Attaque par rançongiciel : réagir étape par étape

Un rançongiciel (ransomware) est un programme malveillant qui chiffre les données d'une victime pour les rendre inutilisables, puis réclame une rançon en échange de la clé de déchiffrement ; la plupart des groupes volent aussi les données avant de les chiffrer et menacent de les publier. C'est la menace la plus lourde pour une entreprise ou une collectivité : l'activité s'arrête, parfois pendant des semaines. Ce chapitre décrit le déroulement d'une attaque, les premiers réflexes recommandés par l'ANSSI, la reconstruction et les mesures de prévention à chaque étape.

Comment se déroule une attaque par rançongiciel

Le chiffrement n'est que la dernière étape. Avant, l'attaquant a passé des heures, des jours, parfois des semaines dans le réseau. Chaque étape laisse des traces, et donc une occasion de l'arrêter.

Beaucoup de groupes fonctionnent en rançongiciel en tant que service : des développeurs louent leur logiciel à des affiliés qui mènent les intrusions, et partagent les rançons. La double extorsion est devenue la norme : même avec de bonnes sauvegardes, la victime est menacée de voir ses données publiées sur un site de fuite.

Les premiers réflexes

Le guide de l'ANSSI et du ministère de la Justice Attaques par rançongiciels, tous concernés (2020) décrit les bons réflexes. Les voici dans l'ordre où on les applique.

1. Ouvrir une main courante, tout de suite : date et heure, auteur, description de chaque action et de chaque constat (chapitre 1).
2. Isoler les équipements infectés en les déconnectant du réseau, sans oublier leur Wi-Fi.
3. Protéger les sauvegardes : les déconnecter au plus tôt, après s'être assuré qu'elles ne sont pas infectées. Le guide cite le témoignage d'une entreprise qui a isolé en priorité les composants non touchés, à commencer par les sauvegardes, les bases de données et les baies de stockage.
4. Couper l'accès à Internet si l'attaquant agit depuis l'extérieur : il ne pourra plus piloter son rançongiciel, lancer une nouvelle vague de chiffrement ni exfiltrer de données. La mesure a des conséquences sur l'activité (messagerie, applications en ligne) qu'il faut gérer en parallèle.
5. Ne pas éteindre brutalement les machines chiffrées : l'extinction électrique peut faire perdre des éléments en mémoire qui permettraient de récupérer les fichiers. Si la machine le permet, l'ANSSI recommande la mise en veille prolongée, qui arrête le programme tout en préservant la mémoire.
6. Laisser éteints les équipements non démarrés (le poste d'un salarié en congés, les machines du matin) et interdire les supports amovibles (clés USB, disques externes), pour limiter la propagation.
7. Activer une cellule de crise au plus haut niveau de l'organisation, distincte des équipes techniques : elle pilote la communication, la judiciarisation et les notifications.
8. Ne pas payer la rançon (voir ci-dessous).
9. Conserver les données chiffrées : un outil de déchiffrement peut être publié plus tard. Le projet No More Ransom, porté notamment par Europol, recense les outils disponibles.
10. Déposer plainte et notifier : plainte dans les 72 heures pour l'assurance, notification à la CNIL dans les 72 heures si des données personnelles sont touchées (chapitre 7).
11. Se faire assister : prestataire spécialisé, CSIRT régional, 17Cyber.

Pourquoi on ne paie pas

L'ANSSI recommande de ne jamais payer. Les raisons :

• aucune garantie : la clé peut ne pas arriver, ne déchiffrer qu'une partie des fichiers, ou être livrée avec un outil si lent ou si bogué que la restauration depuis les sauvegardes aurait été plus rapide ;
• la publication des données n'est pas évitée : payer ne garantit pas que les données volées soient effacées ;
• la victime devient une cible : elle a prouvé qu'elle payait ;
• on finance le crime et les attaques suivantes, contre d'autres victimes ;
• l'attaquant reste dans le réseau : payer ne ferme pas la porte d'entrée.

Le paiement peut en outre poser des problèmes juridiques (si le groupe est visé par des sanctions internationales) et, pour être couvert par une assurance, il suppose le dépôt de plainte dans les 72 heures.

Reconstruire

Après le confinement, la remédiation suit la logique de l'ANSSI : endiguer l'attaquant, l'évincer du cœur de l'administration, éradiquer ses points d'appui et reconstruire un système sain (chapitre 1).

