Ransomware : que faire dans les premières 24 heures ?

À retenir

• Ne jamais éteindre les machines infectées : vous détruiriez les preuves numériques nécessaires à l'investigation et au dépôt de plainte.
• Isoler sans éteindre : débranchez le câble réseau ou désactivez le Wi-Fi. Le ransomware se propage sur le réseau — chaque minute compte.
• Ne pas payer la rançon : position officielle de l'ANSSI. Le paiement ne garantit pas la récupération des données, finance la cybercriminalité et peut exposer l'entreprise à des sanctions si le groupe est sous embargo.
• Notifier la CNIL sous 72 heures si des données personnelles ont été compromises — sous peine de sanctions RGPD pouvant atteindre 4 % du CA mondial.
• Déposer plainte dans les 72 heures : obligatoire pour déclencher la couverture de votre assurance cyber (loi LOPMI 2023).
• Appeler le 17cyber ou contacter cybermalveillance.gouv.fr pour être mis en relation avec un prestataire de réponse à incident agréé PRIS (Prestataire de Réponse à Incident de Sécurité).
• IT Systèmes peut intervenir en cellule de crise dans les heures qui suivent pour les PME sous contrat Hypergérance ou MSP.

H+0 — Les 30 premières minutes : stopper la propagation

Un ransomware chiffre vos données et se propage sur le réseau à une vitesse mesurée en minutes. Chaque poste atteint supplémentaire alourdit la remédiation et le coût de l'incident.

Actions immédiates, dans cet ordre :

1. Isoler physiquement les machines suspectes. Débranchez le câble Ethernet. Désactivez le Wi-Fi (via la touche physique ou le gestionnaire de périphériques, pas via Windows — le système est peut-être déjà compromis). N'éteignez pas les machines : les clés de chiffrement peuvent résider en mémoire vive et sont utiles à l'investigation.

2. Couper les accès partagés. Si vous avez un serveur de fichiers ou un NAS, déconnectez-le du réseau immédiatement. Les ransomwares ciblent en priorité les lecteurs réseau partagés.

3. Ne rien supprimer, ne rien réinstaller. Chaque action irréfléchie peut détruire une preuve ou compliquer l'investigation. Le réflexe "formater et recommencer" est la pire réaction — il efface les traces de l'attaquant et empêche de comprendre comment il est entré.

4. Photographier les messages de rançon. Avec un téléphone. Ces captures servent à l'investigation, au dépôt de plainte et à l'assurance.

5. Alerter la direction et le responsable IT (interne ou prestataire). Si vous avez un contrat MSP ou MDR, appelez votre prestataire en urgence — c'est le moment pour lequel vous payez ce service.

H+0 à H+2 — Évaluer l'étendue des dégâts

Une fois la propagation stoppée, l'objectif est de cartographier rapidement ce qui est touché.

Questions à répondre en priorité :

• Combien de postes sont chiffrés ou affichent le message de rançon ?
• Les serveurs sont-ils atteints ? Les sauvegardes sont-elles accessibles ou elles aussi chiffrées ?
• Y a-t-il des données personnelles (clients, salariés, partenaires) parmi les données potentiellement exfiltrées ?
• L'attaquant est-il encore présent dans le système ? (les groupes ransomware restent souvent plusieurs semaines avant de chiffrer)

Cette évaluation conditionne les décisions suivantes : qui notifier, quel prestataire appeler, si les sauvegardes permettent une restauration rapide.

Ne pas tenter de déchiffrer soi-même sans expertise. Des outils circulent en ligne mais la plupart sont inefficaces voire dangereux (certains sont eux-mêmes des malwares).

H+2 à H+6 — Les notifications légales obligatoires

C'est la phase où les obligations légales entrent en jeu. Rater ces délais expose l'entreprise à des sanctions indépendantes de l'attaque elle-même.

Tableau des notifications obligatoires

‍

‍

Point critique sur la CNIL : la notification n'est obligatoire que si des données personnelles ont été compromises (consultées, copiées, modifiées ou détruites). En pratique, un ransomware qui chiffre vos fichiers a probablement exfiltré des données avant partez du principe que la notification CNIL est nécessaire et demandez conseil si vous avez un doute.

Point critique sur la plainte : sans dépôt de plainte dans les 72 heures, la plupart des assureurs cyber refuseront de couvrir le paiement d'une éventuelle rançon ou les frais de remédiation. C'est une exigence de la loi LOPMI (janvier 2023).

