Sécurité
Que faire après une attaque par rançongiciel ?
Isoler, alerter, ne pas payer, porter plainte, restaurer : les bons réflexes heure par heure après une attaque par rançongiciel, et comment repartir sur des bases saines.
3 min de lecture
L'essentiel
- Isolez les postes touchés du réseau sans les éteindre, puis prévenez votre prestataire.
- Ne payez pas la rançon, portez plainte et déclarez l'incident à votre assureur dans les 72 heures.
- Ne restaurez qu'à partir de sauvegardes saines, après avoir identifié et fermé la porte d'entrée.
Des fichiers renommés, impossibles à ouvrir, et un message qui réclame une rançon. Dans les minutes qui suivent la découverte d'un rançongiciel, les bons réflexes limitent fortement les dégâts. Voici quoi faire, heure par heure. Imprimez cette page : le jour venu, votre réseau ne sera peut-être plus accessible.
Dans la première heure
- Isoler. Débrancher les postes et serveurs touchés du réseau (câble, Wi-Fi), sans les éteindre. Si l'attaque se propage, couper l'accès internet.
- Alerter. Prévenir votre prestataire informatique ou votre référent, et la direction. Désigner une personne qui coordonne.
- Protéger les sauvegardes. Déconnecter les supports de sauvegarde encore intacts pour qu'ils ne soient pas chiffrés à leur tour.
- Noter. Heure de découverte, machines touchées, message de rançon (photo), actions réalisées. Ce journal servira à l'enquête et à l'assurance.
Dans les 24 premières heures
Se faire aider
Si vous n'avez pas de prestataire, cybermalveillance.gouv.fr oriente vers des professionnels proches de chez vous.
Porter plainte
Auprès de la police ou de la gendarmerie. La plainte est utile à l'enquête, et nécessaire pour votre assurance.
Prévenir l'assureur
Si vous avez une garantie cyber, déclarez le sinistre rapidement. L'indemnisation liée à une rançon suppose une plainte déposée dans les 72 heures.
Évaluer les données touchées
Des données personnelles ont-elles pu être volées ou rendues indisponibles ? Si oui, la notification à la CNIL doit intervenir dans les 72 heures.
Les jours suivants : repartir sur des bases saines
- Identifier la porte d'entrée. Mot de passe volé, logiciel pas à jour, email piégé, accès à distance mal protégé : tant qu'elle reste ouverte, l'attaquant peut revenir.
- Changer tous les mots de passe, en commençant par les comptes d'administration, et activer la double authentification partout.
- Reconstruire plutôt que nettoyer les machines compromises, à partir d'installations propres.
- Restaurer les données depuis des sauvegardes vérifiées comme saines, antérieures à l'intrusion.
- Surveiller de près pendant plusieurs semaines : comptes, connexions, comportements inhabituels.
Communiquer
- En interne : ce qui s'est passé, ce qu'il faut faire et ne pas faire, qui contacter.
- Avec les clients et partenaires concernés : informer tôt et honnêtement, sans spéculer.
- Avec les personnes dont les données sont touchées, si le risque est élevé pour elles, comme l'exige le RGPD.
Le meilleur moment pour préparer une attaque, c'est avant.
Après la crise
Faites le bilan : qu'est-ce qui a fonctionné, qu'est-ce qui a manqué ? Mettez à jour vos sauvegardes, vos accès et votre plan de crise. Les guides les 10 points de sécurité à vérifier, la règle 3-2-1 et le plan de continuité d'activité vous aideront à vous préparer.
Découvrez aussi notre offre d'infogérance et de sécurité.