Ransomware : comment réagir dans les premières 24 heures

Découvrir au petit matin que les serveurs de l'entreprise sont inaccessibles et que les fichiers portent une extension inconnue accompagnée d'une note de rançon est le pire cauchemar de tout responsable informatique. Dans ces premières heures critiques, la panique pousse souvent à commettre des erreurs irréparables : redémarrer les serveurs, effacer les journaux ou tenter de négocier précipitamment. Une réponse à incident méthodique permet de limiter la propagation et de maximiser les chances de reprise.

Phase 1 : Isoler immédiatement sans éteindre

La priorité absolue est de stopper l'hémorragie. Débranchez les câbles réseau des machines infectées, coupez le Wi-Fi, désactivez les tunnels VPN et isolez les VLAN compromis au niveau des commutateurs. En revanche, n'éteignez pas les serveurs brutalement (sauf si le chiffrement est visiblement en cours sur des volumes critiques non sauvegardés). Couper l'alimentation détruit le contenu de la mémoire vive (RAM), où résident parfois les clés de chiffrement temporaires et les traces des processus malveillants.

Débrancher le câble réseau stoppe la propagation ; laisser la machine allumée préserve les preuves en mémoire vive.

Phase 2 : Préserver les preuves et identifier la souche

Avant toute tentative de nettoyage, réalisez des snapshots des machines virtuelles ou des images disques pour l'analyse forensique. Notez l'extension des fichiers chiffrés et conservez une copie de la note de rançon. Des plateformes comme 'ID Ransomware' ou 'No More Ransom' permettent parfois d'identifier la famille du rançongiciel et de vérifier si un outil de déchiffrement gratuit existe déjà.

Phase 3 : Vérifier les sauvegardes et déclarer l'incident

Ne reconnectez jamais vos sauvegardes hors ligne (cold backups) sur le réseau tant que le point d'entrée de l'attaquant n'a pas été identifié et colmaté, sous peine de voir vos archives chiffrées à leur tour. Parallèlement, activez votre cellule de crise : prévenez votre assurance cyber, déposez plainte auprès des autorités compétentes et, si des données personnelles sont concernées, préparez la notification à la CNIL dans le délai légal de 72 heures.