Rançongiciel : que faire dans les premières heures

↑ Ce conseil fait partie du guide : Rançongiciel : comprendre et réagir

Rançongiciel : que faire dans les premières heures ?

Isolez la machine du réseau et débranchez les disques externes, sans éteindre brutalement. Ne payez pas et ne reformatez rien : les fichiers chiffrés peuvent devenir récupérables si un outil de déchiffrement sort plus tard. Photographiez le message de rançon, identifiez la souche, puis déposez plainte.

Reconnaître un rançongiciel

Les fichiers changent d'extension (un nom bizarre ajouté à la fin), ne s'ouvrent plus, et un fichier texte ou une page apparaît dans chaque dossier pour réclamer un paiement, souvent en cryptomonnaie, avec un compte à rebours. Le fond d'écran est parfois remplacé par le même message.

À ne pas confondre avec la fausse alerte du navigateur qui bloque la page et affiche un numéro à appeler : celle-là n'a rien chiffré du tout — c'est une autre arnaque.

À ne pas confondre non plus avec l’écran qui réclame une clé de récupération de 48 chiffres avant le démarrage de Windows : c’est le chiffrement de Microsoft, aucun paiement n’est demandé et les fichiers sont intacts — BitLocker demande une clé de récupération.

Les premières heures

1. Isoler. Débranchez le réseau de la machine touchée. Si d'autres ordinateurs partagent le même réseau, coupez-les aussi le temps de vérifier.
2. Débrancher les disques externes qui ne sont pas encore touchés, sans les reconnecter.
3. Évaluer l'étendue : quels dossiers sont chiffrés, depuis quand, et quelles sauvegardes existent.
4. Conserver les preuves : le message de rançon, un fichier chiffré d'exemple, les dates. Ils servent à identifier la famille du rançongiciel et, s'il y a plainte, au dossier.
5. Déposer plainte et signaler sur cybermalveillance.gouv.fr.

Pourquoi ne pas payer

La position des autorités françaises est constante, et elle tient en trois raisons :

• Payer ne garantit rien : une partie des victimes ne reçoit jamais de clé, ou une clé qui ne déchiffre qu'une partie des fichiers.
• Payer finance l'attaque suivante, chez vous ou chez quelqu'un d'autre.
• Payer vous inscrit sur la liste de ceux qui paient : c'est une invitation à revenir.

Les vraies chances de récupérer les fichiers

Il faut être honnête : elles dépendent presque entièrement de deux choses.

• Une sauvegarde saine et déconnectée. C'est la voie normale, et la seule fiable.
• Un outil de déchiffrement gratuit pour la famille concernée. Le projet européen No More Ransom en publie plusieurs dizaines, mais tous les rançongiciels n'en ont pas.

Les « clichés instantanés » de Windows sont parfois exploitables, mais la plupart des rançongiciels récents les effacent en premier. Quant aux services qui promettent de tout récupérer contre paiement : beaucoup se contentent de payer la rançon à votre place, en prenant une marge.

Si vous êtes un professionnel

Deux obligations s'ajoutent : si des données personnelles ont pu être consultées ou rendues indisponibles, une notification à la CNIL est en principe requise sous 72 heures ; et votre assurance ainsi que vos clients concernés doivent être informés. Le constat écrit d'un audit sert de pièce à ce dossier.

Après

Une machine touchée par un rançongiciel ne se « nettoie » pas vraiment : dans la quasi-totalité des cas, la bonne décision est de sauvegarder ce qui peut l'être puis de réinstaller proprement. Et surtout de revoir la sauvegarde : c'est la seule protection qui fonctionne encore quand tout le reste a échoué — la règle 3-2-1.

Reste la question que tout le monde finit par poser, et qui mérite mieux qu'un slogan : faut-il payer la rançon ? La réponse, les outils gratuits à essayer avant, et ce qui se passe réellement quand on paie.

Quand le chiffrement a aussi atteint le NAS ou le disque externe de sauvegarde, la marche à suivre est un peu différente : elle est détaillée dans mon NAS ou mon disque externe est chiffré.

Isoler les périphériques, dans cet ordre

Le chiffrement progresse pendant que vous lisez. Chaque minute gagnée est un support sauvé :

Les gestes, dans l'ordre et dans le temps

1. Couper le réseau immédiatWi-Fi désactivé, câble débranché. Arrête la propagation vers les autres ordinateurs et vers le NAS.
2. Débrancher les supports immédiatDisques externes, clés USB, cartes SD. Un support sain branché deux minutes de plus est perdu.
3. Laisser la machine allumée ne rien faireÉteindre en plein chiffrement laisse des fichiers à moitié traités et efface des éléments utiles.
4. Photographier la demande de rançon 10 minElle identifie la famille du rançongiciel, donc l'outil de déchiffrement s'il existe.
5. Copier les fichiers chiffrés 1 hExtension d'origine comprise. Des clés sont publiées des mois après les faits.
6. Déposer plainte, prévenir 24 hEt, pour un professionnel, l'assurance et les personnes dont les données sont concernées.
7. Formater et réinstaller ensuiteJamais avant la copie. Pas de nettoyage partiel après un rançongiciel.

