Ransomware en TPE : que faire en urgence

Ransomware en TPE : que faire dans les premières heures

Si vos fichiers sont renommés et qu’un message réclame une rançon, isolez aussitôt les ordinateurs touchés du réseau, sans payer et sans rien effacer. Photographiez le message, prévenez votre prestataire informatique, puis déposez plainte avant toute restauration.

Une attaque par rançongiciel (ransomware) est un moment très stressant pour un dirigeant de TPE : les devis, la facturation et les dossiers clients semblent inaccessibles du jour au lendemain. Les premières heures comptent, car chaque geste peut limiter la propagation ou, au contraire, la favoriser. Voici une marche à suivre pragmatique pour savoir ransomware que faire en TPE, sans paniquer.

Reconnaître une attaque par ransomware

Les signes sont en général très visibles :

• des fichiers dont le nom change ou qui reçoivent une extension inconnue ;
• des documents, photos ou tableurs impossibles à ouvrir ;
• un message (fond d’écran, fichier texte, page affichée) qui réclame de l’argent, souvent en cryptomonnaie, avec un compte à rebours ;
• un poste ou un dossier partagé du serveur devenu soudainement très lent ou inaccessible.

Attention : certains faux messages d’alerte affichés par un navigateur ressemblent à une rançon alors qu’ils ne chiffrent rien. Dans le doute, traitez la situation comme une vraie attaque tant qu’un professionnel n’a pas confirmé le contraire. Sur ce sujet, notre article sur le faux support technique Microsoft aide à faire la différence.

Les premiers gestes, dans l’ordre

1. Isoler. Débranchez le câble réseau de la machine touchée ou coupez son Wi-Fi. Faites de même pour les autres postes si vous constatez que les fichiers partagés se chiffrent. L’objectif est d’empêcher le programme malveillant de gagner les autres ordinateurs et le NAS.
2. Ne pas éteindre brutalement sans avis. Une extinction forcée peut effacer des traces utiles à l’enquête. Mais si le chiffrement se poursuit sur un poste déjà isolé, la décision se prend au cas par cas : demandez un avis rapide à un professionnel.
3. Photographier le message. Prenez une photo avec votre téléphone (plutôt qu’une capture sur le poste infecté) : nom du fichier, adresse de contact, mention de la rançon. Ces éléments serviront à la plainte et à l’analyse.
4. Ne rien payer sans conseil. Payer ne garantit pas de récupérer les fichiers, finance les criminels et peut vous désigner comme cible pour de nouvelles attaques. La décision doit être prise avec des conseils éclairés, pas dans la précipitation.
5. Prévenir. Informez vos associés, votre prestataire informatique et, si vous en avez un, votre assureur : certains contrats cyber imposent des délais de déclaration à respecter.

Déclarer l’incident

Déposez plainte auprès de la police ou de la gendarmerie en apportant vos photos, l’heure approximative des faits et la liste des équipements touchés. Vous pouvez aussi vous tourner vers le dispositif cybermalveillance.gouv.fr, qui oriente les victimes vers des prestataires de proximité, et vers l’ANSSI, l’agence nationale de la sécurité des systèmes d’information, qui publie des recommandations pour les organisations victimes d’un rançongiciel.

Données personnelles : l’aspect RGPD

Si l’attaque a pu exposer des données personnelles (fichiers clients, salariés, dossiers de santé, etc.), le RGPD peut vous imposer de documenter l’incident. Lorsqu’une violation de données présente un risque pour les droits et libertés des personnes, elle doit en principe être notifiée à la CNIL dans un délai de 72 heures après en avoir pris connaissance. Si le risque est élevé, les personnes concernées peuvent aussi devoir être informées. Cette qualification juridique n’est pas toujours évidente : en cas de doute, rapprochez-vous de la CNIL ou d’un conseil juridique.

Ne pas restaurer sur une machine encore infectée

C’est l’erreur la plus fréquente : on branche la sauvegarde sur le poste encore contaminé, et les copies saines se font chiffrer à leur tour. Avant toute restauration :

• identifier ce qui a été touché et par quel chemin le programme est entré (courriel piégé, accès distant mal protégé, mot de passe faible) ;
• nettoyer ou réinstaller proprement les machines concernées ;
• vérifier que vos sauvegardes n’ont pas été chiffrées elles aussi, en les contrôlant depuis un poste sain ;
• seulement ensuite, restaurer les données.

C’est ici qu’une copie hors ligne, débranchée du réseau, fait toute la différence. Pour comprendre pourquoi, lisez notre guide sur la sauvegarde avant la panne, ou découvrez comment nous sécurisons un réseau avec NAS en entreprise.

Changer les mots de passe, mais depuis un poste sain

Les mots de passe saisis sur une machine infectée peuvent avoir été volés. Utilisez un ordinateur ou un téléphone qui n’a pas été touché pour modifier, par priorité : la messagerie, la banque, les accès administrateur du réseau et du NAS, les logiciels de comptabilité et de facturation. Activez la double authentification partout où c’est possible.

Réduire le risque pour la prochaine fois

• maintenir Windows et les logiciels à jour ;
• utiliser un antivirus professionnel et un pare-feu correctement réglé ;
• séparer les comptes administrateur des comptes de tous les jours ;
• sensibiliser l’équipe aux courriels piégés ;
• conserver au moins une sauvegarde déconnectée et tester sa restauration.

Un cadre régulier aide beaucoup : voyez aussi notre article sur le contrat de maintenance informatique pour TPE. Aucune protection n’est absolue, mais ces mesures réduisent fortement l’impact d’une attaque.

Besoin d’un coup de main à Lille ou à Armentières ?

Philcom Services a son bureau à Lille (1 place Leroux de Fauquemont) et son siège à Armentières (96 ter avenue du Président François Mitterrand). Nous intervenons à domicile ou dans vos locaux, du lundi au samedi de 7 h à 19 h, avec un devis gratuit communiqué avant toute intervention. Côté professionnels, l’audit du parc démarre dès 90 € HT et la sécurité (pare-feu et antivirus pro) dès 120 € HT. Appelez-nous au 06 50 59 44 00, consultez notre page sécurité informatique pour TPE à Lille ou écrivez-nous via le formulaire de contact.