Rançongiciel : que faire dans les 24 premières heures

Les deux erreurs qui coûtent le plus cher

La première est d'éteindre brutalement les machines : on perd alors des éléments utiles à l'analyse, et parfois des données en cours d'écriture. La seconde est de restaurer immédiatement les sauvegardes sur un réseau encore infecté : le chiffrement recommence, et cette fois les sauvegardes sont elles aussi touchées.

Heure par heure

Première heure — isoler

• Débranchez le câble réseau des postes touchés, coupez le Wi-Fi, mais ne les éteignez pas.
• Isolez le serveur de sauvegarde du réseau, immédiatement : c'est la cible suivante.
• Coupez les accès distants (VPN, bureau à distance) le temps du diagnostic.

Deux à quatre heures — constater

• Photographiez les écrans, conservez le message de rançon : ce sont des éléments de preuve.
• Identifiez l'étendue : quels serveurs, quels partages, quelles boîtes mail.
• Vérifiez si vos sauvegardes sont intactes et hors ligne.

Le premier jour — décider

• Prévenez la direction et, si des données personnelles sont concernées, préparez la notification prévue par la loi 09-08.
• Déposez plainte : c'est souvent exigé par les assurances et indispensable en cas de suite judiciaire.
• Reconstruisez sur un environnement propre, puis restaurez — jamais l'inverse.

Payer la rançon ?

Rien ne garantit la restitution des données, et le paiement désigne l'entreprise comme solvable pour de futures attaques. Les cas où le paiement est envisagé sont ceux où il n'existe aucune sauvegarde exploitable — c'est-à-dire une situation qui aurait dû être évitée en amont, à un coût sans commune mesure.

Ce qui fait vraiment la différence, avant l'incident

• Une sauvegarde hors ligne ou immuable, qu'un attaquant disposant des droits d'administrateur ne peut pas effacer.
• Une restauration testée : une sauvegarde jamais restaurée est une hypothèse, pas une sécurité.
• La double authentification sur la messagerie et les accès distants, porte d'entrée de la majorité des intrusions.
• Des comptes administrateurs distincts des comptes quotidiens.

Nous aidons les entreprises marocaines à mettre en place ces quatre points avant qu'ils ne deviennent urgents. Voir la règle 3-2-1-1-0 et le plan de reprise d'activité, ou contactez-nous.