Ransomware
Rançongiciel
Rançongiciel qui chiffre ou rend des données indisponibles, souvent après une exfiltration destinée à exercer une double extorsion.
VOUS PENSEZ ÊTRE CONCERNÉ ?
Passez de la compréhension à l’action.
Comment cela fonctionne ?
Une attaque par rançongiciel commence souvent par un accès compromis, un service distant exposé ou une faille non corrigée. L’intrus explore le réseau, élève parfois ses privilèges, cherche les sauvegardes et peut voler des données avant de déployer le chiffrement. Payer ne garantit ni le déchiffrement ni la suppression des copies volées. La priorité consiste à contenir la propagation et à restaurer depuis une source fiable.
EXEMPLE CONCRET
« Après la compromission d’un accès VPN, un serveur de fichiers devient inaccessible et une note réclame une rançon. Les journaux montrent également des transferts de données inhabituels avant le chiffrement. »
Déroulement habituel
- 1Obtenir un accès initial par compte compromis ou vulnérabilité.
- 2Découvrir les systèmes, identifier les données et tenter d’atteindre les sauvegardes.
- 3Exfiltrer éventuellement des fichiers pour préparer l’extorsion.
- 4Déployer le chiffrement ou la destruction sur les machines accessibles.
- 5Exiger un paiement et menacer de publier les données.
Signes d’alerte
- Fichiers renommés ou illisibles
- Activité inhabituelle
- Message de rançon
- Nombreux fichiers renommés ou devenus illisibles.
- Note de rançon ou changement massif d’extensions.
- Suppression inattendue des clichés ou sauvegardes.
- Exécutions distantes et connexions administratives inhabituelles.
- Transferts volumineux de données avant l’interruption des services.
Comment se protéger
- Sauvegardes isolées et testées
- Correctifs rapides
- MFA et segmentation réseau
- Conserver des sauvegardes isolées, immuables si possible, et tester régulièrement la restauration.
- Appliquer les correctifs des services exposés, notamment VPN et accès distants.
- Utiliser MFA résistante au phishing et comptes administrateurs distincts.
- Limiter les mouvements latéraux par segmentation et moindre privilège.
- Détecter les comportements de chiffrement, exfiltration et suppression de sauvegardes.
- Préparer un plan de réponse et une procédure de reprise éprouvée.
Si vous pensez être victime
Isolez rapidement les systèmes touchés sans détruire les preuves, suspendez les accès compromis et mobilisez l’équipe de réponse à incident. Déterminez l’étendue du chiffrement et de l’exfiltration, sécurisez les sauvegardes restantes puis restaurez sur des systèmes assainis. Évaluez les obligations de notification et ne considérez pas le paiement comme une garantie de récupération.
Dernière mise à jour : 8 octobre 2026