Rançongiciel : comprendre, réagir, et éviter la prochaine fois

Qu'est-ce qu'un rançongiciel et comment réagir ?

Un rançongiciel est un programme qui chiffre vos fichiers, les rendant illisibles, puis réclame de l'argent pour la clé. Il entre le plus souvent par une pièce jointe, un logiciel piraté ou un accès à distance mal protégé. Isolez la machine, ne payez pas, conservez les fichiers et déposez plainte.

Ce qu'est un rançongiciel

Un rançongiciel est un programme qui chiffre vos fichiers — les rend illisibles — puis réclame de l'argent pour la clé qui les déchiffrerait. Les photos, documents et dossiers prennent des extensions étranges, et un message d'excuse maquillé en « service » affiche un compte à rebours et une adresse de paiement en cryptomonnaie.

Ce n'est pas une attaque visant « les grandes entreprises » : les particuliers et les petites structures sont touchés tous les jours, souvent par des campagnes automatiques qui ne visent personne en particulier.

Comment il entre

Presque toujours par une porte qu'on a ouverte sans le savoir :

• une pièce jointe piégée (fausse facture, faux bon de livraison) ;
• un logiciel « craqué » ou un utilitaire téléchargé sur un site douteux ;
• un accès à distance mal protégé laissé ouvert sur Internet ;
• un rebond depuis un autre appareil déjà infecté sur le même réseau.

Comprendre l'entrée n'est pas un détail : tant qu'elle reste ouverte, remettre les fichiers ne sert à rien, ils seraient rechiffrés.

Les premières heures

Ce qui se joue dans les premières heures compte plus que tout le reste. Dans l'ordre :

1. Débrancher la machine du réseau (Wi-Fi et câble) pour arrêter la propagation.
2. Ne rien renommer, ne rien supprimer : les fichiers chiffrés et le message de rançon servent à identifier la souche.
3. Isoler les sauvegardes et les disques externes encore sains : c'est votre vraie chance de récupération.

Le détail de ces gestes, minute par minute, est dans la fiche rançongiciel : que faire dans les premières heures.

Payer ou pas

Les autorités françaises sont claires sur ce point : le paiement entretient le modèle et ne protège de rien. Une plainte est utile, et le dépôt d'une pré-plainte puis d'une plainte permet de laisser une trace, parfois nécessaire pour l'assurance.

Les chances de récupérer

Elles existent, mais dépendent de la souche et de vos sauvegardes. Dans certains cas, un outil de déchiffrement gratuit publié par des chercheurs fonctionne ; dans d'autres, seule une sauvegarde saine permet de repartir. C'est pourquoi on garde tout en l'état plutôt que de formater dans la panique.

Je ne promets jamais une récupération : personne de sérieux ne le peut à l'avance. Ce que l'on peut faire, c'est identifier la souche, chercher un outil existant, et sécuriser ce qui peut encore l'être.

S'en protéger vraiment

La seule protection qui tienne face à un rançongiciel, c'est la sauvegarde — et une bonne sauvegarde suit la règle simple du « 3-2-1 » : trois copies, sur deux supports, dont une hors ligne (débranchée) ou dans le cloud. Une sauvegarde toujours branchée est chiffrée en même temps que le reste.

En complément : des logiciels à jour, la méfiance devant les pièces jointes, et la fermeture des accès à distance inutiles. Ces réglages font partie de la prévention.

Le cas des petites entreprises

Pour une TPE, un rançongiciel n'est pas qu'un problème technique : c'est une activité à l'arrêt. Deux réflexes en plus du particulier : prévenir sans attendre les personnes dont les données ont pu fuiter (une obligation dès que des données personnelles sont concernées), et conserver les preuves pour l'assurance et la plainte. Le redémarrage se fait proprement, machine par machine, sur des sauvegardes vérifiées — jamais dans la précipitation.

Reconstruire proprement

Une fois la source identifiée et retirée, on ne rebranche pas tout d'un coup. On repart d'un système sain, on restaure les fichiers depuis une sauvegarde vérifiée, on change les mots de passe des comptes utilisés sur la machine, et on referme la porte d'entrée (accès à distance ouvert, logiciel vulnérable) avant de reconnecter au réseau.