• Reprendre le contrôle de l'annuaire : un attaquant qui a été administrateur du domaine a pu tout faire. On réinitialise les mots de passe de tous les comptes à privilèges et des comptes de service, ainsi que, deux fois, celui du compte krbtgt, qui signe les tickets Kerberos. Dans les cas graves, l'annuaire est reconstruit.
• Reconstruire plutôt que nettoyer : serveurs et postes compromis sont réinstallés à partir d'images saines, corrigés et durcis avant d'être reconnectés.
• Restaurer depuis une sauvegarde saine, antérieure à l'intrusion (pas seulement au chiffrement), analysée avant sa remise en production.
• Fermer la porte d'entrée : correctif, double authentification sur les accès à distance, suppression du RDP exposé.
• Surveiller de près pendant des semaines : un retour de l'attaquant est fréquent.

Prévenir : des contre-mesures à chaque étape

La mesure qui sauve le plus d'entreprises reste la sauvegarde hors d'atteinte : la règle 3-2-1 (trois copies, sur deux supports différents, dont une hors site), avec au moins une copie déconnectée ou immuable. Un NAS de sauvegarde joint au domaine et accessible en écriture depuis le réseau sera chiffré avec le reste (protéger ses sauvegardes contre un rançongiciel).

Exemple : un lundi matin à l'atelier

Lundi 9 novembre 2026, 7 h 50, le chef d'atelier appelle Léa : l'écran du PGI affiche des erreurs et le dossier partagé des plans est rempli de fichiers .lkd et d'un fichier LISEZMOI.txt qui réclame une rançon.

À l'E7

Le rançongiciel est le scénario le plus fréquent de l'écrit de cybersécurité.

• SISR, métropole 2024 (alors E6, U6), cas de la clinique Martin : le dossier A, « Gestion et réduction du risque d'attaque par rançongiciel », le plus long du sujet, fait identifier le principal risque et sa gravité selon EBIOS, proposer quatre mesures de prévention, répondre à des questions tirées du guide de l'ANSSI (intérêt des sauvegardes déconnectées et solution matérielle, veille des failles, VLAN d'administration, poste d'administration sans Internet), puis proposer au moins deux contre-mesures pour chaque phase d'un schéma d'attaque.
• SLAM, métropole 2025 (U7), cas Casterman : les questions A2.1 et A2.2 demandent deux impacts d'une attaque réussie par rançongiciel sur le système d'information, puis trois mesures techniques pour s'en prémunir.
• SISR, Nouvelle-Calédonie 2023 (alors E6, U6), cas d'une mairie : après deux infections, la mission B1 fait lister les types d'équipements qui peuvent être infectés par un rançongiciel.
• SISR, métropole 2026 (U7), cas SPARCLE : tout le sujet suit la réponse à un rançongiciel, de l'analyse forensique à la refonte des sauvegardes selon les recommandations de l'ANSSI.

Pour aller plus loin. La règle 3-2-1 et le plan de reprise qui permettent de reconstruire sans payer sont détaillés dans le cours Sauvegarde, PCA et PRA, et l'analyse du risque rançongiciel dans le chapitre Traitement du risque du cours Analyse de risques.

Exercices

Exercice 1 sur 4 Une contre-mesure par étape Réussi À revoir

Voici des actions d'un attaquant. Pour chacune, donne l'étape de l'attaque et deux contre-mesures.

1. Il se connecte en bureau à distance au serveur exposé sur Internet avec le mot de passe Morvan2026!.
2. Il lance un outil qui extrait de la mémoire les mots de passe des administrateurs connectés.
3. Il supprime les clichés instantanés de Windows et formate le NAS de sauvegarde, joint au domaine.
4. Il copie 40 Go de documents vers un service de stockage en ligne.

Voir la réponseMasquer la réponse de l'exercice 1

1. Accès initial. Ne plus exposer le RDP sur Internet (accès par VPN) ; double authentification ; politique de mots de passe longs et non prévisibles ; verrouillage ou ralentissement après plusieurs échecs ; supervision des 4625.
2. Élévation de privilèges. Comptes d'administration distincts, utilisés seulement depuis des postes d'administration dédiés ; administrateurs du domaine jamais connectés sur des postes ou serveurs ordinaires ; protections de Windows contre le vol d'identifiants ; EDR qui détecte l'accès à la mémoire du processus d'authentification.
3. Sabotage des sauvegardes. Copie hors ligne (bande, disque déconnecté) ou stockage immuable ; NAS de sauvegarde hors du domaine, avec des identifiants propres ; alerte quand les sauvegardes échouent ou sont supprimées.
4. Exfiltration. Filtrage des flux sortants et blocage des services de stockage non autorisés par le proxy ; alerte sur les volumes sortants anormaux ; chiffrement des données sensibles au repos.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 4 Les réflexes d'un technicien Réussi À revoir

