Un lundi matin dans une petite entreprise de l’Eurométropole : les postes démarrent, mais les fichiers refusent de s’ouvrir. Les documents ont pris des extensions inconnues et un message s’affiche à l’écran, réclamant un paiement — souvent en cryptomonnaie — contre une clé de déchiffrement. C’est la signature d’un rançongiciel (ou ransomware) : un logiciel malveillant qui chiffre vos données et prend votre activité en otage.

Le premier réflexe est souvent le mauvais. On éteint tout d’un coup, on branche une clé USB pour « sauver ce qui reste », on appelle le numéro laissé par les pirates. Respirez. Une attaque se gère par étapes, et les décisions prises dans les premières heures pèsent lourd sur la suite. Voici, sous forme de cas pratique, ce qu’un dirigeant de TPE ou de PME peut faire au lieu de paniquer.

Reconnaître l’attaque et garder son sang-froid

Le rançongiciel ne se cache pas longtemps : se faire voir fait partie de son mode opératoire. Fichiers renommés avec une extension étrange, documents illisibles, lenteurs soudaines, et surtout une note de rançon posée bien en évidence sur le bureau ou dans chaque dossier. Parfois l’attaque est encore en cours : un poste continue de chiffrer des fichiers pendant que vous lisez ces lignes.

Avant tout, repérez l’ampleur. Un seul poste touché ? Plusieurs ? Les serveurs et les partages réseau aussi ? Vous n’avez pas besoin d’un diagnostic complet pour agir, juste d’une idée claire de ce qui se propage. Notez l’heure, prenez une photo du message avec votre téléphone : ces éléments serviront plus tard.

Les premières heures : isoler avant tout

La priorité absolue, c’est de couper la propagation. Un rançongiciel cherche à se déplacer d’une machine à l’autre par le réseau. Débranchez le câble Ethernet des postes concernés, coupez le Wi-Fi, et si le doute porte sur plusieurs machines, isolez carrément le réseau de l’entreprise d’Internet et des autres appareils.

Un point important : ne branchez surtout pas votre disque de sauvegarde ni une clé USB sur une machine infectée pour « récupérer les fichiers ». Vous risqueriez de chiffrer aussi votre sauvegarde. De la même façon, évitez de vous connecter aux partages depuis un poste sain tant que la situation n’est pas maîtrisée. L’objectif de cette phase est simple : contenir, pas encore réparer. Un réseau bien segmenté aide énormément ici, ce qui se prépare bien en amont.

Faut-il éteindre les postes ? Ça dépend

C’est la question qui revient toujours. Éteindre brutalement peut sembler logique pour « stopper l’attaque », mais ce n’est pas toujours le bon choix. Certaines informations utiles à l’analyse — et parfois des éléments qui aident au déchiffrement — se trouvent dans la mémoire vive, qui disparaît à l’extinction.

La règle raisonnable : déconnectez du réseau, mais laissez la machine allumée si un spécialiste peut l’examiner rapidement. Si en revanche un poste est visiblement en train de chiffrer vos fichiers à toute vitesse et que personne ne peut intervenir dans l’immédiat, le mettre hors tension pour limiter la casse reste défendable. Il n’y a pas de réponse unique ; il y a le contexte. En cas de doute, un appel à votre prestataire informatique avant d’agir évite bien des regrets.

Prévenir les bonnes personnes, ne pas payer

Une fois la propagation contenue, alertez. En interne d’abord : demandez à chacun d’arrêter d’utiliser les machines et de ne rien brancher. Prévenez ensuite votre interlocuteur informatique, votre assurance si vous avez une garantie cyber, et — si des données personnelles sont concernées — sachez que la réglementation impose une déclaration à la CNIL sous 72 heures.

Sur la question du paiement, la position est claire : ne payez pas. Rien ne garantit que les pirates vous rendront vos données, payer finance directement leur activité, et cela vous désigne comme une cible qui cède. Beaucoup d’entreprises ayant payé ont été attaquées de nouveau. L’argent d’une rançon est presque toujours mieux investi dans une vraie remise en état.

Porter plainte et restaurer proprement

Un rançongiciel est une infraction pénale. Portez plainte auprès de la gendarmerie ou de la police, avec les éléments que vous avez conservés (photo du message, heure, liste des postes touchés). La plateforme publique cybermalveillance.gouv.fr oriente aussi les professionnels et recense des prestataires.

La restauration, elle, ne s’improvise pas. On ne rebranche pas les sauvegardes sur un réseau encore contaminé. La bonne séquence : nettoyer ou réinstaller les machines infectées, s’assurer que la menace a bien disparu, puis restaurer les données depuis une sauvegarde saine, idéalement une copie qui était hors ligne au moment de l’attaque. C’est un travail méthodique, où une assistance technique à distance ou sur site fait gagner un temps précieux et évite de tout recommencer parce qu’un fichier vérolé s’était glissé dans la copie.

Ce qui limite les dégâts, avant l’attaque

Le bon moment pour se préparer, c’est quand tout va bien. Trois chantiers font la différence.

  • Des sauvegardes testées et hors ligne. Une sauvegarde qu’on n’a jamais essayé de restaurer n’est qu’une hypothèse. Gardez plusieurs copies, dont une déconnectée du réseau, et vérifiez régulièrement qu’elles se restaurent vraiment.
  • Des mises à jour à jour. Systèmes, logiciels, antivirus, équipements réseau : la plupart des attaques exploitent des failles connues et déjà corrigées ailleurs. Un parc suivi ferme beaucoup de portes, ce qui passe par une maintenance régulière du parc informatique.
  • Des équipes sensibilisées. La majorité des rançongiciels entre par un e-mail piégé ou une pièce jointe ouverte trop vite. Quelques réflexes simples, partagés avec vos collaborateurs, valent tous les logiciels du monde.

Ces trois piliers, associés à un antivirus sérieux et à des droits d’accès limités au strict nécessaire, forment une défense solide. C’est tout l’esprit de notre travail pour vous aider à sécuriser votre entreprise contre les rançongiciels : moins de panique le jour J parce que tout a été pensé en avance.

Vous êtes en pleine attaque, ou vous voulez vous mettre à l’abri avant qu’elle arrive ? Depuis 1994, notre atelier d’Ostwald accompagne les entreprises du Bas-Rhin et de l’Eurométropole sur exactement ces sujets. Écrivez-nous ou passez nous voir via la page contact : mieux vaut poser vos questions un jour de calme qu’un lundi matin de crise.