Ransomware dans ta PME : ce que tu fais et ne fais pas dans la première heure

C'est lundi matin. Quelqu'un de l'administration ouvre un dossier sur le serveur et tous les fichiers ont soudain une extension bizarre. Sur le bureau, un message de rançon. À ce moment-là, ce qui compte n'est pas ce que tu sais de la cybersécurité, mais ce que tu fais dans la première heure. Dans une PME de quinze personnes, il y a rarement un service IT pour encaisser ça : cette première heure repose sur toi ou sur celui qui le découvre. Voici ce que tu fais, ce que tu évites, et qui tu préviens.

Comment reconnaître que c'est un ransomware ?

Un ransomware s'annonce rarement en douceur, mais on confond souvent les premiers signes avec un serveur lent ou une panne ordinaire. En pratique :

• Les fichiers reçoivent soudain une extension bizarre ou un nom illisible et ne s'ouvrent plus, même avec le bon programme.
• Un message de rançon apparaît : un fichier texte dans chaque dossier, un pop-up ou un fond d'écran modifié avec des instructions pour payer.
• Tout devient lent. Le chiffrement sollicite fortement l'appareil et le réseau : l'ordinateur et les dossiers partagés répondent à peine.
• Les dossiers partagés sur le serveur ou dans SharePoint sont illisibles pour plusieurs collègues à la fois.

Deux de ces signaux ou plus en même temps ? Traite-le comme un ransomware. Mieux vaut une fausse alerte qu'une heure perdue.

La première heure : étape par étape

L'objectif est simple : empêcher que ça empire, et conserver les traces pour ceux qui devront réparer. Suis les étapes dans cet ordre.

1. Isole l'appareil. Débranche le câble réseau et coupe le wifi. Le ransomware se propage par le réseau vers les autres ordinateurs et le serveur.
2. N'éteins pas l'appareil et ne le redémarre pas, sauf si ton partenaire IT le demande explicitement. La mémoire vive contient des traces utiles pour la récupération et l'enquête.
3. Photographie l'écran et le message de rançon avec ton téléphone. C'est une preuve pour ton assureur et la police, et ça aide à identifier la variante.
4. Appelle ton partenaire IT. Pas de mail, pas de ticket, un appel. Chaque minute où le chiffrement continue coûte des fichiers.
5. Fais arrêter toute l'équipe de travailler dans les dossiers partagés et sur le serveur. Appareil allumé, plus rien à ouvrir jusqu'à nouvel ordre.
6. Déconnecte ta sauvegarde. Un disque externe ou un NAS encore connecté est chiffré lui aussi, et une sauvegarde cloud qui synchronise en direct peut reprendre les versions chiffrées.
7. N'essaie rien de déchiffrer toi-même et ne paie pas. Ces deux décisions se prennent plus tard, en concertation.

Ce que tu ne fais surtout pas

Sous le coup de la panique, on fait des choses bien intentionnées qui compliquent la récupération. Les quatre que nous voyons le plus souvent :

• Payer sans concertation. Payer ne garantit pas de récupérer tes fichiers, et ça peut peser sur ton assurance. Cette décision se prend avec ton partenaire IT, ton assureur et éventuellement la police.
• Nettoyer l'appareil. Lancer un antivirus, supprimer des fichiers suspects ou fermer le message de rançon détruit des indices sur la façon dont l'attaquant est entré.
• Formater et réinstaller. Ça donne l'impression de repartir à zéro, mais tant que tu ne sais pas comment ils sont entrés, ils reviennent tout simplement.
• Changer tous les mots de passe sur ce même appareil. C'est judicieux, mais fais-le depuis un appareil sain, sinon l'attaquant lit tes nouveaux mots de passe en direct.

Qui prévenir, et quand ?

Outre ton partenaire IT, quelques autres parties doivent être informées vite. Certaines notifications sont obligatoires, d'autres te protègent financièrement.

• Ton assureur cyber, le plus vite possible. La plupart des polices exigent une déclaration dans un court délai. Ce qu'il attend exactement de toi, tu le lis dans notre article sur l'assurance cyber et les preuves.
• La police et le Centre pour la Cybersécurité Belgique. Porte plainte auprès de ta police locale et signale l'incident via Safeonweb. Ton assureur a souvent besoin du procès-verbal.
• L'Autorité de protection des données, dans les 72 heures, si des données personnelles sont touchées. Le RGPD l'impose, et avec des données clients, des dossiers du personnel ou des factures, c'est presque toujours le cas.
• Les clients et fournisseurs, si ta facturation ou ta communication est touchée. S'ils risquent de recevoir de fausses factures à ton nom, préviens-les toi-même avant l'attaquant.

Les jours suivants, et ce que tu prépares dès aujourd'hui

Après la première heure, le vrai travail commence. D'abord la cause : quel compte, quel mail, quel accès resté ouvert. Ensuite les appareils touchés sont réinstallés et tes données restaurées depuis une sauvegarde antérieure à l'infection. Les appareils ne reviennent sur le réseau qu'après, avec le MFA partout et tous les correctifs installés. Compte quelques jours à une semaine, selon l'état de ta sauvegarde.

La vraie leçon : la qualité de la première heure dépend de ce que tu as mis en place des mois plus tôt.

• Une sauvegarde hors ligne ou déconnectée, hors de portée du ransomware. Comment la mettre en place, tu le lis dans notre article sur la règle 3-2-1.
• Une liste de contacts sur papier : partenaire IT, assureur, police. Si le serveur est à l'arrêt, ton carnet d'adresses numérique l'est aussi.
• Un accord sur qui décide : qui coupe le serveur, qui appelle l'assureur, qui décide de payer. Ça ne se règle pas à trois heures du matin.
• Une demi-heure d'exercice avec ton équipe, à parcourir les étapes ci-dessus. C'est la différence entre la panique et un plan.