Un vendredi soir, un serveur affiche une note de rançon. Le technicien d'astreinte : (a) éteint le serveur avec le bouton d'alimentation ; (b) rallume tous les postes de la comptabilité pour vérifier s'ils sont touchés ; (c) branche le disque de sauvegarde externe sur le serveur pour restaurer ; (d) écrit à l'adresse de la note pour négocier. Relève les erreurs et dis ce qu'il aurait dû faire.

Voir la réponseMasquer la réponse de l'exercice 2

• (a) Extinction brutale : perte de la mémoire, qui peut contenir des éléments utiles au déchiffrement et à l'enquête. Il fallait isoler le serveur du réseau et, si possible, le mettre en veille prolongée.
• (b) Rallumer des postes sur le réseau infecté peut les exposer au chiffrement. L'ANSSI recommande de laisser éteints les équipements non démarrés.
• (c) Brancher la sauvegarde sur un serveur compromis expose la dernière copie saine au chiffrement. Les sauvegardes doivent rester déconnectées jusqu'à ce que le système soit sain.
• (d) Négocier seul : aucune décision de ce type ne relève d'un technicien ; c'est la cellule de crise qui décide, et l'ANSSI recommande de ne pas payer.

Ce qu'il fallait faire : main courante, isolement réseau, veille prolongée, protection des sauvegardes, appel à la personne d'astreinte de la direction, prestataire ou CSIRT, plainte et notification dans les délais.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 4 Juger une stratégie de sauvegarde Réussi À revoir

Une PME sauvegarde chaque nuit ses serveurs sur un NAS joint au domaine Active Directory. Toutes les deux semaines, un technicien copie le NAS sur un disque externe chiffré qu'il emporte chez lui. Le NAS a été chiffré par un rançongiciel en même temps que les serveurs. Analyse la stratégie : points forts, faiblesses, améliorations.

Voir la réponseMasquer la réponse de l'exercice 3

Point fort : une copie hors site, chiffrée et déconnectée existe, ce qui a probablement sauvé la PME.

Faiblesses :

• le NAS joint au domaine et accessible en écriture depuis le réseau a été chiffré avec le reste : la sauvegarde quotidienne n'a servi à rien ;
• la copie hors ligne n'a lieu que toutes les deux semaines : jusqu'à quatorze jours de données perdues ;
• elle dépend d'une seule personne et voyage dans sa voiture : risque de perte, de vol, d'oubli ;
• rien ne dit que les restaurations sont testées.

Améliorations : sortir le NAS du domaine et lui donner des identifiants propres ; activer des copies immuables (verrouillage pendant une durée définie) ou une réplication vers un second site ; augmenter la fréquence des copies déconnectées (chaque semaine, voire chaque jour par rotation de plusieurs supports) ; formaliser la procédure (plusieurs personnes, un coffre) ; tester régulièrement la restauration et chronométrer le temps nécessaire.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 4 La direction veut payer Réussi À revoir

Le directeur des Ateliers Morvan propose de payer la rançon « pour gagner du temps », puisque les sauvegardes sont intactes mais que leur restauration prendra trois jours. Rédige en cinq lignes l'argumentaire de Claire Vasseur.

Voir la réponseMasquer la réponse de l'exercice 4

Proposition :

« Payer ne nous ferait pas gagner de temps à coup sûr : rien ne garantit que la clé fonctionne, ni que l'outil de déchiffrement soit plus rapide que nos restaurations. Payer n'efface pas les données que les attaquants ont peut-être copiées, et nous désignerait comme une cible qui paie. L'attaquant est peut-être encore dans le réseau : avant de redémarrer, nous devons de toute façon fermer sa porte d'entrée et reprendre l'annuaire. L'ANSSI recommande de ne jamais payer, et notre assureur exige la plainte que nous avons déposée. Nos sauvegardes hors ligne sont intactes : restaurons proprement, en commençant par la production et la paie. »

Tu avais trouvé ?

Oui, j'avais bonPas encore