Ransomware : ce qui se passe vraiment les 48 premières heures
9 min de lecture
Un message de rançon qui s'affiche sur les écrans, des fichiers qui ne s'ouvrent plus, parfois un compte à rebours affiché à l'écran : les premières minutes d'un ransomware sont celles où on prend le plus de mauvaises décisions, parce qu'on les prend dans la panique. Voici ce qui compte vraiment dans l'ordre.
La première réaction : isoler, pas éteindre
Le réflexe le plus courant — et le plus risqué — est d'éteindre les machines touchées. Un arrêt brutal peut détruire des preuves numériques utiles à l'enquête, et surtout empêcher de savoir jusqu'où le chiffrement est allé au moment de la coupure. Le bon geste est de débrancher le câble réseau ou de couper le Wi-Fi de chaque machine concernée, en laissant l'appareil allumé : cela stoppe la propagation sans perdre d'informations.
Ce qu'il faut faire dans l'heure
- Isoler tous les postes et serveurs suspects du réseau, y compris le Wi-Fi et les accès distants.
- Identifier et couper les comptes administrateur qui auraient pu être compromis.
- Vérifier l'état réel des sauvegardes — sont-elles atteintes, ou isolées et donc intactes ?
- Prévenir votre assurance cybersécurité si vous en avez une, avant d'entreprendre quoi que ce soit d'irréversible : certains contrats imposent de passer par un prestataire agréé.
Les décisions qui aggravent les dégâts
Redémarrer les serveurs « pour voir si ça repart » est l'erreur la plus fréquente : certains ransomwares poursuivent leur chiffrement ou se propagent davantage au redémarrage. Reconnecter une sauvegarde externe à un réseau encore compromis avant d'avoir confirmé qu'il est assaini est une autre erreur classique — c'est ainsi que des sauvegardes de secours se retrouvent chiffrées à leur tour.
Payer la rançon dans la précipitation, sans avoir évalué les alternatives, est également risqué : rien ne garantit l'obtention d'une clé de déchiffrement fonctionnelle, et le paiement peut avoir des conséquences légales selon le bénéficiaire.
Le reste des 48 heures
Une fois l'urgence immédiate maîtrisée vient le diagnostic : quelle a été la porte d'entrée, quelle est l'étendue réelle du chiffrement, quelles sauvegardes sont exploitables. C'est ce diagnostic qui conditionne la suite — restauration depuis une sauvegarde saine dans le meilleur des cas, reconstruction plus longue si les sauvegardes sont elles aussi touchées.
C'est également le moment de communiquer, en interne et parfois vers vos clients ou partenaires si leurs données ont pu être concernées — un ransomware non déclaré qui refait surface ailleurs coûte toujours plus cher qu'une communication maîtrisée dès le départ.
Ce qui change tout, en amont
Tout ce qui précède suppose une chose : disposer d'une sauvegarde saine et testée. C'est exactement le sujet de l'article sur les sauvegardes immuables — sans cette base, les 48 premières heures se transforment en semaines.