Contacter cybermalveillance.gouv.fr

Pour les PME sans prestataire de réponse à incident sous contrat, cybermalveillance.gouv.fr met en relation avec des prestataires PRIS (Prestataires de Réponse à Incident de Sécurité) agréés ANSSI. Vous pouvez aussi appeler le 17cyber, numéro national d'assistance aux victimes de cyberattaques.

Les CSIRT régionaux (Centers de Réponse aux Incidents cyber territoriaux) accompagnent gratuitement les PME et ETI dans les premières heures ils peuvent aider à qualifier l'incident et orienter vers les bons prestataires.

‍

‍

Faut-il payer la rançon ? La réponse claire

C'est la question que tout dirigeant se pose dans les premières heures. Voici ce que disent les faits sans détour.

Argument pour payerRéalité"Je récupèrerai mes données"Taux de récupération réel autour de 50 % même après paiement. Les clés de déchiffrement fournies sont souvent partielles ou défaillantes."C'est plus rapide"La remédiation est nécessaire dans tous les cas : même avec la clé, il faut identifier comment l'attaquant est entré et colmater la brèche."C'est couvert par l'assurance"Depuis la loi LOPMI (2023), l'assureur ne peut indemniser que si un dépôt de plainte a été effectué dans les 72 h. Et certains contrats excluent le paiement de rançon."Sinon mes données seront publiées"Les groupes ransomware publient les données dans 40 % des cas même après paiement. Payer ne garantit pas la confidentialité.

Position officielle de l'ANSSI : ne pas payer. Le paiement finance directement les groupes criminels, encourage les futures attaques, et peut exposer l'entreprise à des sanctions si le groupe est inscrit sur les listes d'embargo internationales (OFAC américain, règlement UE).

La vraie question n'est pas "payer ou non" mais "avez-vous des sauvegardes fonctionnelles ?" Si vos sauvegardes sont intactes et testées, la restauration est préférable au paiement dans tous les cas. Si vos sauvegardes sont aussi chiffrées — ce qui arrive quand l'attaquant a eu accès au réseau pendant plusieurs semaines avant de chiffrer — la situation est plus complexe et nécessite l'avis d'un expert.

H+6 à H+24 — Remédiation et communication

Remédiation technique

La remédiation ne commence qu'après l'investigation initiale. Elle suit cette séquence :

Identification du vecteur d'entrée : comment l'attaquant est-il entré ? Phishing, VPN sans MFA, RDP exposé, prestataire compromis, vulnérabilité non patchée ? Sans réponse à cette question, la restauration est inutile l'attaquant reviendra.

Nettoyage ou reconstruction : selon l'étendue, restauration depuis les sauvegardes propres ou reconstruction complète des systèmes à partir de zéro. La reconstruction est plus longue mais plus sûre une restauration depuis une image compromise peut réintroduire la backdoor.

Vérification des sauvegardes avant restauration : assurez-vous que la sauvegarde elle-même n'est pas infectée. Les groupes ransomware ciblent souvent les sauvegardes en premier.

Communication de crise

Communiquez tôt, même avec peu d'information. Le silence est interprété comme de la dissimulation par vos clients, partenaires et salariés.

En interne : informer les salariés de ne pas utiliser les systèmes touchés, de signaler tout comportement suspect sur leur poste, et de ne pas parler à la presse.

Vers les clients et partenaires : si des données les concernant peuvent être impliquées, informez-les rapidement et clairement. Une communication transparente protège mieux la relation que la dissimulation découverte après coup.

Vers la presse : préparez une déclaration courte et factuelle. Ne spéculez pas sur l'origine ou l'étendue tant que l'investigation n'est pas avancée.

Le rôle d'IT Systèmes en situation de crise ransomware

Pour les PME sous contrat Hypergérance ou MSP d'IT Systèmes, le protocole de crise est activé dès le premier appel :

Détection proactive : la plateforme HelpyBot surveille en continu les comportements anormaux (chiffrement massif de fichiers, connexions inhabituelles, désactivation d'antivirus). Dans la majorité des cas, l'alerte est déclenchée avant que l'utilisateur ne remarque quoi que ce soit.

Isolation automatique : via Microsoft Defender for Endpoint, IT Systèmes peut isoler un poste du réseau en quelques secondes depuis la console d'administration, sans intervention physique sur site.

