Ransomware : plan de réponse à incident pour PME

Un lundi matin, les fichiers du serveur portent une extension inconnue et un message réclame une rançon. Pour une PME, une attaque par ransomware (rançongiciel) peut bloquer l'activité pendant des jours, voire des semaines. Les organisations qui s'en sortent le mieux ont un point commun : elles avaient préparé leur réponse avant. Voici un plan en six étapes.

Avant l'incident : la préparation

Sauvegardes 3-2-1 : trois copies, sur deux supports différents, dont une hors ligne ou immuable. Les attaquants cherchent et chiffrent les sauvegardes accessibles en ligne.
Restauration testée : une sauvegarde jamais restaurée n'est qu'une hypothèse. Voir notre article sur les bonnes pratiques de protection des données.
Un annuaire de crise imprimé : direction, informatique, prestataire, assureur, juriste, autorités. Le jour de l'attaque, la messagerie peut être inutilisable.
Un inventaire des systèmes critiques et de l'ordre de redémarrage.

Étape 1 : isoler immédiatement

Débranchez du réseau les machines touchées (câble, Wi-Fi), sans les éteindre : la mémoire peut contenir des éléments utiles à l'analyse.
Coupez les accès distants (VPN, bureau à distance) et les synchronisations vers le cloud.
Déconnectez les sauvegardes encore saines.

Étape 2 : mobiliser la cellule de crise

Désignez un responsable, ouvrez un journal horodaté de toutes les actions et décisions, et prévenez votre assureur (beaucoup de contrats cyber imposent une déclaration rapide et proposent une équipe d'intervention). Communiquez par un canal indépendant du système d'information compromis.

Étape 3 : évaluer l'étendue

Quels systèmes sont chiffrés ? Lesquels fonctionnent encore ?
Des données ont-elles été exfiltrées ? Les groupes de ransomware pratiquent souvent la double extorsion : chiffrement et menace de publication.
Quel est le point d'entrée probable : e-mail d'hameçonnage, accès distant mal protégé, vulnérabilité non corrigée ?

Conservez les preuves : note de rançon, journaux, échantillons de fichiers chiffrés.

Étape 4 : notifier

Autorités : au Maroc, signalez l'incident au maCERT (DGSSI) ; déposez plainte.
Protection des données : si des données personnelles sont concernées, évaluez vos obligations (CNDP au Maroc, RGPD pour des personnes situées dans l'UE).
Clients et partenaires : une communication factuelle et rapide préserve mieux la confiance que le silence.

Étape 5 : restaurer proprement

Éliminez la cause : corrigez la faille, changez tous les mots de passe (en priorité les comptes administrateurs), révoquez les sessions.
Reconstruisez les systèmes compromis plutôt que de les « nettoyer ».
Restaurez depuis des sauvegardes antérieures à l'intrusion (les attaquants sont souvent présents plusieurs jours avant le chiffrement).
Redémarrez par ordre de priorité métier et surveillez de près les premiers jours.

Payer la rançon ? Les autorités le déconseillent : rien ne garantit la récupération des données ni leur non-publication, et le paiement finance de nouvelles attaques. Cette décision, si elle se pose, doit être prise avec des conseils juridiques.

Étape 6 : tirer les leçons

Une fois l'activité rétablie, organisez un retour d'expérience : ce qui a fonctionné, ce qui a manqué, les mesures à mettre en place. Les plus efficaces sont presque toujours les mêmes :

double authentification sur tous les accès distants et les messageries ;
mises à jour rapides des systèmes exposés (voir la veille sur les outils auto-hébergés exposés) ;
suppression des droits administrateurs inutiles ;
sensibilisation régulière à l'hameçonnage ;
sauvegardes immuables et restaurations testées chaque trimestre.

Conclusion

Une attaque par ransomware n'est pas qu'un problème informatique : c'est une crise d'entreprise. Un plan d'une page, des contacts imprimés et des sauvegardes réellement restaurables font la différence entre quelques jours d'interruption et une catastrophe. Prenez une heure cette semaine pour vérifier ces trois points.