Ransomware : ce qu'il faut faire dans les 30 premières minutes

Un salarié vous appelle, affolé : « Mon PC affiche un message bizarre en anglais qui demande de payer en bitcoins. Les fichiers sont tous renommés .locked. » Vous avez entre 5 et 30 minutes pour limiter les dégâts avant que le ransomware n'atteigne vos sauvegardes et le reste de l'entreprise. Voici exactement ce qu'il faut faire — dans l'ordre.

Minute 0-5 : ARRÊTER la propagation

Débrancher immédiatement le poste infecté

• Débrancher le câble réseau (ou désactiver le Wi-Fi en force : touche avion, bouton physique)
• NE PAS éteindre le PC — on y reviendra plus tard, certains outils d'analyse ont besoin de la RAM vivante
• Le poste est maintenant isolé : le ransomware ne peut plus se propager par le réseau

Avertir tous les salariés en 30 secondes

Un cri dans l'open space ou un message Teams massif : « Attention, ransomware sur un poste. Débranchez immédiatement vos câbles réseau et désactivez le Wi-Fi, jusqu'à nouvel ordre. »

C'est violent mais indispensable : les ransomwares modernes se propagent latéralement en quelques minutes. Chaque poste restant connecté est une cible.

Isoler le serveur et le NAS

Si vous avez un serveur ou un NAS :

• Débrancher leur câble réseau aussi
• Ne pas les éteindre tant que vous ne savez pas s'ils sont déjà chiffrés

Minute 5-15 : ÉVALUER l'ampleur

Vérifier si d'autres postes sont touchés

Faites le tour physique des postes. Signes caractéristiques :

• Fichiers avec des extensions inhabituelles (.locked, .encrypted, .crypt, .wncry, suite aléatoire…)
• Fichiers texte ou HTML README.txt, HOW_TO_DECRYPT.html dans chaque dossier
• Un fond d'écran modifié avec le message de rançon
• Un PC qui rame soudainement très fort (le chiffrement est en cours)

Chaque poste suspect : débranché, mais pas éteint.

Vérifier la sauvegarde cloud

Si votre sauvegarde est automatique vers le cloud, il y a un risque critique : si le ransomware a commencé à chiffrer il y a plusieurs heures, les versions chiffrées ont pu être synchronisées. Deux actions :

• Suspendre immédiatement la synchronisation (couper le service, désactiver l'agent)
• Interdire toute suppression côté cloud le temps de l'analyse

C'est le moment où avoir du versionning sur la sauvegarde (30 à 90 jours d'historique) fait la différence entre une restauration en 2 jours et une perte totale.

Noter l'heure de première détection

Essentiel pour la suite : quand le premier salarié a-t-il remarqué quelque chose ? Quels fichiers ont été modifiés en dernier avant ? Ces informations permettent de dater l'intrusion et de choisir à quel moment restaurer.

Minute 15-30 : APPELER les bons interlocuteurs

1. Votre prestataire IT (ou expert cyber)

Le premier appel. Il va vous guider et prendre la main sur la gestion technique.

2. Votre assurance cyber (si vous en avez une)

Appel immédiat, car la plupart des polices exigent une déclaration dans les 48h et imposent un expert agréé pour l'intervention. Ne commencez aucun paiement à qui que ce soit sans leur accord — vous perdriez la couverture.

3. La CNIL (dans les 72h si données personnelles concernées)

Si des données personnelles ont été chiffrées ou potentiellement exfiltrées, vous avez 72 heures légalement pour notifier la CNIL via leur formulaire de violation de données. Ne pas le faire = amende administrative possible.

4. La gendarmerie / police

Déposez plainte, c'est important pour :

• L'assurance (pièce justificative)
• Les statistiques nationales (ANSSI)
• La possibilité (rare) de récupérer des clés de déchiffrement si la gendarmerie démantèle le groupe

Dédié aux entreprises : cybermalveillance.gouv.fr oriente vers les bons interlocuteurs.

Ce qu'il ne faut SURTOUT PAS faire

Payer la rançon

L'ANSSI, le FBI, Europol, toutes les autorités sont alignées : ne payez jamais. Les raisons :

• Dans 50 % des cas, les attaquants ne restituent pas les clés même après paiement
• Les clés fournies déchiffrent souvent mal (fichiers corrompus)
• Vous financez le groupe criminel pour sa prochaine attaque
• Vous êtes marqué comme "payeur" : vous serez re-ciblé dans les 6 mois
• En France, payer peut être considéré comme financement d'activité criminelle et pose un problème légal avec votre assurance

Redémarrer ou éteindre les PC "pour voir"

Vous détruiriez des informations volatiles essentielles à l'enquête technique.

Essayer de déchiffrer vous-même avec des outils trouvés sur Google

À 99 % des outils que vous trouverez sont eux-mêmes des arnaques. L'outil légitime à connaître : No More Ransom (nomoreransom.org, projet Europol + Kaspersky + McAfee) qui propose des déchiffreurs vérifiés pour les ransomwares dont les clés sont connues.

Communiquer en externe trop vite

Avant d'annoncer à vos clients, assurez-vous d'avoir les faits : quelles données ? De qui ? Depuis quand ? Une communication floue ou contradictoire fait plus de dégâts que l'incident lui-même.

Comment éviter d'en arriver là

1. Sauvegarde hors ligne (ou immuable)

C'est la seule vraie parade. Une sauvegarde qui n'est pas accessible depuis le réseau au moment de l'attaque. Soit physiquement débranchée en rotation, soit "immuable" (cloud qui refuse toute modification/suppression pendant X jours).

Sans ça, un ransomware moderne va aussi chiffrer vos sauvegardes avant de se révéler. C'est leur mode opératoire standard.

2. 2FA sur tous les comptes administrateurs

La majorité des ransomwares entrent par des identifiants admin compromis. La 2FA bloque ça.

3. Antivirus professionnel avec EDR

Un antivirus pro avec module EDR détecte le comportement de chiffrement avant qu'il ne se généralise, et peut l'arrêter en quelques secondes.

4. Supervision et alerte

Un prestataire qui reçoit en temps réel les alertes de vos postes voit souvent le ransomware démarrer avant que le salarié n'ait eu le temps de dire « c'est bizarre ». C'est l'intérêt principal d'un forfait d'infogérance avec supervision.

En résumé : votre plan en 30 minutes

1. 0-5 min : débrancher le poste, alerter l'équipe, isoler serveur/NAS
2. 5-15 min : faire le tour, suspendre les sauvegardes, noter l'heure
3. 15-30 min : appeler IT, assurance, préparer la déclaration CNIL

Chez Depass Info, nos clients en forfait disposent d'un numéro d'urgence pour ce type de situation, et une procédure documentée a été mise au point à l'avance avec eux. Parce qu'un ransomware se gère beaucoup mieux quand on sait qui appeler et dans quel ordre.

Si vous voulez évaluer où vous en êtes sur ces questions, l'audit gratuit balaye l'ensemble des points de résistance de votre entreprise à ce type d'attaque.