Un rançongiciel ne prévient pas. Un matin, les fichiers portent une extension bizarre, les applications métier ne s’ouvrent plus, et une note réclame un paiement en cryptomonnaie.

Ce qui se joue ensuite tient à trois choses, et elles se décident toutes avant l’attaque : la qualité de vos sauvegardes, le cloisonnement de votre réseau, et le fait d’avoir ou non un plan écrit. Voici, heure par heure, ce qui se passe réellement.

Heure 0 : la découverte

Dans la plupart des cas, ce n’est pas un informaticien qui découvre l’attaque. C’est une assistante qui n’arrive plus à ouvrir un devis, ou un commercial dont le CRM affiche une erreur.

Le premier réflexe compte énormément. La bonne consigne, celle qu’il faut avoir donnée à vos équipes bien avant : ne rien éteindre, débrancher le câble réseau, et prévenir immédiatement. Éteindre un poste chiffré efface la mémoire vive, où se trouvent parfois les clés de déchiffrement. Le laisser connecté laisse le rançongiciel continuer sa progression vers les autres machines.

Les 4 premières heures : ce qu’il ne faut surtout pas faire

Trois erreurs reviennent systématiquement dans les dossiers que nous reprenons :

• Restaurer une sauvegarde tout de suite. Si l’attaquant est encore dans le réseau, vous lui offrez des données fraîches à chiffrer. On sécurise d’abord, on restaure ensuite.
• Brancher un disque externe pour récupérer des fichiers. Il sera chiffré dans les minutes qui suivent.
• Payer dans la panique. Nous y revenons plus bas.

Ce qu’il faut faire, en revanche : isoler le réseau du reste du monde, couper les accès distants, et noter l’heure de chaque action. Ce journal servira à l’assurance et au dépôt de plainte.

Entre 4 et 24 heures : l’état des lieux

La question n’est pas seulement de savoir quels fichiers sont chiffrés, mais depuis quand l’attaquant est chez vous. Dans les incidents que nous traitons, l’intrusion initiale date souvent de plusieurs semaines. Le chiffrement est la dernière étape, pas la première.

Concrètement, on vérifie :

• l’étendue du chiffrement, poste par poste et serveur par serveur
• l’état des sauvegardes, et surtout si elles étaient accessibles depuis le réseau (dans ce cas, elles sont souvent chiffrées elles aussi)
• les traces d’exfiltration, car la double extorsion est devenue la norme : on vous chiffre, et on menace de publier vos données
• les comptes compromis, en particulier les comptes administrateurs

C’est aussi le moment de déclarer l’incident à votre assurance et de déposer plainte. Si des données personnelles sont concernées, vous avez 72 heures pour notifier la CNIL.

De 24 à 72 heures : la remise en route

On ne remet pas une entreprise en ligne d’un coup. On reconstruit dans un environnement propre, en commençant par ce qui fait tourner l’activité : la messagerie, le logiciel de gestion, l’accès aux dossiers courants.

Un chiffre à garder en tête : chez une PME de 20 personnes correctement sauvegardée et cloisonnée, on parle de deux à quatre jours pour retrouver un fonctionnement normal. Sans sauvegarde exploitable, on parle de semaines, et parfois d’une reconstruction complète à partir de rien.

Faut-il payer la rançon ?

Les autorités françaises le déconseillent, et l’expérience leur donne raison. Payer ne garantit ni la restitution des fichiers, ni la destruction des données volées, et vous désigne comme une cible qui paie. Une partie des entreprises qui ont payé se font réattaquer dans l’année.

Depuis 2023, une entreprise assurée doit déposer plainte sous 72 heures pour que le versement d’une rançon soit couvert. Cela dit, la vraie réponse à cette question se prépare en amont : une PME qui a des sauvegardes hors réseau, testées, ne se pose jamais la question.

Ce qui fait la différence, et qui se prépare avant

Après un incident, les entreprises qui s’en sortent le mieux ont toutes les mêmes quatre éléments en place :

• Une sauvegarde déconnectée du réseau, ou immuable, et restaurée pour de vrai au moins une fois par an. Une sauvegarde qu’on n’a jamais testée n’est pas une sauvegarde, c’est une intention.
• L’authentification à deux facteurs sur la messagerie et les accès distants. C’est la mesure la moins chère et la plus efficace du lot.
• Un réseau cloisonné, pour qu’un poste infecté ne donne pas accès au serveur comptable.
• Un plan écrit, avec les numéros à appeler et qui décide quoi, imprimé sur papier. Le jour J, votre serveur de fichiers n’est plus accessible.

Chez Coreliance, à Roissy-en-Brie, nous accompagnons des PME d’Île-de-France sur exactement ces quatre points. La plupart de nos interventions d’urgence auraient pu être évitées pour le prix de quelques jours de travail en amont.

Questions fréquentes

Combien de temps dure une attaque par rançongiciel dans une PME ?

Le chiffrement lui-même prend quelques heures. La remise en route prend deux à quatre jours avec des sauvegardes exploitables, plusieurs semaines sans. L’intrusion, elle, précède souvent le chiffrement de plusieurs semaines.

Mon antivirus ne suffit-il pas ?

Non. Les rançongiciels actuels arrivent souvent par un compte volé plutôt que par un fichier infecté, et l’attaquant utilise ensuite des outils d’administration légitimes. L’antivirus ne voit rien d’anormal. Il faut y ajouter la double authentification, la supervision et le cloisonnement.

Une petite entreprise est-elle vraiment visée ?

Oui, et de plus en plus. Les attaques sont automatisées : les robots scannent les accès distants ouverts sans distinction de taille. Une PME de 10 personnes mal protégée est une cible plus rentable qu’un grand groupe bien défendu.

Et si on faisait le point sur votre situation ?

Un audit de sécurité prend une demi-journée et vous dit précisément où vous en êtes sur ces quatre points. Découvrez notre offre de cybersécurité pour les PME ou parlons-en directement au 06 67 08 91 91.