Le rançongiciel, ou ransomware, cherche à rendre des données et des systèmes indisponibles afin d’exiger un paiement. Certaines attaques s’accompagnent d’un vol d’informations et d’une menace de publication. Pour une PME, l’enjeu principal est de réduire les possibilités d’entrée, de limiter la propagation et de savoir restaurer les fonctions prioritaires.
Comprendre les voies d’entrée
Les attaquants exploitent fréquemment un message frauduleux, un compte compromis, un accès distant mal protégé ou une vulnérabilité non corrigée. L’attaque peut rester discrète pendant plusieurs jours : repérage des serveurs, recherche des sauvegardes, récupération de mots de passe puis déploiement du chiffrement au moment choisi.
La protection ne peut donc pas reposer sur un seul antivirus. Elle suppose plusieurs barrières complémentaires et une surveillance capable d’identifier des comportements inhabituels.
Réduire la surface d’attaque
Les services accessibles depuis Internet doivent être recensés et limités au strict nécessaire. Les accès d’administration et de télémaintenance méritent une attention particulière : authentification multifacteur, comptes nominatifs, restriction des adresses autorisées lorsque cela est possible et journalisation des connexions.
Les mises à jour de sécurité doivent être appliquées selon une procédure suivie. Les systèmes qui ne peuvent plus être corrigés doivent être remplacés, isolés ou protégés par des mesures compensatoires. Les droits administrateur ne devraient pas être utilisés pour les tâches quotidiennes.
Préparer des sauvegardes réellement restaurables
Une copie accessible en permanence depuis le réseau peut être chiffrée en même temps que les données de production. Il est donc nécessaire de conserver au moins une sauvegarde isolée, hors ligne ou protégée contre la modification depuis les comptes habituels.
La stratégie doit préciser les données incluses, la fréquence, la durée de conservation et l’ordre de restauration. Les tests sont indispensables : ils permettent de vérifier l’intégrité des copies, de mesurer le délai de reprise et d’identifier les dépendances oubliées, comme une licence, un annuaire ou la configuration d’un serveur.
Prévoir une procédure simple avant l’incident
Dans les premières minutes, les équipes auront peu de temps pour improviser. Une fiche accessible hors du système informatique doit indiquer qui alerter, comment isoler les équipements, quelles coordonnées utiliser et quelles activités doivent être maintenues en priorité.
Il est utile de disposer d’un inventaire minimal des équipements, des comptes sensibles et des prestataires. Les sauvegardes, les contrats, les numéros utiles et les procédures ne doivent pas dépendre uniquement d’un serveur potentiellement indisponible.
Que faire lorsqu’une attaque est constatée ?
Les équipements manifestement compromis doivent être isolés du réseau afin de limiter la propagation. Selon la situation, cela peut consister à débrancher le câble réseau ou à désactiver le Wi-Fi, sans éteindre précipitamment la machine. Une extinction peut faire disparaître des éléments utiles à l’analyse. Les autres postes ne doivent pas être utilisés pour rechercher les fichiers chiffrés ou tester des comptes.
L’incident doit être signalé immédiatement au responsable désigné et au prestataire chargé de la réponse. Il convient de conserver les messages reçus, les notes de rançon, les horaires, les captures disponibles et toute information susceptible d’aider à comprendre l’attaque. Le dépôt de plainte et le signalement auprès des services compétents doivent être envisagés rapidement.
Éviter une reprise trop rapide
Restaurer les sauvegardes sans avoir identifié le point d’entrée expose à une nouvelle compromission. Avant la remise en service, il faut contrôler les comptes, réinitialiser les secrets nécessaires depuis un environnement sain, corriger les vulnérabilités et vérifier que les sauvegardes utilisées précèdent l’attaque.
La reprise gagne à être progressive. Les services critiques sont restaurés en premier, puis surveillés. Un retour d’expérience doit ensuite transformer les constats de l’incident en mesures concrètes : segmentation, renforcement des accès, amélioration des sauvegardes ou sensibilisation ciblée.
Face à un rançongiciel, la priorité est de contenir l’attaque et de préserver les éléments utiles à l’analyse. Une décision précipitée peut aggraver la propagation ou compliquer la reprise.