Cybersécurité
Rançongiciel : mesures de prévention et plan de réaction pour une PME
Ce qu’un rançongiciel fait réellement, les mesures qui le bloquent ou limitent ses dégâts, et les décisions à prendre dans les premières heures.
Par l’équipe SolutionsCW8 min de lecture
Ce qui se passe réellement lors d’une attaque
Un rançongiciel chiffre les fichiers accessibles — postes, serveurs, lecteurs réseau, parfois sauvegardes mal protégées — puis exige un paiement pour la clé de déchiffrement. Les groupes modernes ajoutent souvent une seconde pression : la menace de publier des données volées avant le chiffrement. L’attaque entre typiquement par un courriel d’hameçonnage, un accès à distance mal protégé ou un logiciel non à jour.
Le coût réel dépasse la rançon : arrêt des opérations, reconstitution des systèmes, obligations légales si des renseignements personnels sont touchés, et confiance des clients. Au Québec, un tel incident peut constituer un incident de confidentialité au sens de la Loi 25, avec des obligations de notification en cas de risque de préjudice sérieux.
Les mesures qui bloquent ou limitent les dégâts
Aucune mesure isolée ne suffit; c’est leur combinaison qui fait la différence. Les sauvegardes restent la dernière ligne : si tout le reste échoue, une restauration propre vous rend indépendant du chantage.
- Sauvegardes 3-2-1 avec au moins une copie hors ligne ou immuable, et restauration testée : c’est ce qui transforme une catastrophe en mauvaise semaine.
- MFA sur tous les accès à distance et les comptes administrateurs; aucun bureau à distance exposé directement sur Internet.
- Correctifs appliqués rapidement sur les systèmes, le routeur, le pare-feu et les applications exposées.
- Protection des postes (antivirus/EDR) maintenue à jour et surveillée.
- Droits limités : les employés n’ont pas de droits d’administrateur sur leur poste, ce qui freine la propagation.
- Segmentation : le réseau invité et les appareils non gérés n’ont pas accès aux fichiers de l’entreprise.
Les premières heures : la séquence de réaction
Déconnectez les appareils touchés du réseau sans les éteindre, coupez les accès à distance, changez les mots de passe des comptes administrateurs depuis un appareil sain, et appelez votre support TI et votre assureur avant toute décision. Conservez les messages des attaquants et les traces techniques : ils servent à l’investigation et aux démarches officielles.
La question du paiement est une décision d’affaires et juridique qui ne devrait jamais être prise seule : le paiement ne garantit ni la récupération ni la non-publication des données, et il peut avoir des implications légales. Les autorités canadiennes déconseillent de payer. Documentez tout, et évaluez l’obligation de notifier la CAI et les personnes touchées avec vos conseillers.
Se préparer avant que ça arrive
Un plan d’une page — qui appeler, comment isoler, où sont les sauvegardes, qui communique — et un exercice annuel suffisent à une PME pour réagir vite. SolutionsCW met en place les sauvegardes vérifiables, la segmentation et les accès protégés qui rendent ce scénario survivable, et documente le plan avec vous.
Sources et références
Les offres et les règles peuvent évoluer. Vérifiez les sources officielles avant une décision. Les guides de SolutionsCW sont informatifs et ne constituent pas un avis juridique.