Il existe peu de situations informatiques où les décisions prises dans la première heure pèsent autant sur le résultat final. Un rançongiciel chiffre les fichiers d’une machine, puis réclame un paiement contre la clé de déchiffrement. Entre le moment où l’utilisateur comprend ce qui se passe et celui où il appelle de l’aide, il fait en général trois ou quatre gestes et deux d’entre eux ont de bonnes chances d’être les mauvais.
Reconnaître un chiffrement réel d’une fausse alerte
La confusion est fréquente et elle est coûteuse dans les deux sens. Un vrai rançongiciel se reconnaît à un faisceau d’indices concordants : les fichiers ont changé d’extension, un suffixe inhabituel s’étant ajouté à la fin de leur nom ; ils ne s’ouvrent plus dans aucun logiciel ; et un fichier texte ou une page HTML apparaît dans chaque dossier concerné pour expliquer la marche à suivre, souvent avec une adresse de paiement en cryptomonnaie et un compte à rebours.
À l’inverse, une page de navigateur qui se met en plein écran, émet un son d’alarme et affiche un numéro de téléphone à appeler n’a rien chiffré du tout. C’est une arnaque au faux support technique, dont le but est de faire composer le numéro. Fermer le navigateur suffit généralement à s’en débarrasser. Traiter la première situation comme la seconde fait perdre des heures décisives ; traiter la seconde comme la première conduit à formater une machine parfaitement saine.
Couper le réseau avant tout le reste
Le chiffrement ne s’arrête pas au disque système. Il suit tout ce que la machine peut atteindre : disques externes branchés, partages réseau, dossiers synchronisés avec un service en ligne, serveur de fichiers de l’entreprise. Débrancher le câble ou couper le Wi-Fi limite le périmètre à ce qui est déjà atteint, et cela vaut aussi pour le stockage réseau qui, vu du poste infecté, n’est qu’un lecteur de plus.
Cette précaution a un second effet, moins visible : elle interrompt le dialogue entre la machine et le serveur de commande du logiciel malveillant. Dans certaines familles, ce dialogue conditionne la poursuite du chiffrement sur les fichiers restants.
Pourquoi éteindre brutalement peut coûter les données
Le réflexe d’arracher la prise est compréhensible et il est rarement bon. Certaines familles de rançongiciels conservent leur clé de chiffrement en mémoire vive pendant l’opération ; une extinction brutale la fait disparaître définitivement, là où une machine laissée allumée mais isolée laisse une chance à une analyse ultérieure. Le formatage immédiat relève de la même erreur, en pire : il supprime aussi les traces qui permettent d’identifier la famille en cause, donc de savoir si un outil de déchiffrement gratuit existe.
Avant toute autre manipulation, une photographie de l’écran de rançon prise au téléphone coûte dix secondes. Ce message contient le nom de la famille, ou à défaut une signature suffisante pour l’identifier, et c’est cette identification qui détermine la suite. L’ordre complet de ces premiers gestes est détaillé dans une fiche consacrée à que faire dans les premières heures d’un rançongiciel, y compris pour le cas particulier des sauvegardes qui se trouvaient branchées au moment de l’attaque.
Payer : ce que cela achète réellement
La question se pose toujours, et elle mérite mieux qu’une réponse morale. Payer, c’est acheter une promesse à quelqu’un dont le modèle économique repose sur le fait que personne ne peut le contraindre à la tenir. Les outils de déchiffrement fournis après paiement existent, mais ils sont souvent partiels, lents, et laissent une partie des fichiers illisibles.
S’ajoute un effet de réputation défavorable : une entreprise qui a payé est identifiée comme solvable et coopérative, ce qui en fait une cible intéressante pour une seconde tentative. Les autorités françaises, en particulier le dispositif national d’assistance aux victimes, recommandent constamment de ne pas payer et de déposer plainte. Le paiement ne fait en outre pas disparaître la fuite de données quand celles-ci ont été copiées avant le chiffrement, ce qui est devenu la norme.
Les vraies chances de récupérer
Elles reposent sur trois pistes, dans cet ordre. La première est l’existence d’un déchiffreur gratuit pour la famille identifiée : plusieurs centaines d’outils ont été publiés au fil des ans par des éditeurs et des services de police, et certaines familles anciennes sont entièrement cassées. La deuxième est la sauvegarde, à condition qu’elle ait été déconnectée au moment de l’attaque. La troisième, beaucoup plus incertaine, est la récupération de versions antérieures ou de fichiers supprimés sur le disque, quand le logiciel a chiffré des copies plutôt que les originaux.
Aucune de ces pistes ne reste ouverte après un formatage. C’est pourquoi l’immobilité est ici une stratégie : une machine isolée et éteinte proprement ne perd rien, une machine réinstallée dans la panique perd tout.
La sauvegarde qui survit, et celle qui ne survit pas
Un disque externe branché en permanence n’est pas une sauvegarde, c’est un lecteur supplémentaire à chiffrer. Un dossier synchronisé en ligne non plus : la synchronisation propage consciencieusement les fichiers chiffrés vers le nuage. Ce qui survit, c’est une copie hors ligne, physiquement débranchée entre deux sauvegardes, ou une solution dont l’historique de versions est protégé en écriture et permet un retour à une date antérieure.
La règle dite du 3-2-1 — trois copies, sur deux supports différents, dont une hors site — reste la formulation la plus simple de cette exigence. Sa partie difficile n’est pas technique : c’est de tester la restauration au moins une fois, avant d’en avoir besoin.
Le cas des indépendants et des petites structures
Pour une entreprise, deux obligations se déclenchent en plus du travail technique. Le dépôt de plainte, qui conditionne souvent l’indemnisation par l’assurance. Et, si des données personnelles ont pu être copiées, la notification à la CNIL dans les soixante-douze heures, avec information des personnes concernées lorsque le risque est élevé.
Ces démarches se mènent en parallèle de la remise en route, pas après. Elles supposent d’avoir conservé les éléments — captures d’écran, message de rançon, journaux — que la précipitation des premières heures fait précisément disparaître.
