Après un piratage ou un ransomware : se rétablir sans être réinfecté

Module 8: Quand les choses tournent mal · Temps de lecture : 11 minutes

Objectif pédagogique : après cette leçon, vous saurez traverser la phase de rétablissement après un piratage ou un ransomware : isoler, comprendre comment c'est arrivé, restaurer proprement, porter plainte, communiquer et en tirer des leçons.

Notions clés : isolement, isoler, accès initial, persistance, analyse forensique, réinstallation propre, ordre de rétablissement, plainte, No More Ransom, rançon, cyberassurance, évaluation

La plus grande erreur : « tout restaurer » trop vite

Un développeur web reçoit un signalement un mardi : le site WordPress d'un client redirige les visiteurs vers une fausse boutique. Il restaure la sauvegarde de la semaine précédente, le site refonctionne, terminé. Le jeudi, rebelote. L'attaquant était entré via une extension obsolète et avait laissé un compte administrateur supplémentaire ainsi qu'un fichier caché. La sauvegarde de la semaine précédente les contenait déjà. Restaurer sans savoir comment quelqu'un est entré revient à remettre la porte ouverte.

La même chose se produit avec un ransomware dans un réseau d'entreprise. Les criminels sont souvent présents depuis des jours, voire des semaines, avant de chiffrer les données. Pendant ce temps, ils créent des comptes supplémentaires, installent des logiciels d'accès à distance et recherchent les sauvegardes. Celui qui se contente de restaurer les fichiers chiffrés garde l'attaquant à l'intérieur.

Le rétablissement se déroule donc en cinq étapes, dans cet ordre.

Étape 1 : isoler

Isoler signifie : veiller à ce que la situation n'empire pas. Les premières minutes figurent sur votre fiche d'incident (leçon 8.1).

• Isolez les appareils touchés : débranchez le câble réseau, désactivez le wifi et le réseau mobile, ou activez le mode avion. Le NCSC néerlandais conseille de déconnecter les systèmes touchés plutôt que de les éteindre ; la mise en veille est acceptable. Les traces en mémoire vive sont ainsi préservées et la propagation s'arrête.
• Débranchez les disques externes et les supports de sauvegarde et ne les connectez pas à un appareil potentiellement infecté.
• Si vous ne pouvez pas isoler un système, coupez alors la connexion au disque réseau. Si tout le réseau est touché, déconnectez le d'internet (par exemple en coupant la connexion internet ou en fermant le pare-feu).
• Modifiez les mots de passe depuis un appareil sain, en commençant par les plus importants : comptes administrateurs, messagerie, gestionnaire de mots de passe, banque. Déconnectez toutes les sessions partout. Ne faites pas cela depuis un ordinateur potentiellement porteur d'un infostealer ou d'un enregistreur de frappe (leçon 1.4), car vous transmettriez alors directement le nouveau mot de passe à l'attaquant.
• Conservez les preuves : photo du message de rançon, les e-mails, les demandes de paiement, les adresses crypto, les horodatages. Ne jetez rien.

Pour un site web piraté, isoler signifie : mettre temporairement le site hors ligne ou en mode maintenance, modifier tous les mots de passe (administration, FTP, base de données, hébergement) et faire appel à votre hébergeur.

Étape 2 : comprendre ce qui s'est passé

Vous voulez savoir trois choses :

1. Comment sont-ils entrés ? L'accès initial : un e-mail de phishing, un mot de passe volé sans 2FA, un serveur VPN ou une extension obsolète, une connexion ouverte pour l'administration à distance.
2. Qu'ont-ils laissé derrière eux ? La persistance : des comptes supplémentaires, des tâches planifiées, des logiciels d'administration à distance, des règles de transfert dans les boîtes mail, des fichiers supplémentaires sur le serveur web.
3. Qu'ont-ils emporté ? Avec les ransomwares modernes, les criminels copient souvent d'abord les données et menacent de les publier (double extorsion, leçon 1.3). Vous êtes alors aussi confronté à une violation de données (leçon 8.2).

Pour une petite entreprise, ceci est rarement réalisable soi-même. Faites appel à votre prestataire informatique, ou à une entreprise spécialisée dans la réponse aux incidents. De nombreuses cyberassurances disposent d'un numéro dédié pour une telle équipe. Demandez à une entreprise externe quelle expérience elle a de votre type d'incident et mettez-vous d'accord au préalable sur ce que l'enquête couvre.

Pour un site web, le journal d'accès et le journal d'erreurs du serveur web aident, de même qu'une analyse antimalware des fichiers et une comparaison avec une copie saine du CMS et des extensions.

Étape 3 : restaurer proprement

Ce n'est que lorsque vous savez comment l'attaquant est entré et que cette voie est fermée que vous commencez le rétablissement.

Procédez au rétablissement dans l'ordre fixé dans votre plan (leçons 8.1 et 6.3) : d'abord ce dont l'entreprise a besoin pour continuer à fonctionner. Gardez la partie restaurée séparée de ce qui n'a pas encore été vérifié.

C'est ici que se révèle la qualité de votre sauvegarde. Une sauvegarde connectée au réseau est souvent chiffrée ou effacée en même temps que le reste. Une sauvegarde hors ligne ou immuable (leçon 6.2) et une procédure de restauration testée (leçon 6.3) font la différence entre des jours et des semaines d'arrêt.

Étape 4 : plainte, notification et rançon

Plainte. Portez plainte auprès de la police ou de la gendarmerie. Emportez les preuves (message de rançon, e-mails, données de paiement). La plainte est nécessaire pour l'enquête, aide la police ou la gendarmerie à identifier des liens, et les assureurs la demandent souvent.

