Fiche réflexe : attaque par rançongiciel

Un rançongiciel est un programme malveillant qui chiffre vos fichiers pour les rendre illisibles, puis réclame de l'argent en échange de leur déchiffrement. Souvent, l'attaquant menace aussi de publier les données qu'il a copiées avant de chiffrer. C'est une attaque sérieuse, mais elle se traite. Voici comment.

Reconnaître l'attaque

• Des fichiers qui ne s'ouvrent plus, avec une extension inconnue ajoutée à leur nom.
• Un fichier texte ou une image dans chaque dossier, qui explique comment payer.
• Un fond d'écran remplacé par un message de l'attaquant.
• Des partages réseau ou un NAS soudain inaccessibles, ou des ralentissements inhabituels.

Les bons gestes, dans l'ordre

1. Contenir la propagation

Un rançongiciel cherche à atteindre tout ce qui est accessible depuis la machine infectée : partages, serveurs, sauvegardes en ligne. Isolez les postes touchés et, si l'attaque semble étendue, demandez à votre prestataire de couper les connexions entre les sites et vers Internet. Laissez les machines allumées : leur mémoire peut contenir des éléments utiles à l'analyse.

2. Ne pas payer

Les autorités françaises recommandent de ne pas payer. Rien ne garantit que vous recevrez un outil de déchiffrement qui fonctionne, ni que les données volées seront effacées. Le paiement finance de nouvelles attaques et peut vous signaler comme une cible rentable. Ne répondez pas à l'attaquant : conservez ses messages.

3. Préserver les preuves

• Photographiez la demande de rançon et les messages affichés.
• Conservez un exemple de fichier chiffré et la note de rançon.
• Demandez à votre prestataire de garder les journaux : pare-feu, messagerie, accès distants, serveurs.
• Notez dans une chronologie l'heure de découverte et chaque action faite.

4. Alerter

Rendez-vous sur 17Cyber pour être orienté. Prévenez votre assureur si vous avez une garantie cyber, et lisez les conditions de déclaration. Déposez plainte auprès de la police ou de la gendarmerie : c'est utile à l'enquête, et la loi conditionne certaines indemnisations d'assurance à un dépôt de plainte rapide (article L. 12-10-1 du Code des assurances).

5. Penser aux données personnelles

Des données chiffrées sont des données rendues indisponibles. Des données copiées par l'attaquant sont des données divulguées. Dans les deux cas, il s'agit d'une violation de données personnelles, à documenter. Si elle présente un risque pour les personnes, le responsable du traitement la notifie lui-même à la CNIL dans les 72 heures (article 33 du RGPD). Si le risque est élevé, il informe aussi les personnes concernées (article 34).

Reprendre l'activité proprement

1. Identifier le point d'entrée avec votre prestataire : accès distant, compte compromis, faille non corrigée, pièce jointe.
2. Fermer cette porte : correctif, désactivation de l'accès, double authentification.
3. Changer les mots de passe depuis des appareils sains, en commençant par les comptes d'administration.
4. Vérifier les sauvegardes : sont-elles intactes ? de quand datent-elles ?
5. Reconstruire les machines touchées plutôt que de les « nettoyer », puis restaurer les données.
6. Surveiller les jours suivants : connexions inhabituelles, nouveaux comptes, règles de transfert dans les messageries.

Organiser le mode dégradé

Pendant la reprise, l'activité doit continuer autant que possible : liste des clients et fournisseurs à joindre, factures et commandes en cours, rendez-vous du jour. Un classeur papier préparé à l'avance, avec les contacts essentiels et les procédures manuelles, fait souvent toute la différence.

Et pour la prochaine fois

• Une sauvegarde déconnectée du réseau, et des restaurations testées : notre check-list des sauvegardes vous aide à la tenir.
• Des mises à jour appliquées, en priorité sur ce qui est exposé à Internet.
• La double authentification sur les accès distants et la messagerie.
• Des comptes d'administration réservés à l'administration.
• Une page de première réaction connue de tous.

DYCAST peut vous accompagner dans la qualification et la reprise, selon votre contrat. Nous ne sommes ni un service de l'État, ni un opérateur de 17Cyber, et aucune intervention n'est déclenchée automatiquement par le formulaire.