Avant : la sauvegarde isolée, seule vraie assurance

Un rançongiciel chiffre ce qu’il atteint depuis la machine où il s’exécute. Tout ce qui est accessible en écriture depuis cette machine — dossiers partagés, lecteurs réseau, synchronisations, sauvegardes placées sur le même serveur — fait partie du périmètre chiffrable.

Une sauvegarde utile pour encaisser un chiffrement répond à trois critères :

  • Elle est séparée. Soit déconnectée après chaque copie (disque retiré), soit sur un compte que le poste de travail ne peut pas écrire directement. Une sauvegarde accessible par les mêmes identifiants que la machine compromise n’est pas une sauvegarde.
  • Elle garde de l’historique. Une seule copie récente permet de restaurer des fichiers déjà chiffrés. Il faut plusieurs dates, sinon l’opération ne sert à rien.
  • Elle a été testée en restauration. Une copie que personne n’a jamais relancée peut être silencieusement incomplète depuis des mois. Testez une restauration d’un fichier, puis d’un dossier, puis d’une base.

Le deuxième levier, plus rentable que le premier, est le poste de travail : comptes avec droits limités (pas d’administrateur local au quotidien), mises à jour appliquées sur les systèmes et les navigateurs, et services distants exposés — notamment le bureau à distance — protégés par un accès qui n’est pas devinable depuis l’extérieur.

Pendant : couper la propagation, pas la machine au mauvais moment

L’objectif des premières minutes est unique : empêcher le chiffrement d’atteindre d’autres postes et la sauvegarde.

  1. Déconnectez le réseau du poste touché — câble retiré, Wi‑Fi coupé. Laissez la machine allumée : éteindre peut détruire des éléments utiles à l’analyse et supprimer des traces.
  2. Coupez les partages et les synchronisations accessibles depuis ce poste, y compris sur les autres machines si un compte commun y est connecté.
  3. Ne reformatez rien, ne renommez rien, ne « tentez pas de réparer ». Chaque modification complique la reconstruction.
  4. Conservez le message de rançon et l’adresse de contact en capture, puis notez l’heure exacte du premier symptôme et ce qui a été ouvert ou reçu dans l’heure qui a précédé.
  5. Prévenez la personne qui doit décider. Une réponse à incident bloquée par l’attente d’une validation perd plus que le chiffrement lui-même.

Après : reconstruire plutôt que négocier

Payer ne remet jamais les données en l’état. Il n’existe aucune garantie de restitution, aucune garantie que la copie conservée par l’attaquant ne resservira, et le paiement finance la prochaine attaque — la vôtre ou une autre.

La sortie passe par une reconstruction : identifier la cause d’entrée, corriger ce qui l’a permise, puis repartir d’une sauvegarde antérieure à l’infection sur des machines remises à neuf. Un poste qui a exécuté un rançongiciel doit être considéré comme compromis jusqu’à reconstruction propre, pas « nettoyé » par un antivirus.

Deux points sont à traiter au même moment que la technique : les données clients qui se trouvaient sur le périmètre touché, et la continuité d’activité pendant la reconstruction. Ce sont souvent les questions qui prennent le plus de temps à trancher, et celles qu’un intervenant extérieur aide à cadrer.

À retenir

  • Une sauvegarde qui reste accessible en écriture depuis le poste de travail ne protège de rien.
  • En cas de chiffrement, on coupe le réseau et on laisse la machine allumée.
  • Personne ne reformate avant d’avoir compris par où l’intrusion est entrée.
  • Le plan se juge au premier incident : si personne ne sait quoi faire dans les dix premières minutes, il reste à écrire.