Rançongiciel : les décisions des premières heures

Quand les premiers fichiers chiffrés apparaissent, la pression est immédiate : la direction veut une date de reprise, les équipes TI veulent tout redémarrer, et l'assureur demande un numéro de dossier. Les décisions prises dans ces premières heures pèsent lourd sur la suite.

1. Isoler, sans éteindre

Le premier réflexe est souvent d'éteindre les serveurs touchés. C'est compréhensible, mais cela détruit la mémoire vive, qui contient parfois les clés, les processus malveillants et les connexions actives de l'attaquant.

Mieux vaut isoler : couper l'accès réseau des machines touchées (via l'EDR, les commutateurs ou le pare-feu), tout en les laissant allumées tant qu'une copie de la mémoire n'a pas été faite.

2. Couper les accès de l'attaquant

Un rançongiciel est presque toujours la dernière étape d'une intrusion commencée des jours, voire des semaines plus tôt. Tant que les accès de l'attaquant restent ouverts, restaurer revient à lui rendre un environnement propre.

Priorités habituelles :

désactiver les comptes compromis connus et révoquer leurs sessions et jetons, y compris dans M365 ou Entra ID ;
couper les accès distants non indispensables (VPN, bureaux à distance exposés, outils de télémaintenance) ;
surveiller les comptes à privilèges et les contrôleurs de domaine de près.

3. Préserver les preuves

L'enquête répondra à trois questions : par où l'attaquant est entré, ce qu'il a fait, et quelles données il a pu exfiltrer. Sans preuves, ces réponses restent des hypothèses, ce qui complique les échanges avec l'assureur et les obligations de notification.

Avant de nettoyer ou de réinstaller quoi que ce soit, conservez les journaux (pare-feu, VPN, EDR, Active Directory, M365), les copies de mémoire et les images des systèmes clés. La chaîne de possession compte.

4. Vérifier les sauvegardes avant de les utiliser

Les attaquants ciblent les sauvegardes en priorité. Avant de restaurer, il faut savoir si elles sont intactes, et surtout si elles sont saines : une sauvegarde prise après l'intrusion initiale peut contenir les portes dérobées de l'attaquant.

5. Organiser la communication

Désignez rapidement un responsable de crise, un canal de communication hors des systèmes compromis, et un rythme de points de situation. Prévenez votre assureur tôt : beaucoup de polices imposent des délais et des prestataires.

Ce qu'il faut éviter

Négocier ou payer seul, sans conseil juridique ni avis de l'assureur.
Réinstaller des serveurs avant d'avoir compris le vecteur d'entrée.
Communiquer publiquement sur l'ampleur de l'incident avant de la connaître.

Se préparer avant que cela arrive

Ces décisions sont beaucoup plus simples quand elles ont été réfléchies à froid. Un plan de réponse et un playbook rançongiciel, testés lors d'un exercice sur table, permettent de savoir qui décide quoi le jour où cela compte vraiment.