Ransomware : les bons réflexes dans la première heure

Un ransomware chiffre les fichiers et réclame une rançon pour les déchiffrer. Souvent, les attaquants ont aussi copié des données et menacent de les publier. Les premières décisions comptent : elles limitent la propagation et conservent les traces utiles à l'analyse.

Le plus important est de garder son calme et de suivre un ordre clair.

Les premiers gestes

• Isoler les machines touchées : débrancher le câble réseau et couper le Wi-Fi.
• Ne pas les éteindre brutalement sans avis : certaines traces utiles à l'analyse disparaissent à l'arrêt.
• Prévenir immédiatement votre prestataire informatique ou votre responsable IT, par le canal prévu au contrat (numéro de support s'il existe), et confirmer par écrit.
• Noter l'heure, ce qui a été constaté, et photographier le message de rançon.
• Ne brancher aucun disque de sauvegarde sur une machine touchée.

Ce qu'il faut éviter

• Supprimer des fichiers ou réinstaller les machines avant l'analyse.
• Contacter les attaquants seul.
• Communiquer par la messagerie interne, qui peut être surveillée : préférez le téléphone.
• Reconnecter les machines trop vite, avant d'avoir identifié la porte d'entrée.

Qui prévenir

• Votre prestataire informatique, qui peut coordonner la réponse technique selon votre contrat (souvent en régie si aucun service de réponse à incident n'est souscrit).
• Votre assureur, si vous avez une cyberassurance : beaucoup proposent une assistance et imposent des délais de déclaration.
• La police cantonale, pour déposer plainte.
• L'Office fédéral de la cybersécurité (OFCS), par son formulaire de signalement.
• Le Préposé fédéral à la protection des données (PFPDT), si des données personnelles sont touchées et qu'un risque élevé existe pour les personnes concernées.

Faut-il payer la rançon ?

Les autorités suisses recommandent de ne pas payer. Payer ne garantit ni l'obtention d'une clé qui fonctionne, ni la suppression des données volées, et finance de nouvelles attaques. Si la question se pose malgré tout, elle se traite avec l'assureur et des spécialistes, jamais dans l'urgence et seul.

Reprendre l'activité

• Restaurer depuis des sauvegardes saines, idéalement une copie immuable que l'attaque n'a pas pu atteindre.
• Reconstruire les machines plutôt que tenter de les nettoyer.
• Changer tous les mots de passe, en commençant par les comptes administrateurs.
• Identifier et fermer la porte d'entrée avant de tout reconnecter.
• Remettre les systèmes en service par ordre de priorité, selon votre plan de reprise.

Se préparer avant

Les entreprises qui s'en sortent le mieux ont préparé le terrain : des sauvegardes immuables et testées, la double authentification, des postes protégés et surveillés, des mises à jour suivies, et une feuille de réponse imprimée avec les contacts utiles. Un exercice d'une heure par an suffit à vérifier que chacun sait quoi faire.