Ransomware : le protocole d'urgence en 7 étapes

Un message s'affiche : vos fichiers sont chiffrés, une rançon est exigée. La panique est mauvaise conseillère. Les premières minutes déterminent l'ampleur des dégâts. Voici le protocole d'urgence à appliquer dans l'ordre — et les réflexes à ne surtout pas avoir.

1. Isoler immédiatement

Le rançongiciel se propage sur le réseau. Débranchez le câble réseau et coupez le Wi-Fi des machines touchées. Isolez aussi les sauvegardes et les disques externes encore connectés. L'objectif : stopper la contagion vers les autres postes et le serveur.

2. Ne pas éteindre, mais déconnecter

Contrairement à l'instinct, n'éteignez pas brutalement les machines infectées : certaines informations utiles à l'analyse (et parfois des clés de déchiffrement en mémoire) sont perdues à l'extinction. Déconnectez du réseau, mais laissez les postes allumés en attendant un avis technique.

3. Ne jamais payer la rançon

Payer ne garantit rien : dans de nombreux cas, les fichiers ne sont pas restitués, ou seulement en partie. Surtout, payer finance et encourage les attaquants, et fait de vous une cible récurrente. C'est aussi la recommandation officielle des autorités.

4. Prévenir les bonnes personnes

• Votre prestataire informatique / infogérant en priorité, pour piloter la réponse technique.
• La direction et les équipes (consigne : ne plus rien ouvrir, ne rien brancher).
• Votre assurance si vous avez une garantie cyber.

5. Signaler officiellement

Le signalement est important — pour vous protéger juridiquement et alimenter la lutte contre la cybercriminalité :

• cybermalveillance.gouv.fr : diagnostic et mise en relation avec des prestataires.
• Plainte auprès de la police ou gendarmerie.
• CNIL sous 72h si des données personnelles sont concernées (obligation RGPD).

6. Restaurer depuis une sauvegarde saine

C'est ici que tout se joue. Si vous disposez d'une sauvegarde récente, hors ligne et testée, la remise en route est possible sans céder au chantage. On nettoie complètement les machines (réinstallation), on vérifie que la sauvegarde n'est pas elle-même infectée, puis on restaure.

7. Tirer les leçons et se renforcer

Une fois l'activité rétablie, on identifie la porte d'entrée (souvent un mail piégé ou un accès distant mal protégé) et on renforce : mises à jour, double authentification, filtrage des mails, sensibilisation des équipes et supervision continue.

La meilleure réponse, c'est la prévention

Aucun protocole d'urgence ne remplace une bonne préparation. Sauvegardes automatiques et hors ligne, sécurité gérée et équipes sensibilisées : c'est ce qui transforme une catastrophe potentielle en simple incident maîtrisé.