Procédure de maintenance
Rançongiciel : les premiers gestes, dans l'ordre
Face à un rançongiciel, on coupe d'abord l'attaquant du réseau, on isole les machines touchées sans les éteindre, on protège les sauvegardes, puis on alerte le prestataire, 17Cyber ou Cyber'Occ, et on porte plainte.
Face à un rançongiciel, le premier geste est de couper l'attaquant du réseau : déconnecter Internet et isoler les machines touchées, sans les éteindre. Viennent ensuite la protection des sauvegardes, l'alerte au prestataire informatique, la tenue d'un registre, la conservation des preuves et la plainte. Payer la rançon ne fait pas partie de la liste.
Un rançongiciel, en une phrase
Un rançongiciel compromet un équipement ou un système d'information pour en bloquer l'accès, chiffrer ou copier les données, puis réclamer une rançon : c'est la définition de la fiche réflexe de Cybermalveillance.gouv.fr. Pendant l'attaque, les cybercriminels cherchent souvent à détruire les sauvegardes pour empêcher la restauration, et peuvent menacer de publier les données volées. L'ANSSI consacre un guide entier au sujet, Attaques par rançongiciels, tous concernés.
Qui alerter depuis Nîmes et le Gard
Le premier appel va au prestataire informatique de l'entreprise, s'il en a un. À défaut, ou en parallèle, 17Cyber guide les victimes en ligne, et Cyber'Occ, le CSIRT territorial de la région Occitanie, accompagne les TPE, PME, collectivités et associations implantées dans la région, du lundi au vendredi. Le numéro d'urgence de Cyber'Occ est le 0 800 71 13 13. Gardez ces coordonnées sur papier, hors du système informatique : un réseau chiffré ne les affiche plus.
La procédure d'un prestataire du territoire, et celle des sources publiques
Ne pas éteindre le poste et isoler immédiatement la machine ou le segment réseau : c'est le premier geste que recommandent la fiche réflexe de Cybermalveillance.gouv.fr et Cyber'Occ, et celui par lequel s'ouvre la procédure de POWERiti, prestataire d'infogérance et de cybersécurité installé à Avignon et labellisé ExpertCyber. La procédure ci-dessous suit l'ordre des sources publiques ; comme la procédure d'urgence rançongiciel d'un prestataire d'infogérance, elle s'imprime et se range avec les numéros d'urgence, hors du système informatique. Si des données personnelles sont touchées, la notification à la CNIL s'ajoute aux gestes, et la plainte et l'aide disponible dans le Gard ont leur propre fiche.
La procédure
Réagir à un rançongiciel, étape par étape
Gardez sur papier les coordonnées du prestataire informatique, de 17Cyber et de Cyber'Occ, et désignez à l'avance qui prend les décisions pendant la crise.
Couper l'attaquant
Les premiers gestes empêchent l'attaque de se propager, sans effacer ses traces.
-
#
Couper Internet bloque la communication de l'attaquant avec le réseau interne.
Le détail de l'étape
C'est fait quand : La box ou le routeur qui relie l'entreprise à Internet est éteint ou débranché.
Comment vérifier : Depuis un poste du réseau, plus aucune page Internet ne s'ouvre.
Le piège : Couper le Wi-Fi d'un seul poste en laissant le reste du réseau relié à Internet.
-
#
Isoler une machine arrête la propagation ; l'éteindre effacerait des preuves contenues dans sa mémoire.
Le détail de l'étape
C'est fait quand : Le câble réseau de chaque machine touchée est débranché et son Wi-Fi désactivé, machine allumée.
Comment vérifier : Chaque machine isolée est notée dans le registre avec l'heure de son isolement.
Le piège : Éteindre les postes par réflexe : Cybermalveillance.gouv.fr ne prévoit une extinction, en veille prolongée de préférence, que si un chiffrement en cours pourrait être interrompu.
-
#
Les attaquants cherchent souvent à détruire les sauvegardes pour empêcher la restauration.
Le détail de l'étape
C'est fait quand : Les disques externes et le NAS de sauvegarde sont déconnectés du réseau.
Comment vérifier : Le prestataire confirme qu'aucune copie n'est plus joignable depuis le réseau attaqué.
Le piège : Brancher la copie hors ligne pour vérifier qu'elle est intacte, sur un réseau encore infecté.
-
#
Une machine épargnée parce qu'elle était éteinte peut être compromise à son tour au démarrage.
Le détail de l'étape
C'est fait quand : Les machines éteintes au moment de l'attaque restent éteintes jusqu'à l'avis du prestataire.
Comment vérifier : Les salariés ont reçu la consigne de ne rien allumer ni rebrancher.