No More Ransom. Sur https://www.nomoreransom.org (une initiative notamment d'Europol et de la police néerlandaise) vous pouvez faire identifier un fichier chiffré ou le message de rançon. Pour certaines familles de ransomware il existe un déchiffreur gratuit. Pas pour la plupart des variantes récentes, mais cela ne prend que peu de temps de vérifier.

Notification. Vérifiez quelles notifications sont nécessaires : une violation de données à la CNIL dans les 72 heures (leçon 8.2), un incident significatif selon la transposition française de NIS 2 si votre organisation est concernée (leçon 9.1), et ce que vous avez convenu avec vos clients ou donneurs d'ordre.

Rançon. Le NCSC néerlandais conseille de ne pas payer de rançon, la police ou la gendarmerie dit « ne payez de préférence pas ». Les raisons :

• Vous n'avez aucune garantie de recevoir une clé fonctionnelle, ni que les données ne soient pas tout de même publiées.
• Les données que vous récupérez peuvent être endommagées ou modifiées.
• Celui qui paie est connu comme quelqu'un qui paie. Les victimes sont parfois à nouveau rançonnées ou attaquées de nouveau par la suite.
• Vous financez la prochaine attaque.

Si vous envisagez tout de même de payer, ou si vous avez payé, signalez le toujours à la police ou à la gendarmerie : les données de paiement peuvent aider l'enquête. Cette décision revient au décideur désigné dans votre plan d'incident, pas à la personne qui voit le message en premier.

Cyberassurance. Une cyberassurance peut couvrir les frais d'enquête, de rétablissement et les pertes d'exploitation, et donne souvent accès à une équipe de gestion d'incident. Lisez les conditions : de nombreuses polices exigent des mesures de base comme la 2FA et des sauvegardes, et demandent une notification rapide. Le NCSC néerlandais a écrit en avril 2025, sur la base d'une étude portant sur plus de 500 incidents de ransomware chez des PME, que les attaquants recherchent, après être entrés, des fichiers nommés par exemple « assurance » ou « police d'assurance » afin de renforcer leur position de négociation. Vérifiez donc à quel point il est facile pour un intrus de trouver votre police d'assurance, et de préférence ne la conservez pas sur un disque partagé. Une assurance ne remplace pas des mesures de sécurité : elle paie les dommages, mais ne les empêche pas.

Étape 5 : communiquer et apprendre

Laissez le communicant désigné dans votre plan raconter une seule histoire claire au personnel, aux clients et aux fournisseurs : ce qui s'est passé, ce que cela signifie pour eux, ce qu'ils doivent faire (par exemple : se méfier des e-mails qui semblent venir de vous), et quand ils auront à nouveau de vos nouvelles. Être honnête et rapide fonctionne mieux que de se taire jusqu'à ce que cela s'ébruite.

Planifiez une évaluation dans les quelques semaines qui suivent : qu'est-ce qui s'est bien passé, qu'est-ce qui a mal tourné, que changez-vous ? Presque toujours, les mêmes points ressortent : la 2FA manquait quelque part, un système n'était pas à jour, la sauvegarde n'avait pas été testée, ou personne ne savait qui pouvait décider. Inscrivez ces points dans votre plan de la leçon 9.3, avec un responsable et une date.

En pratique : à quoi cela ressemble

Pour un site web piraté sur un forfait d'hébergement, vous travaillez souvent avec les outils de votre hébergeur. Chez WebOké, il s'agit par exemple d'une analyse antimalware (Imunify360), des fichiers journaux dans DirectAdmin, de la restauration d'une sauvegarde depuis WebOké Backups et d'une procédure détaillée dans le guide DirectAdmin. Chez d'autres hébergeurs, des outils comparables existent ; demandez à votre prestataire ce qui est disponible et jusqu'où remontent les sauvegardes, avant d'en avoir besoin.

Résumé

• Rétablissement en cinq étapes : isoler, enquêter, restaurer proprement, porter plainte et notifier, communiquer et apprendre.
• Isolez, n'éteignez pas, et modifiez les mots de passe uniquement depuis un appareil sain.
• Ne restaurez rien avant de savoir comment l'attaquant est entré ; sinon vous remettez aussi la porte ouverte.
• Réinstallez entièrement les appareils infectés et restaurez à partir d'une sauvegarde antérieure à l'intrusion.
• Portez plainte, consultez No More Ransom, et de préférence ne payez pas de rançon.

Quiz

Exercice

Exercice A8.3 : Remettez les étapes du rétablissement dans le bon ordre. Vous recevez un cas et dix étapes séparées (par exemple « restaurer la sauvegarde », « débrancher le câble réseau », « déterminer comment l'attaquant est entré », « porter plainte »). Remettez les dans le bon ordre. Le programme vérifie si les règles d'ordre fixes sont respectées (par exemple : isoler avant de restaurer, identifier la cause avant de restaurer, réinstaller avant de restaurer les données) et explique pour chaque erreur pourquoi.

Pour aller plus loin

Les étapes décrites dans les articles de WebOké s'appliquent à l'environnement de WebOké ; chez d'autres prestataires, le fonctionnement est comparable.

• Guide DirectAdmin 18.2: Mon site est piraté : plan d'action
• Au secours ! Mon site a été piraté. Comment résoudre le problème et comment l'éviter ?
• Scanner Imunify360
• WebOké Backups : consulter, restaurer ou télécharger une sauvegarde
• NCSC néerlandais, Que faire en cas d'attaque par ransomware ? : https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• NCSC néerlandais, Ransomware dans les PME : les cybercriminels augmentent la rançon en cas de cyberassurance : https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
• No More Ransom : https://www.nomoreransom.org