Rançongiciel : que faire dans les premières 24 heures ?
Isoler sans éteindre, ne pas payer, prévenir, porter plainte sous 72 h, notifier la CNIL : les bons réflexes en cas de rançongiciel dans une PME.
8 h 30. Un message s’affiche sur l’écran de la comptabilité : « Vos fichiers sont chiffrés. » Quelques minutes plus tard, d’autres postes réagissent de la même façon. Que faites-vous dans l’heure qui suit ?
Ce qui se joue dans les premières heures décide de la suite : ce que vous perdez, ce que vous pouvez prouver, et ce que vous pourrez restaurer. Ce guide reprend les réflexes recommandés par Cybermalveillance.gouv.fr, dans l’ordre où il faut les appliquer.
Débranchez le réseau, n’éteignez rien, ne payez pas, et appelez votre informaticien. Le détail est juste en dessous.
Les 24 premières heures en cinq étapes
Les premières minutes : isoler, sans éteindre
- Coupez la communication avec l’attaquant. Débranchez le câble réseau des machines touchées ou coupez leur Wi-Fi. Au besoin, éteignez la box ou le routeur pour couper Internet.
- Débranchez les sauvegardes connectées au réseau (disque USB, NAS) : ce sont elles que l’attaquant cherche ensuite. Nous expliquons pourquoi dans notre article sur la règle 3-2-1.
- N’éteignez pas les machines touchées. Leur mémoire peut contenir des traces utiles à l’enquête. Ne redémarrez pas non plus les machines épargnées.
Cyber Claw« Un disque de sauvegarde resté branché sur le réseau ? Merci, c’est mon plat préféré. »
La première heure : alerter les bonnes personnes
- Votre prestataire informatique, ou le parcours d’assistance de 17Cyber.gouv.fr si vous n’en avez pas.
- La direction : une personne décide, une autre note. Tenez un journal horodaté de chaque action (qui, quoi, à quelle heure).
- Vos équipes, avec trois consignes simples : on n’éteint rien, on ne rallume rien, on ne répond pas aux attaquants.
Les heures suivantes : préserver et comprendre
- Gardez les preuves : photographiez le message de demande de rançon, conservez les fichiers chiffrés et les journaux des machines, idéalement avec l’aide d’un professionnel.
- Ne réinstallez rien avant d’avoir porté plainte. Réinstaller efface des traces dont les enquêteurs ont besoin.
- Faites le point sur ce qui est touché : postes, serveurs, NAS, messagerie. Les données en ligne sont concernées aussi : voir notre article sur la sauvegarde de Microsoft 365.
Faut-il payer la rançon ?
Non. Rien ne garantit que vos données vous soient rendues, ni qu’elles ne soient pas diffusées ensuite. Payer ne vous dispense d’ailleurs d’aucune des déclarations ci-dessous.
Payer une rançon, c’est acheter une promesse à quelqu’un dont le métier est de ne pas la tenir.
Les déclarations à faire dans les 72 heures
| Qui prévenir | Pourquoi | Quand |
|---|---|---|
| Police ou gendarmerie | Dépôt de plainte. Si votre contrat d’assurance couvre le risque cyber, il conditionne votre indemnisation (article L. 12-10-1 du code des assurances). | Au plus tard 72 heures après avoir eu connaissance de l’attaque |
| Votre assureur | Déclarer le sinistre dans les conditions prévues par votre contrat. | Selon le contrat : relisez le délai de déclaration |
| La CNIL | Notifier la violation si des données personnelles (clients, salariés) sont concernées. | Dans les meilleurs délais, si possible sous 72 heures (RGPD, article 33) |
Le délai de 72 heures court à partir du moment où vous découvrez l’attaque, pas de la date à laquelle elle a commencé. Même si vous estimez qu’une notification à la CNIL n’est pas nécessaire, la violation doit être consignée dans un registre interne avec votre analyse.
Restaurer : après l’analyse, pas avant
Quand l’intrusion est comprise et les systèmes remis au propre, vous restaurez vos données depuis une sauvegarde antérieure à l’attaque, dont vous avez vérifié qu’elle n’est pas infectée. C’est ce jour-là que votre sauvegarde 3-2-1 fait la différence : une copie hors ligne ou immuable, des identifiants différents de ceux de vos serveurs, une restauration déjà testée.
Secure Dog« Une sauvegarde hors ligne, testée, avec ses propres identifiants : ce jour-là, vous restaurez au lieu de négocier. »
Avant que ça arrive : le test des 30 secondes
Imprimez cette liste. Le jour de l’attaque, votre messagerie et vos documents seront peut-être illisibles : le plan doit exister ailleurs que sur vos postes.
☐ Vous savez qui décide et qui tient le journal des actions
☐ Une copie de vos données est hors ligne ou immuable
☐ Vous avez relu le délai de déclaration de votre contrat d’assurance cyber
☐ Vous savez en combien de temps vous pourriez redémarrer l’activité
Comment nous pouvons vous aider chez Netsecure it
Notre pôle Netsecure Protection met en place la sauvegarde cloud professionnelle et la protection de vos postes, pour que le jour J vous ayez quelque chose à restaurer. Vous voulez savoir où vous en êtes avant l’incident ? Demandez un audit de votre informatique ou un devis : nous vous répondons sous 24 h ouvrées.
Questions fréquentes
Faut-il éteindre les ordinateurs touchés ?
Non. Isolez-les du réseau (câble débranché, Wi-Fi coupé) mais laissez-les allumés : éteindre peut effacer des traces en mémoire utiles à l’enquête. Si le chiffrement est en cours, demandez conseil à un professionnel.
Peut-on récupérer ses fichiers sans payer ?
Oui, si vous disposez d’une sauvegarde saine antérieure à l’attaque. Pour certaines familles de rançongiciels, des outils de déchiffrement gratuits existent, par exemple sur No More Ransom, mais ce n’est jamais garanti.
Mon assurance cyber couvre-t-elle tout ?
Cela dépend de votre contrat : garanties, franchises, délais de déclaration. Retenez que le dépôt de plainte sous 72 heures est une condition légale de l’indemnisation lorsque le contrat couvre le risque cyber.
Dois-je prévenir mes clients ?
Si des données personnelles sont exposées et que le risque pour les personnes est élevé, le RGPD impose de les informer dans les meilleurs délais. Faites-vous accompagner pour la formulation.