En clair
Un rançongiciel enferme vos fichiers dans un coffre dont l'attaquant garde la clé. Les premières minutes servent à l'empêcher d'enfermer autre chose : couper le réseau pour qu'il n'atteigne ni les autres ordinateurs ni les sauvegardes. Ensuite seulement, on cherche comment rouvrir le coffre : une sauvegarde saine, parfois un outil de déchiffrement gratuit, jamais la rançon.
Pourquoi isoler sans éteindre
Couper le réseau arrête la propagation vers les autres machines et les sauvegardes. Garder l'appareil allumé conserve en mémoire des traces utiles à l'enquête, parfois même des éléments de la clé de chiffrement. Si le chiffrement est encore en cours et progresse visiblement, une mise en veille prolongée (hibernation) est un compromis acceptable ; un appareil déjà éteint ne doit pas être rallumé.
Pourquoi ne pas payer
- Rien ne garantit que l'outil de déchiffrement fourni fonctionnera, ni qu'il sera fourni.
- Les données volées avant le chiffrement peuvent être publiées ou revendues quand même.
- Payer désigne la victime comme solvable et finance les attaques suivantes.
Les outils de déchiffrement
No More Ransom, projet d'Europol, des polices européennes et d'éditeurs de sécurité, propose gratuitement des outils de déchiffrement pour les familles de rançongiciels dont les clés ont été récupérées. ID Ransomware identifie la famille à partir de la note de rançon et d'un fichier chiffré. Pour les rançongiciels récents, il n'existe souvent aucun outil : gardez les fichiers chiffrés, un déchiffreur peut sortir des mois plus tard.
La vraie protection se prépare avant
Une seule mesure permet de repartir sans rien céder : une sauvegarde que le rançongiciel ne peut pas atteindre, débranchée ou immuable, et testée. Voir la règle de sauvegarde 3-2-1 et, pour une structure, la grille d'audit de sécurité.