’affaires ou sécurisent la trésorerie : prise de commandes, expédition, facturation, production, support clients et paie. Une entreprise industrielle peut, par exemple, rétablir en premier la planification de production et l’EDI fournisseurs, puis reporter la remise en ligne des archives non critiques. Cette hiérarchisation réduit le coût d’interruption et donne une cible claire au plan de reprise d’activité.
Gérer les obligations, l’assurance et la communication de crise
Si des données personnelles ont pu être consultées, exfiltrées ou rendues indisponibles, qualifiez la violation avec le délégué à la protection des données, la direction et le conseil juridique. Lorsque la violation présente un risque pour les personnes, la notification à la CNIL doit intervenir dans les 72 heures après sa prise de connaissance. La CNIL précise les obligations applicables aux violations de données ; documentez aussi les faits lorsqu’une notification n’est finalement pas requise.
Contactez l’assureur cyber avant d’engager des dépenses majeures ou de mandater un prestataire, car le contrat peut imposer un panel d’experts et des modalités de déclaration. Préservez les factures, temps passés, pertes d’exploitation, échanges avec les clients et preuves techniques. Ces pièces structurent le dossier d’indemnisation et permettent de chiffrer le coût réel : interruption, heures supplémentaires, expertise, remplacement de matériel, communication et pénalités contractuelles.
Informez les salariés avec des consignes brèves et utilisables : ne pas reconnecter les postes isolés, ne pas transférer de fichiers depuis des supports personnels, ne pas répondre aux messages suspects et utiliser le canal de communication de crise. Prévenez les clients et fournisseurs concernés lorsque la disponibilité d’un service, les délais de livraison ou la sécurité de leurs données peuvent être affectés. Un message factuel, daté et validé limite les rumeurs sans exposer les détails techniques exploitables.
Que faire après un ransomware pour éviter une rechute coûteuse
La fin du chiffrement ne marque pas la fin de l’incident. Conservez les images forensiques, les journaux et la chronologie, puis réalisez un retour d’expérience dans les deux semaines suivant la reprise. Identifiez le vecteur initial : hameçonnage, accès VPN sans MFA, logiciel non corrigé, compte administrateur trop large, prestataire compromis ou exposition d’un service distant. Chaque cause doit déboucher sur un responsable, une échéance et un indicateur de contrôle.
Formalisez un plan de reprise d’activité testable. Il doit définir les applications prioritaires, les objectifs de délai de reprise, les responsabilités, les coordonnées hors ligne, les dépendances fournisseurs et les procédures de restauration. Testez au moins une fois par an la récupération d’un serveur critique et d’un jeu de données métier complet. Une sauvegarde qui n’a jamais été restaurée reste une hypothèse, pas une assurance opérationnelle.
La protection durable combine segmentation réseau, gestion des correctifs, suppression des privilèges permanents, authentification multifacteur, supervision des accès distants et copies de sauvegarde séparées. Pour une PME, le bon pilotage consiste à mesurer le délai de détection, le délai de confinement, le délai de restauration et le nombre de comptes à privilèges. Ces quatre indicateurs relient directement la cybersécurité à la continuité d’activité, à la marge et à la confiance client.
Après un ransomware, la séquence gagnante reste stable : isoler sans précipitation, conserver les preuves, assainir les identités, restaurer dans un périmètre contrôlé et reprendre par les processus les plus rentables. Cette discipline transforme une crise technique en décision de continuité pilotée.
