Attaque ransomware : que faire dans la première heure ?
Face à un rançongiciel, trois réflexes priment dans les premières minutes : isoler les machines sans les éteindre, ne rien payer et ne contacter personne seul, et alerter immédiatement l’assistance de crise de votre assurance cyber. L’ordre des opérations détermine tout : une réaction maîtrisée transforme un arrêt de trois semaines en arrêt de trois jours.
Un rançongiciel chiffre vos fichiers et affiche une demande de rançon. La panique pousse à deux erreurs symétriques : tout éteindre en urgence, ce qui détruit des preuves, ou payer vite pour « en finir », ce qui ne garantit rien et vous désigne comme cible. La bonne conduite est méthodique, et l’assurance cyber en est le pivot puisqu’elle mobilise pour vous des experts dès le premier appel.
Les réflexes des premières heures, dans l’ordre
Suivez cette séquence sans en inverser les étapes : chacune conditionne la suivante et préserve à la fois vos données, vos preuves et votre droit à indemnisation.
- Isoler sans éteindre.
Débranchez du réseau les machines touchées (câble, Wi-Fi, VPN) mais ne les arrêtez pas : la mémoire vive contient des preuves et parfois des clés utiles à l’investigation.
- Couper les accès partagés.
Suspendez les connexions distantes, isolez les serveurs de sauvegarde et coupez les liens vers le cloud pour stopper la propagation du chiffrement.
- Appeler l’assistance de crise de l’assureur.
C’est l’appel prioritaire : la cellule prend la main, mobilise investigateurs, juristes et négociateurs, et vous évite les faux pas irréversibles.
- Ne pas contacter les attaquants.
Aucun échange, aucune négociation et surtout aucun paiement en direct : cette phase relève exclusivement des négociateurs mandatés.
- Préserver les preuves.
Photographiez les écrans de rançon, conservez les journaux, notez l’heure des premiers signes : ces éléments servent à la plainte et à l’indemnisation.
- Déposer plainte sous 72 heures.
Le dépôt de plainte dans les 72 heures est la condition légale du remboursement d’une éventuelle rançon (article L12-10-1 du Code des assurances).
- Notifier la CNIL si des données ont fuité.
En cas de vol de données personnelles, la notification à la CNIL est due sous 72 heures ; la cellule de crise rédige la déclaration avec vous.
Ce qu’il ne faut surtout pas faire
Autant que les bons réflexes, ce sont les erreurs évitées qui sauvent l’entreprise. Quatre gestes instinctifs aggravent presque toujours la situation :
- Éteindre ou redémarrer les machines : vous détruisez des preuves et pouvez perdre des données encore récupérables ;
- Payer la rançon de votre propre initiative : sans accord de l’assureur ni plainte, vous perdez tout droit à indemnisation ;
- Restaurer sur un système encore infecté : le rançongiciel rechiffrera vos sauvegardes fraîchement remontées ;
- Communiquer publiquement trop tôt : une annonce prématurée, avant maîtrise des faits, aggrave le préjudice d’image.
Attention
Payer une rançon sans l’accord préalable de l’assureur ou engager un prestataire de restauration non référencé peut vous faire perdre l’indemnisation. La négociation et le paiement éventuel passent obligatoirement par la cellule de crise du contrat, après dépôt de plainte.
Isoler sans éteindre : la règle d’or expliquée
Déconnecter n’est pas éteindre, et la nuance est capitale. Couper l’alimentation d’un poste chiffré efface la mémoire vive, où se trouvent parfois la clé de déchiffrement, l’identifiant de la souche et les traces de l’intrusion. Ces éléments permettent aux experts d’identifier le rançongiciel, de vérifier l’existence d’un déchiffreur gratuit et de comprendre le point d’entrée pour éviter une seconde vague.
La bonne pratique consiste donc à isoler physiquement du réseau (retirer le câble, désactiver le Wi-Fi, couper le VPN) tout en laissant la machine allumée, puis à attendre les instructions de la cellule de crise. Le même principe vaut pour les sauvegardes : on les déconnecte pour les protéger, on ne les restaure pas avant d’avoir la certitude que le réseau est assaini.
Bon à savoir
Des sauvegardes déconnectées, saines et testées changent radicalement l’issue d’une attaque : elles permettent de restaurer sans jamais payer et raccourcissent l’arrêt d’activité. C’est aussi le premier élément que vérifie l’assureur avant d’indemniser.
Le rôle de l’assistance de crise incluse dans l’assurance
La valeur d’une assurance cyber se mesure à la réactivité de sa cellule de crise 24/7. Dès votre appel, elle coordonne une équipe pluridisciplinaire qui remplace l’expertise que vous n’avez pas en interne : spécialistes de l’investigation numérique, juristes, négociateurs et communicants de crise. Cette assistance est incluse dans le contrat, sans s’imputer sur le plafond d’indemnisation.
| Moment | Action prioritaire | Qui intervient |
|---|---|---|
| H+0 à H+1 | Isoler sans éteindre, appeler la hotline de l’assureur | Vous et la cellule de crise |
| H+1 à H+6 | Investigation, périmètre de l’attaque, confinement | Experts en réponse à incident |
| H+6 à H+24 | Évaluation des sauvegardes, stratégie de restauration | Techniciens et assureur |
| Sous 72 h | Dépôt de plainte, notification CNIL, communication cadrée | Juristes et communicants |
Concrètement, enregistrez dès aujourd’hui le numéro d’urgence de votre assureur hors du système informatique (sur papier, sur un téléphone personnel), car en pleine attaque votre messagerie et votre annuaire peuvent être inaccessibles. Le réflexe d’appeler la bonne personne dans la première heure vaut mieux que n’importe quel plan théorique.
Après la crise : restaurer, déclarer et renforcer
Une fois l’attaque contenue, l’objectif est de repartir sur des bases saines et d’activer pleinement votre couverture. La sortie de crise se joue en trois temps :
- Restaurer les systèmes depuis des sauvegardes vérifiées, après assainissement complet du réseau ;
- Déclarer le sinistre à l’assureur dans le délai contractuel et réunir les justificatifs de pertes d’exploitation ;
- Corriger la faille exploitée et réaliser un retour d’expérience pour éviter la récidive.
Pour l’orientation et le dépôt de plainte, le dispositif public cybermalveillance.gouv.fr recense les prestataires de confiance, et la CNIL précise les modalités de notification en cas de violation de données. L’assurance prend le relais pour les pertes d’exploitation, la restauration et, le cas échéant, l’accompagnement juridique.
« Dans une attaque par rançongiciel, les décisions des soixante premières minutes pèsent plus que tout le reste : on isole sans éteindre, on n’appelle pas l’attaquant, on appelle son assureur. Le sang-froid vaut mieux que la vitesse. »