Rançongiciel en entreprise : les trois premières heures qui comptent

Un matin, une collaboratrice ouvre sa session. À la place de ses documents, un fichier texte qui réclame une rançon en cryptomonnaie. Sur le serveur partagé, la même chose. Ce scénario, qui semblait réservé aux grandes entreprises, touche aujourd’hui régulièrement des TPE et PME françaises. Ce qui se passe dans les trois premières heures conditionne la facture finale, autant en euros qu’en jours de production perdus.

Heure 0 à 1 : isoler, ne pas éteindre

Le réflexe de beaucoup est d’éteindre les postes. C’est une erreur. Éteindre brutalement peut compliquer l’analyse forensique et, dans certains cas, détruire des éléments en mémoire utiles à la remédiation.

Le bon geste :

• Débrancher le câble réseau (ou désactiver le Wi-Fi) des postes concernés, pour stopper la propagation.
• Déconnecter les sauvegardes connectées si elles ne sont pas déjà chiffrées.
• Laisser les machines allumées si possible, en attendant l’analyse.

Heure 1 à 2 : qualifier, documenter

Avant d’agir, il faut savoir ce qu’on traite. Prenez des photos (oui, avec un téléphone) des écrans de rançon, notez l’extension ajoutée aux fichiers, l’heure de première détection, les postes touchés, les comptes utilisateurs potentiellement compromis.

Cette documentation sert à trois choses :

• Identifier la souche (certaines variantes ont des déchiffreurs publics).
• Préparer le dépôt de plainte, qui devra se faire rapidement.
• Reconstituer la chaîne d’infection pour ne pas revivre la même scène.

Heure 2 à 3 : prendre les bonnes décisions

À ce stade, plusieurs questions doivent recevoir une réponse claire :

• Faut-il déclarer à la CNIL ? Oui, si des données personnelles sont concernées, sous 72 heures.
• Faut-il prévenir l’assureur ? Oui, si vous avez une cyber-assurance, immédiatement.
• Faut-il payer ? La réponse officielle et la mienne est non. Payer finance la filière, ne garantit pas la récupération, et marque votre entreprise comme cible payeuse.
• Les sauvegardes sont-elles saines ? C’est la question centrale. Des sauvegardes stockées en ligne sur un partage accessible sont souvent chiffrées avec le reste. Seules les sauvegardes déconnectées ou immuables survivent.

Reconstruire plutôt que désinfecter

Sur un poste compromis, le nettoyage n’est jamais certain. La seule stratégie fiable, c’est la réinstallation complète, à partir d’un socle propre, avec changement de tous les mots de passe des comptes concernés, y compris ceux des services en ligne accessibles depuis le poste.

Le vrai sujet est en amont

Un ransomware qui entre dans une TPE a presque toujours exploité une faille prévisible : un poste non mis à jour, un RDP ouvert sur Internet, un mot de passe administrateur faible, une sauvegarde mal configurée. Auditer ces points coûte quelques centaines d’euros. Un incident coûte en moyenne des dizaines de milliers, sans compter les jours d’arrêt.

Si vous souhaitez faire le point sans attendre d’avoir un problème, un audit ciblé de vos postes et de votre sauvegarde est une étape raisonnable. Je le propose en prestation de dépannage avec un rapport écrit et un plan d’action priorisé. Mieux vaut poser ces questions aujourd’hui, dans le calme.