Le piège : Rallumer un poste pour récupérer un fichier urgent.
Alerter et piloter
L'attaque contenue, l'entreprise alerte et organise la crise.
-
#
Le prestataire peut intervenir et prendre les mesures techniques ; sans prestataire, 17Cyber oriente vers l'aide adaptée.
Le détail de l'étape
C'est fait quand : Le prestataire, ou le parcours d'assistance 17Cyber, a pris l'incident en charge.
Comment vérifier : Le nom de l'interlocuteur et l'heure de l'alerte figurent dans le registre.
Le piège : Attendre d'avoir compris l'attaque pour donner l'alerte.
-
#
Cyber'Occ aide à identifier l'incident, indique les premiers gestes, aide à déposer plainte et met en relation avec des prestataires régionaux.
Le détail de l'étape
C'est fait quand : L'incident est déclaré au service d'urgence de Cyber'Occ, pendant ses heures d'ouverture.
Comment vérifier : Le registre note l'appel et les consignes reçues.
Le piège : Croire ce service réservé aux grandes organisations : il s'adresse aussi aux TPE et PME implantées en Occitanie.
-
#
Le registre sert aux enquêteurs et permet de tirer les enseignements de l'incident.
Le détail de l'étape
C'est fait quand : Un document daté, tenu hors du réseau attaqué, consigne chaque constat, décision et action avec son heure.
Comment vérifier : Une personne désignée tient le registre, et chaque intervenant lui rapporte ce qu'il fait.
Le piège : Tenir le registre sur un poste du réseau attaqué.
Ne pas payer, garder les preuves, porter plainte
Ces gestes protègent les suites judiciaires et la reprise de l'activité.
-
#
Payer ne garantit ni la récupération des données ni leur non-publication, et encourage les attaquants à recommencer.
Le détail de l'étape
C'est fait quand : La décision de ne pas payer est prise et consignée par la direction.
Comment vérifier : Aucun échange n'est engagé avec l'attaquant sans l'avis des enquêteurs ou d'un prestataire spécialisé.
Le piège : Négocier seul avec l'attaquant pour gagner du temps.
-
#
Journaux, copies des disques, message de rançon et fichiers chiffrés servent au signalement et à l'enquête.
Le détail de l'étape
C'est fait quand : Les preuves sont conservées, ou confiées à un professionnel, avant tout nettoyage des machines.
Comment vérifier : Le prestataire confirme ce qui a été copié avant toute réinstallation.
Le piège : Réinstaller les postes avant d'avoir copié les journaux et les disques.
-
#
L'ANSSI juge essentiel de porter plainte, et une violation de données personnelles se notifie à la CNIL.
Le détail de l'étape
C'est fait quand : La plainte est déposée avec les preuves, et la notification à la CNIL est faite ou écartée par écrit.
Comment vérifier : Le registre contient le récépissé de plainte et, le cas échéant, l'accusé de notification.
Le piège : Oublier le délai de notification à la CNIL pendant la remise en route.
Questions fréquentes
Faut-il éteindre un ordinateur touché par un rançongiciel ?
En règle générale, non : Cybermalveillance.gouv.fr demande de ne pas éteindre les machines touchées, pour ne pas effacer les preuves contenues en mémoire, et Cyber'Occ donne la même consigne. On les déconnecte du réseau. La fiche prévoit une exception : si le chiffrement est encore en cours, une extinction conservatoire, de préférence en veille prolongée, peut être envisagée.
Peut-on récupérer ses fichiers sans payer la rançon ?
Parfois. Le projet No More Ransom publie des outils de déchiffrement pour certaines familles de rançongiciels, et la restauration depuis une sauvegarde saine reste la voie la plus sûre. C'est pourquoi la copie hors ligne et le test de restauration, décrits sur la page du poste sauvegardes, se préparent avant l'incident, pas pendant.
Faut-il prévenir la CNIL après un rançongiciel ?
Oui si des données personnelles ont pu être consultées, copiées ou rendues indisponibles : c'est une violation de données. L'article 33 du RGPD impose de la notifier à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf absence de risque pour les personnes. La notification se fait sur le téléservice de la CNIL.
Où porter plainte après une cyberattaque à Nîmes ?
Au commissariat de police, à la brigade de gendarmerie, ou par écrit au procureur de la République du tribunal judiciaire dont dépend l'entreprise, comme l'indique la fiche réflexe de Cybermalveillance.gouv.fr ; la fiche Service Public sur le dépôt de plainte détaille les démarches. Cyber'Occ aide aussi à déposer plainte, et la page incidents : fiches réflexes reprend ces interlocuteurs.