Ransomware en entreprise : que faire et qui appeler

À faire tout de suite : coupez du réseau les machines touchées sans les éteindre, débranchez les sauvegardes encore connectées, prévenez vos équipes sans passer par la messagerie de l'entreprise, et ne payez pas. Puis appelez votre prestataire. Si c'est Netsoluce, notre ligne directe est le 03 70 89 97 13.

Un rançongiciel, ou ransomware, chiffre vos fichiers et réclame un paiement contre la clé de déchiffrement.

Les gestes des premières minutes

Débrancher sans éteindre

Retirez le câble réseau et coupez le Wi-Fi des machines touchées. Tant qu'elles restent connectées, l'attaque se propage.

Mais n'éteignez pas les machines : leur mémoire vive peut contenir des traces de l'attaque, parfois même des clés de chiffrement. Éteindre les efface.

Protéger les sauvegardes

Un rançongiciel s'attaque aussi aux sauvegardes qu'il peut atteindre depuis le réseau. Si un disque externe ou un serveur de sauvegarde est encore connecté, débranchez-le immédiatement.

Une copie débranchée ou gardée chez un tiers reste à l'abri.

Communiquer autrement

N'utilisez pas la messagerie de l'entreprise : l'attaquant peut la lire, et ses pièces jointes peuvent être piégées. Prévenez vos équipes par téléphone, de vive voix ou par une messagerie personnelle, et demandez à chacun de ne plus rien ouvrir ni rallumer.

Ne pas payer

Payer ne garantit pas de récupérer vos données : la clé peut ne pas fonctionner ou ne restaurer qu'une partie des fichiers. Une entreprise qui a payé risque aussi d'être attaquée de nouveau. Les autorités françaises le déconseillent.

Qui alerter, dans quel ordre

• Votre prestataire informatique, en premier : il connaît votre parc et vos sauvegardes.
• Cybermalveillance.gouv.fr, le dispositif national d'assistance, et son service 17Cyber, qui oriente les victimes et les met en relation avec des prestataires référencés.
• Le CSIRT régional de Bourgogne-Franche-Comté, centre de réponse aux incidents.
• La gendarmerie ou la police, pour porter plainte au plus tard 72 heures après avoir pris connaissance de l'attaque. Sans cette plainte, votre assurance ne vous indemnisera pas (article L12-10-1 du code des assurances).
• La CNIL, si des données personnelles ont été exposées ou rendues indisponibles : dans les meilleurs délais et si possible sous 72 heures après en avoir pris connaissance (article 33 du RGPD).
• Votre assureur, si vous avez une garantie cyber, dans le délai prévu au contrat.

Ce qui détermine le délai de redémarrage

Trois choses comptent surtout.

• Une sauvegarde saine et hors ligne. Elle permet en général de repartir en quelques jours. Sans elle, comptez plutôt des semaines, et une partie des données peut être perdue.
• Un inventaire du parc à jour. Il indique quoi restaurer et dans quel ordre.
• Le point d'entrée. Il faut trouver par où l'attaquant est entré avant de rebrancher, même si cela prend du temps. Sinon, il peut revenir par le même chemin.

Ce que nous faisons quand un client nous appelle

Nous isolons les machines touchées, mesurons l'étendue de l'attaque, vérifions les sauvegardes et cherchons par où elle est entrée. Ensuite, nous reconstruisons sur une base saine avant de rebrancher. Le parc repart par étapes, en commençant par ce qui fait tourner l'activité.

Nous intervenons à Belfort, Montbéliard, Audincourt et dans le Nord Franche-Comté, depuis nos agences de Meroux-Moval et d'Audincourt. La marche à suivre est résumée sur la page urgence cyberattaque.

Après l'incident : ce qu'il faut mettre en place

Trois mesures limitent les dégâts d'une attaque : une sauvegarde hors ligne testée, un parc à jour, et des salariés qui savent reconnaître un message suspect.

Ces trois mesures s'installent en quelques semaines. Elles sont détaillées sur nos pages sauvegarde et continuité, cybersécurité et audit et formation des équipes.

Questions fréquentes

Faut-il éteindre les ordinateurs touchés par un ransomware ?

Non. Débranchez-les du réseau, mais laissez-les allumés : leur mémoire vive peut contenir des traces de l'attaque, parfois même des clés de chiffrement.

Faut-il payer la rançon ?

Non. Payer ne garantit pas de récupérer vos données et vous expose à une nouvelle attaque. Les autorités françaises le déconseillent.

Qui appeler après un piratage informatique en entreprise ?

Votre prestataire informatique d'abord. Puis Cybermalveillance.gouv.fr et son service 17Cyber, le CSIRT de Bourgogne-Franche-Comté, la gendarmerie ou la police pour la plainte, votre assureur, et la CNIL si des données personnelles sont touchées.

Combien de temps pour redémarrer après un rançongiciel ?

Avec une sauvegarde saine et hors ligne, comptez en général quelques jours. Sans elle, plutôt plusieurs semaines. Dans les deux cas, il faut d'abord trouver par où l'attaque est entrée.

Faut-il déclarer l'attaque à la CNIL ?

Oui, si des données personnelles ont été exposées ou rendues indisponibles : dans les meilleurs délais et si possible sous 72 heures après en avoir pris connaissance (article 33 du RGPD). Vous êtes dispensé de déclaration si la violation ne risque pas de porter atteinte aux droits et libertés des personnes. La règle vaut quelle que soit la taille de l'entreprise.