Cellule de crise : les ingénieurs IT Systèmes coordonnent l'investigation initiale, la communication avec l'ANSSI et la CNIL si nécessaire, et la restauration depuis les sauvegardes supervisées.

Reconstruction post-incident : IT Systèmes accompagne la reconstruction du SI, le renforcement des contrôles d'accès (MFA, Conditional Access), et la mise en place d'un plan de continuité d'activité pour éviter que la même attaque puisse réussir une seconde fois.

Pour les PME sans contrat préexistant, IT Systèmes peut intervenir en urgence mais les délais et les coûts sont incomparablement plus élevés qu'avec un contrat MSP actif. La formation cybersécurité de vos équipes fait aussi partie de la prévention : 82 % des ransomwares entrent via le phishing, et un collaborateur formé est le premier rempart.

‍

FAQ — Ransomware et gestion de crise

Doit-on éteindre les ordinateurs lors d'une attaque ransomware ? Non. C'est l'une des erreurs les plus fréquentes. Les clés de chiffrement peuvent résider en mémoire vive et sont précieuses pour l'investigation et parfois la récupération des données. Les éteindre détruit aussi les journaux en mémoire utiles à la forensique. La bonne action est l'isolation réseau (débrancher le câble ou désactiver le Wi-Fi) sans extinction.

Le ransomware se propage-t-il via les e-mails ou les messageries internes ? Non directement. Un ransomware qui a chiffré un poste ne s'envoie pas par email. En revanche, il se propage activement sur les partages réseau accessibles depuis la machine infectée (lecteurs réseau, NAS, serveurs de fichiers). S'il tourne avec des droits d'administrateur, il peut aussi se propager latéralement vers d'autres postes via des techniques d'exploitation réseau (SMB, RDP).

Combien de temps dure une remédiation ransomware pour une PME ? Entre 3 jours et 3 semaines selon l'étendue des dégâts, la disponibilité des sauvegardes et la complexité du SI. La restauration depuis des sauvegardes propres prend 24 à 72 heures pour une PME de 20-50 postes. La reconstruction complète (si les sauvegardes sont aussi compromises) peut dépasser 2 semaines. Sans prestataire spécialisé, les délais doublent ou triplent.

L'assurance cyber rembourse-t-elle les rançons payées ? Depuis la loi LOPMI du 24 janvier 2023, l'assureur ne peut indemniser le paiement d'une rançon que si l'entreprise a déposé plainte dans les 72 heures suivant la connaissance de l'attaque. Certains contrats excluent totalement le remboursement des rançons. Lisez votre police cyber avant d'être en situation de crise et gardez le numéro d'urgence de votre assureur dans un document hors ligne.

Faut-il appeler la police en cas de ransomware ? Oui, et rapidement. Le dépôt de plainte est obligatoire pour déclencher la couverture assurance et constitue une preuve légale de l'incident. Rendez-vous au commissariat ou à la brigade de gendarmerie la plus proche. La plainte peut aussi être déposée en ligne via le portail de signalement cyber si votre département l'a activé. Vous pouvez simultanément signaler sur cybermalveillance.gouv.fr.

Nos sauvegardes sont chiffrées aussi que faire ? C'est le scénario le plus difficile. Les groupes ransomwares ciblent les sauvegardes en priorité pour maximiser la pression. Si vos sauvegardes locales et cloud sont compromises, faites appel immédiatement à un prestataire PRIS agréé ANSSI (via cybermalveillance.gouv.fr). Des outils de déchiffrement existent pour certaines familles de ransomware le site nomoreransom.org recense les clés de déchiffrement disponibles gratuitement. Ne payez pas avant d'avoir vérifié cette ressource.

Comment éviter d'être attaqué une deuxième fois après remédiation ? L'attaquant a eu accès à votre réseau. Il a cartographié vos systèmes et peut avoir laissé des backdoors. La remédiation doit impérativement inclure : identification et colmatage du vecteur d'entrée initial, réinitialisation de tous les mots de passe (utilisateurs et comptes de service), activation du MFA sur tous les accès, vérification des comptes admin et suppression des comptes créés par l'attaquant, déploiement ou renforcement de l'EDR. Sans ces étapes, une deuxième attaque dans les 3 mois est statistiquement probable.

À lire aussi

• EDR Microsoft Defender for Business : faut-il payer pour un autre ? — Comprendre l'EDR et pourquoi le MDR est indispensable
• Hardening de postes de travail : le guide pragmatique — Réduire la surface d'attaque avant qu'il ne soit trop tard

‍