Reconnaître ce qui a été chiffré, support par support

Un rançongiciel ne chiffre pas « l'ordinateur » : il chiffre des fichiers, là où il peut écrire. Faire le tour des supports dit l'ampleur réelle des dégâts :

• Le disque dur de la machine : vos documents, photos et fichiers personnels portent une extension inhabituelle et ne s'ouvrent plus. Le système d'exploitation, lui, fonctionne encore — c'est voulu, il faut que vous puissiez lire la demande de rançon.
• Les disques durs externes et clés USB branchés au moment de l'attaque : chiffrés aussi, presque toujours. C'est la mauvaise surprise classique de la sauvegarde restée connectée.
• Les cartes SD et le téléphone s'il était branché en transfert de fichiers.
• Les lecteurs réseau et le NAS, montés comme des périphériques ordinaires : ils sont vus comme des dossiers, donc traités comme tels.
• Le cloud synchronisé — OneDrive, Google Drive, Dropbox : les fichiers chiffrés ont été synchronisés vers le nuage, qui a donc fidèlement copié la casse. Bonne nouvelle : ces services gardent les versions antérieures.

Débranchez maintenant tout périphérique encore connecté, sans l'ouvrir. Un support débranché à temps est un support sauvé.

Copier les fichiers chiffrés avant toute tentative

C'est le geste que personne ne fait, et c'est celui qui sauve des dossiers des mois plus tard. Les clés de déchiffrement des familles de rançongiciels finissent régulièrement par être publiées : si vos fichiers ont été effacés entre-temps, ça ne vous servira à rien.

1. Procurez-vous un disque dur externe neuf, ou une clé USB de capacité suffisante. Branchez-le sur un port USB de la machine touchée, seulement après avoir coupé le réseau.
2. Copiez les fichiers chiffrés tels quels — ne les renommez pas, ne retirez pas l'extension ajoutée : elle identifie la famille du rançongiciel, et c'est elle qui permettra de trouver le bon outil.
3. Copiez aussi la demande de rançon (le fichier texte ou HTML déposé dans les dossiers) et un ou deux fichiers originaux non chiffrés si vous en avez ailleurs : certains outils en ont besoin pour retrouver la clé.
4. Rangez ce support et ne l'utilisez plus. Vous pourrez ensuite formater la machine l'esprit tranquille.

Ne tentez aucun utilitaire de « réparation » ou de récupération de données avant cette copie : beaucoup écrivent sur le disque et détruisent ce qui restait récupérable.

Les versions précédentes : la piste que personne n'essaie

Avant d'envisager quoi que ce soit d'autre, essayez ceci. Ça prend deux minutes et ça sauve des dossiers entiers :

1. Sous Windows, ouvrez l'Explorateur de fichiers, faites un clic droit sur le dossier touché, puis Propriétés et l'onglet Versions précédentes. S'il existe des points de restauration ou un Historique des fichiers, une copie d'avant le chiffrement peut s'y trouver : sélectionnez-la et restaurer vers un autre dossier, jamais par-dessus l'original.
2. Sur macOS, si Time Machine était configuré, entrez dedans et remontez à une date antérieure. Le système d'exploitation conserve aussi des instantanés locaux même sans disque de sauvegarde branché.
3. Dans le cloud, c'est la meilleure piste et la plus méconnue. OneDrive, Google Drive et Dropbox conservent l'historique des versions pendant trente jours au moins : les fichiers chiffrés y ont été synchronisés, mais la version d'avant est toujours là. OneDrive propose même une restauration globale à une date choisie, faite exactement pour ce cas.

⚠️ Faites-le depuis une machine saine, ou après avoir coupé le réseau : restaurer pendant que le rançongiciel tourne encore ne fait que lui donner de nouveaux fichiers à chiffrer.

Les supports amovibles, à traiter séparément

Chaque périphérique de stockage se traite à part, et dans le bon ordre :

• Carte SD et carte mémoire : à lire depuis une machine saine, avec un lecteur, jamais en les rebranchant sur le poste touché.
• Clés USB et disques durs externes : gardez-les tels quels. Ne les formatez pas « pour les réutiliser » tant que la question du déchiffrement n'est pas close.
• Disque interne SSD : la récupération de données après formatage y est bien plus difficile que sur un disque mécanique, à cause de l'effacement automatique des blocs. Autrement dit : copiez avant, il n'y aura pas de session de rattrapage.

Questions fréquentes

Peut-on récupérer les fichiers sans payer ?

Parfois. Pour certaines souches, des outils de déchiffrement gratuits publiés par des chercheurs existent ; sinon, seule une sauvegarde saine permet de repartir. C'est pourquoi on garde tout en l'état plutôt que de formater dans la panique.

Que risque-t-on à payer la rançon ?

Payer ne garantit rien — ni la clé, ni des fichiers intacts, ni que cela ne recommence pas — et finance directement l'attaque suivante. Les autorités françaises déconseillent le paiement.

Comment éviter que cela revienne ?

Une sauvegarde régulière dont une copie reste hors ligne, des logiciels à jour, et la fermeture des accès à distance inutiles. La sauvegarde est la seule protection qui tienne vraiment face à un rançongiciel.