1. Coupez le réseau — Wi-Fi désactivé, câble débranché. Ça stoppe la propagation vers les autres ordinateurs et vers le NAS.
2. Débranchez les disques durs externes et les clés USB du port USB, sans les ouvrir. Un support déjà chiffré ne s'aggrave plus, mais un support sain branché deux minutes de plus est perdu.
3. Retirez les cartes SD et débranchez le téléphone s'il est en transfert de fichiers.
4. Laissez la machine allumée. Éteindre en plein chiffrement peut laisser des fichiers à moitié traités, et efface de la mémoire des éléments utiles à l'analyse.
5. Sur les autres postes du foyer ou du bureau, coupez aussi le réseau tant que l'origine n'est pas identifiée.

Sortir vos données sans démarrer le système infecté

Une fois l'urgence passée, il faut récupérer ce qui est lisible — et le faire sans relancer le système d'exploitation compromis, qui pourrait reprendre son travail. La méthode qui marche :

1. Sur une machine saine, préparez une clé USB de démarrage : une image Linux « live » suffit, elle est gratuite et se prépare en dix minutes avec un utilitaire de création de clé.
2. Sur la machine touchée, ouvrez le menu de démarrage (une touche pressée à l'allumage, souvent F12, F2 ou Échap selon la marque) et choisissez le boot sur la clé.
3. Le système démarre depuis la clé, sans toucher au disque. Vous voyez alors les partitions du disque dur comme des dossiers ordinaires.
4. Copiez manuellement vers un disque dur externe ce qui est encore lisible : documents, photos, et surtout les fichiers chiffrés eux-mêmes, au cas où la clé serait publiée plus tard.
5. Ce n'est qu'ensuite qu'on envisage le formatage et la réinstallation propre.

Cette méthode fonctionne sous Windows comme sur un Mac — sur macOS, le démarrage sur un support externe passe par les réglages de sécurité de démarrage, et sur les Mac récents il faut l'autoriser explicitement. Si ça vous paraît beaucoup, c'est exactement le genre d'opération que je fais à distance en une heure.

Formater et réinstaller, concrètement

Une fois vos fichiers copiés, la remise à neuf est la seule voie propre. Ce n'est pas plus compliqué qu'une installation ordinaire :

1. Sur une machine saine, téléchargez l'outil officiel de création de support d'installation de Windows et préparez une clé USB d'au moins 8 Go. Sur Mac, la réinstallation passe par la récupération intégrée, sans clé.
2. Démarrez la machine touchée sur cette clé : touche du menu de démarrage à l'allumage, ou réglage de l'ordre de démarrage dans le BIOS.
3. À l'étape des partitions, supprimez-les toutes plutôt que de formater : c'est ce qui emporte aussi les partitions de récupération éventuellement piégées. L'installeur recrée ce qu'il lui faut, au format NTFS.
4. Laissez l'installation se terminer, appliquez toutes les mises à jour, puis réactivez la protection antivirus et le pare-feu avant de rebrancher le moindre périphérique.
5. Rebranchez ensuite vos supports un par un — clé USB, disque externe, carte SD — et analysez chacun avant d'ouvrir quoi que ce soit.

Si vous voulez d'abord tenter une récupération de données sur le disque, faites-le avant cette étape, et jamais en écrivant sur le disque concerné : une image du disque copiée sur un support externe est la bonne façon de procéder.

Vérifier que la copie est exploitable avant de tout effacer

C'est le contrôle qu'on saute, et le regret qui suit. Avant de formater, sur une machine saine :

• Ouvrez trois ou quatre fichiers au hasard dans la copie : un document, une photo, un fichier récent. S'ils s'ouvrent, la copie vaut.
• Vérifiez le nombre de dossiers et l'espace de stockage occupé : un écart important avec l'original signale une copie interrompue.
• Clic droit sur le dossier, Propriétés : comparez le nombre d'éléments des deux côtés. C'est plus fiable que l'impression visuelle.
• Rangez cette copie hors ligne, et n'y touchez plus jusqu'à la fin de la réinstallation.

Questions fréquentes

Faut-il éteindre l'ordinateur ?

Non. Coupez le réseau et débranchez les périphériques, mais laissez la machine allumée. Éteindre en plein chiffrement laisse des fichiers à moitié traités et efface de la mémoire des éléments utiles à l'analyse.

Puis-je récupérer mes fichiers sans réinstaller ?

Oui, en démarrant sur une clé USB Linux : le disque apparaît alors comme un dossier ordinaire et vous copiez ce qui est lisible, sans jamais relancer le système compromis. La réinstallation vient après, pas avant.

Ma clé USB était branchée, que faire ?

Débranchez-la sans l'ouvrir et mettez-la de côté. Elle sera analysée depuis une machine saine, plus tard. La rebrancher sur un autre ordinateur pour « voir » est la façon la plus courante de contaminer le second poste.

À lire aussi : l'arnaque au faux support technique · compte Facebook piraté. · « Accès refusé » sans chiffrement : reconnaître un simple problème de droits