Ransomware (rançongiciel) : que faire quand votre entreprise est touchée ?

Votre entreprise est touchée par un rançongiciel ? Fichiers chiffrés, message de rançon, activité à l'arrêt ? N'agissez pas dans la précipitation, les premières minutes comptent. Appelez le 06 14 87 10 94, j'interviens en urgence, à distance et sur place dans l'Yonne.

Un ransomware (ou rançongiciel) est un logiciel malveillant qui chiffre vos fichiers, puis exige une rançon pour, en théorie, vous rendre l'accès. Pour une TPE ou une PME, c'est l'un des pires scénarios : documents inaccessibles, comptabilité bloquée, production à l'arrêt, parfois données clients volées. La bonne nouvelle, c'est qu'avec les bons réflexes, on limite fortement les dégâts, et qu'une entreprise bien préparée s'en remet sans payer.

Comment reconnaître une attaque par rançongiciel

Les signes ne trompent généralement pas :

Vos fichiers portent une extension inhabituelle et ne s'ouvrent plus (par exemple facture.pdf.locked).
Un fichier texte ou une fenêtre apparaît sur chaque dossier avec un message de rançon, souvent en anglais, réclamant un paiement en cryptomonnaie.
Vos logiciels métier affichent des erreurs, vos partages réseau deviennent illisibles.
Votre fond d'écran a changé, ou un compte à rebours s'affiche.

Si vous constatez cela sur un poste, considérez que tout le réseau est potentiellement concerné : un rançongiciel cherche à se propager d'une machine à l'autre.

Les bons réflexes dans les premières minutes

L'objectif immédiat est simple : arrêter la propagation et préserver ce qui peut l'être.

Isolez les machines touchées du réseau. Débranchez le câble Ethernet, coupez le Wi-Fi. Déconnectez aussi les disques externes, clés USB et NAS si vous le pouvez : ils sont des cibles prioritaires.
N'éteignez pas brutalement les postes concernés. Contrairement à une idée reçue, un arrêt forcé peut détruire des informations utiles à l'analyse (et parfois des clés de déchiffrement présentes en mémoire). Isolez, mais laissez allumé si possible en attendant un avis technique.
Prévenez vos collaborateurs d'arrêter d'utiliser les postes et de ne surtout pas ouvrir de nouvelles pièces jointes.
Photographiez le message de rançon et notez l'heure de découverte. Ces éléments serviront pour la plainte et l'analyse.
Coupez les accès sensibles (VPN, accès distants, comptes administrateur) pour éviter que l'attaquant ne revienne.

Ce qu'il ne faut surtout pas faire

Ne payez pas la rançon. C'est la recommandation constante de l'ANSSI et de cybermalveillance.gouv.fr. Payer ne garantit rien : de nombreuses entreprises ne récupèrent jamais leurs données, ou reçoivent un outil de déchiffrement défaillant. Vous financez une organisation criminelle et vous vous désignez comme une cible qui paie, donc à réattaquer.
Ne supprimez rien et ne réinstallez pas dans la panique : vous détruiriez des preuves et compliqueriez la restauration.
Ne reconnectez pas une machine « qui a l'air d'aller » au reste du réseau avant qu'elle soit vérifiée.
Ne payez aucun « support technique » qui vous contacte spontanément après l'attaque : c'est souvent une seconde arnaque.

Faut-il déclarer l'attaque ? (et à qui)

Oui, plusieurs démarches sont importantes, voire obligatoires :

Déposez plainte auprès de la gendarmerie ou du commissariat. Le rançongiciel est un délit, et le dépôt de plainte est souvent exigé par votre assurance.
Signalez sur cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes, qui oriente et met en relation avec des prestataires.
Notifiez la CNIL sous 72 heures si des données personnelles (clients, salariés) ont pu être consultées ou volées : c'est une obligation du RGPD, et l'attaquant exfiltre désormais souvent les données avant de chiffrer.
Prévenez votre assureur si vous disposez d'une garantie cyber : la prise en charge dépend souvent de la rapidité de déclaration.

Restaurer sans payer : la sauvegarde est la clé

La seule vraie réponse à un rançongiciel, c'est la restauration à partir de sauvegardes saines. C'est pour cela que la règle 3-2-1 de sauvegarde est vitale : trois copies, sur deux supports différents, dont une hors site et déconnectée. Une sauvegarde branchée en permanence sur le réseau est chiffrée en même temps que le reste, elle ne sert alors à rien.

La remise en route se fait dans l'ordre : on identifie le point d'entrée et l'étendue de l'infection, on éradique le logiciel malveillant, on reconstruit les postes sur une base propre, on restaure les données depuis une sauvegarde vérifiée, puis on change tous les mots de passe (voir gérer les mots de passe de son entreprise). Rebrancher trop vite sans nettoyage complet, c'est risquer une seconde vague.

Comment j'interviens

Face à un rançongiciel, le temps et la méthode font la différence. Concrètement, je prends le relais sur : l'isolation et le confinement de l'attaque, le diagnostic (quel poste, quelle porte d'entrée, quelles données touchées), l'éradication et la reconstruction propre des machines, la restauration de vos données à partir des sauvegardes, l'accompagnement dans les démarches (plainte, CNIL, assurance) et le durcissement pour que ça ne se reproduise pas.

Vous êtes attaqué maintenant ? Appelez le 06 14 87 10 94. Chaque heure compte.

Éviter la prochaine attaque (et dormir tranquille)

La plupart des rançongiciels entrent par une pièce jointe piégée, un mot de passe faible ou réutilisé, un accès distant mal protégé ou un logiciel non mis à jour. La prévention n'a rien de sorcier, mais elle demande de la régularité :

Des sauvegardes automatiques, hors ligne et testées (une sauvegarde jamais testée est une sauvegarde qui n'existe pas).
Un antivirus/EDR à jour et surveillé, pas seulement installé.
La double authentification (MFA) sur les accès distants et la messagerie.
Les mises à jour de sécurité appliquées rapidement.
Un minimum de sensibilisation des équipes aux emails piégés (un site piraté est souvent le premier symptôme d'une hygiène à revoir).

Le problème, c'est que « le faire régulièrement » est exactement ce qu'une petite structure n'a pas le temps de tenir. C'est là que l'infogérance prend tout son sens : je prends en charge la sauvegarde, la sécurité, les mises à jour et la surveillance de votre informatique au quotidien, avec un interlocuteur unique. Vous ne subissez plus, vous êtes couvert. Comprendre l'infogérance, ou parlons-en directement, 06 14 87 10 94.

Questions fréquentes

Peut-on déchiffrer les fichiers sans payer ? Parfois. Pour certaines familles de rançongiciels, des outils de déchiffrement gratuits existent (projet No More Ransom). C'est l'une des premières choses à vérifier avant toute autre décision.

Combien de temps pour repartir ? Avec des sauvegardes saines et récentes, souvent un à quelques jours selon la taille du parc. Sans sauvegarde exploitable, c'est beaucoup plus long et incertain, d'où l'importance de la prévention.

Mon entreprise est trop petite pour être visée ? C'est l'inverse : les TPE et PME sont les cibles favorites, car moins protégées. La plupart des attaques ne sont pas ciblées, elles ratissent large et frappent qui est vulnérable.

En résumé : isolez, ne payez pas, préservez les preuves, déclarez, restaurez depuis une sauvegarde saine, puis durcissez. Et si vous voulez éviter d'en arriver là, faites de la sécurité une routine gérée plutôt qu'une urgence subie. Un doute, une urgence ? 06 14 87 10 94.