Ransomware : que faire dans les premières heures

Tout n'est pas perdu

L'écran de rançon ne signifie pas toujours que tout est chiffré.

Et une partie de vos données ne se trouve pas chez vous : la comptabilité chez votre fiduciaire, les messages chez votre hébergeur, par exemple. Ce qu'il faut réellement récupérer est presque toujours plus limité que ce qui est bloqué.

Sur une sauvegarde, nous ne regardons que deux choses : est-elle intacte, et de quand date le dernier incrément. Si elle l'est et qu'elle est à jour, la seule question qui reste vous appartient — est-ce que cela vous suffit ?

Deux cas sur trois se règlent sans payer

Cinquante-deux cas de ransomware traités depuis 2017. Dix-sept ont abouti à un paiement. Les autres se sont réglés par les sauvegardes, par ce qui existait ailleurs, ou parce que les données bloquées n'étaient pas vitales.

Il existe aussi, rarement, des clés de déchiffrement publiques — lorsqu'un groupe est démantelé ou que ses outils ont été mal conçus. Nous explorons systématiquement cette piste. Elle ne s'improvise pas : une tentative ratée coûte ce qui restait.

En face, une organisation

L'attaquant est rarement quelqu'un d'isolé. Lors de négociations, on entend les conversations en arrière-plan : une équipe qui traite des dossiers en parallèle, un groupe organisé dont le seul intérêt est d'être payé.

C'est pourquoi la discussion reste presque toujours possible, y compris sur le montant, et nous pouvons nous en charger. C'est aussi pourquoi aucun versement ne s'envisage avant la preuve que vos fichiers peuvent être restitués.

Ce qui fait échouer une négociation est rarement l'attaquant : c'est la panique. Un dirigeant seul devant un compte à rebours paie le prix affiché pour que cela s'arrête. Accompagné, il tient.

Rien n'est engagé sans votre accord écrit : la prise de contact ne se fait qu'à votre demande, en votre présence, et son issue n'est jamais garantie.

En définitive, ce que vous recevez

• Un accompagnement pendant la crise
• La remise en service vérifiée, pas supposée
• Les mesures à prendre en priorité
• Un rapport d'intervention

Note : en cas de succès, le déchiffrement demande jusqu'à douze heures selon le volume des données.

Si votre entreprise est assurée, prévenez votre assureur sans tarder : il a son mot à dire, et l'informer trop tard peut vous faire sortir du cadre de la couverture.