Que faire en cas de ransomware ? Le guide des premières heures

Les bons réflexes immédiats

• ▸Isoler les machines touchées du réseau (débrancher le câble, couper le Wi-Fi) pour stopper la propagation, sans les éteindre.
• ▸Préserver les preuves : ne pas reformater, ne pas supprimer les fichiers du rançongiciel, ils sont utiles à l'investigation.
• ▸Alerter la direction et constituer une cellule de crise restreinte.
• ▸Documenter l'heure des faits, les symptômes, les systèmes concernés.

Les erreurs qui aggravent la situation

• ▸Payer la rançon dans la précipitation : rien ne garantit la récupération, cela finance l'attaquant et vous désigne comme cible.
• ▸Éteindre brutalement les machines : on perd des traces en mémoire précieuses pour comprendre l'attaque.
• ▸Restaurer trop vite sur un environnement encore compromis : le rançongiciel se redéclenche.
• ▸Communiquer dans le désordre, en interne comme en externe.

Qui contacter

Contactez sans tarder un professionnel de la réponse à incident. En France, le dispositif public Cybermalveillance.gouv.fr oriente les victimes et référence des prestataires. Selon les cas, un dépôt de plainte et une notification à la CNIL (si des données personnelles sont concernées) sont nécessaires.

Après la crise : éviter la récidive

Une fois la situation contenue, l'analyse forensique établit le vecteur d'entrée et l'étendue de la compromission. C'est ce qui permet de corriger la cause, pas seulement les symptômes. La meilleure réponse reste toutefois la prévention : sauvegardes testées, détection et surveillance continues.