Rançongiciel en PME : que faire en cas d'attaque ?
Les gestes à faire dans l'heure, les personnes à prévenir, la question du paiement et la reconstruction. Un guide d'urgence à garder sous la main.
Dans l'heure : les premiers réflexes
- Isolez sans éteindre. Débranchez du réseau (câble, Wi-Fi) les machines touchées. Évitez d'éteindre brutalement : des traces utiles peuvent se trouver en mémoire.
- Protégez vos sauvegardes. Déconnectez-les immédiatement du réseau pour qu'elles ne soient pas chiffrées à leur tour.
- Prévenez votre référent informatique ou votre prestataire, et réunissez une petite cellule de crise : dirigeant, responsable IT, personne chargée de la communication.
- Ne touchez pas aux traces : photographiez les messages de rançon, notez l'heure, conservez les journaux.
- Changez les mots de passe depuis une machine saine, en commençant par les comptes administrateurs et la messagerie.
Qui prévenir et quelles obligations ?
- Demandez de l'aide : le dispositif national Cybermalveillance.gouv.fr met en relation avec des prestataires de réponse à incident ; il propose aussi une assistance en ligne (17Cyber).
- Déposez plainte auprès de la police ou de la gendarmerie, en apportant les éléments conservés. Si vous avez une cyber-assurance, prévenez rapidement votre assureur : la loi de 2023 (LOPMI) lie l'indemnisation à un dépôt de plainte dans un délai court après la connaissance de l'atteinte. Vérifiez le délai exact avec votre assureur et votre conseil.
- Données personnelles : si des données personnelles sont touchées, le RGPD impose en principe de notifier la CNIL dans les 72 heures après en avoir pris connaissance, sauf si la violation est peu susceptible d'engendrer un risque pour les personnes.
- Informez vos clients et partenaires concernés, avec des faits plutôt que des suppositions.
Faut-il payer la rançon ?
Les autorités françaises déconseillent de payer : rien ne garantit la restitution des données, le paiement finance les groupes criminels et vous désigne comme payeur potentiel pour de futures attaques. La décision vous appartient et mérite d'être prise avec votre avocat, votre assureur et un prestataire spécialisé, pas dans l'urgence.
Avant toute décision, vérifiez s'il existe un outil de déchiffrement public pour la variante en cause, et si vos sauvegardes permettent de repartir.
Reconstruire et éviter que ça se reproduise
- Comprendre comment l'attaquant est entré avant de reconstruire, sinon il reviendra par le même chemin.
- Reconstruire sur une base saine : réinstaller plutôt que « nettoyer » les systèmes compromis, restaurer depuis des sauvegardes vérifiées.
- Corriger la cause : MFA, mise à jour des équipements exposés, fermeture des accès d'administration inutiles (voir la checklist cybersécurité PME).
- Vérifier l'exposition résiduelle avec un audit réseau après remise en service.
- Capitaliser : compte rendu écrit, plan de réaction mis à jour, exercice de simulation.
Kapelgy intervient en prévention et en vérification après incident. Pour une attaque en cours, contactez d'abord un prestataire de réponse à incident ou les dispositifs publics ci-dessus.
Questions fréquentes
Faut-il éteindre les ordinateurs touchés ?
Il est recommandé de les débrancher du réseau plutôt que de les éteindre brutalement, afin de préserver des traces utiles à l'analyse. Suivez l'avis de votre prestataire de réponse à incident.
Mes sauvegardes me sauveront-elles ?
Si elles sont hors ligne ou non modifiables et que la restauration a été testée, oui, en grande partie. Sinon, elles sont souvent chiffrées en même temps que le reste.
Quel est le délai pour prévenir la CNIL ?
En cas de violation de données personnelles présentant un risque, le RGPD prévoit une notification à la CNIL dans les 72 heures après en avoir pris connaissance. Documentez la violation même si vous ne notifiez pas.
Comment éviter une prochaine attaque ?
En appliquant des mesures de base : MFA, mises à jour, sauvegardes testées, services d'administration non exposés, sensibilisation. Voir notre checklist.
Vérifier votre réseau après un incident
30 minutes pour cadrer votre besoin, sans engagement. Aucun test technique sans votre autorisation écrite.