Guide
Rançongiciel : que faire dans les premières heures
Vos fichiers sont chiffrés et une demande de rançon s’affiche. Isolez les machines sans les éteindre, n’effacez rien, ne payez pas dans l’urgence, préservez les preuves, puis portez plainte et prévenez les bons interlocuteurs. Voici la conduite à tenir, d’après les recommandations officielles.
Mis à jour le 18 octobre 2026 · Les chiffres sont sourcés en bas de page ; les appréciations sont celles d’IT CyberWall.
La première heure : isoler sans effacer
- Couper l’accès à internet et déconnecter du réseau les machines touchées (câble débranché, Wi-Fi coupé)[1].
- Débrancher les sauvegardes si elles sont reliées au réseau, pour qu’elles ne soient pas chiffrées à leur tour[1].
- Ne pas éteindre les machines touchées : leur mémoire contient des éléments utiles à l’enquête. Si le chiffrement est en cours, la mise en veille prolongée est préférable ; une machine déjà éteinte ne doit pas être redémarrée[1].
- Ne rien effacer, ne rien réinstaller à ce stade : une réinstallation détruit les traces de l’attaque[1].
- Alerter votre prestataire informatique, réunir une petite cellule de crise et noter heure par heure ce qui est constaté et décidé[1][2].
Préserver les preuves
Les journaux des serveurs, des postes, du pare-feu et de la messagerie racontent comment l’attaquant est entré et ce qu’il a touché. Le CERT-FR recommande d’en copier une version hors ligne ou sur un système isolé, et d’allonger leur durée de conservation pendant l’incident[2]. Idéalement, ces copies sont faites par un professionnel, avant toute réinstallation[1].
Ces preuves servent trois fois : à l’enquête, à l’assureur, et à vous assurer que la porte d’entrée est refermée avant de redémarrer.
Pour préparer ces réflexes à froid, l’ANSSI a publié un guide destiné aux dirigeants, qui couvre l’anticipation et la réaction en cas d’incident[6].
Ne pas payer dans l’urgence
Les autorités recommandent de ne pas payer la rançon[1]. Payer ne garantit ni la remise d’une clé de déchiffrement qui fonctionne, ni l’effacement des données volées, et finance la prochaine attaque.
La pression vient du compte à rebours affiché par les attaquants. Prenez le temps de qualifier l’incident : ce qui est réellement chiffré, ce qui a pu être volé, et l’état de vos sauvegardes. Un outil de déchiffrement gratuit existe parfois pour la famille de rançongiciel en cause (projet No More Ransom)[1].
Qui prévenir
| Qui | Quand | Pourquoi |
|---|---|---|
| Forces de l’ordre (plainte) | Avant de réinstaller, et sous 72 h si vous êtes assuré | Depuis le 24 avril 2023, l’indemnisation par l’assurance d’une atteinte à un système d’information est conditionnée à une plainte déposée dans les 72 h après sa connaissance[3][4]. Le service 17Cyber oriente vers la plainte en ligne, 24 h/24[3]. |
| Assureur | Dès que possible | Déclaration du sinistre, et souvent mise à disposition d’experts[1]. |
| CNIL | Dans les meilleurs délais, si possible sous 72 h | Si des données personnelles ont pu être consultées, modifiées ou détruites (article 33 du RGPD). Toute violation est aussi inscrite dans votre registre interne[5]. |
| ANSSI, CSIRT régional ou Cybermalveillance.gouv.fr | Dès la qualification | Le CERT-FR de l’ANSSI traite les systèmes d’importance particulière et certains opérateurs doivent lui déclarer leurs incidents ; les structures de taille intermédiaire peuvent s’adresser à leur CSIRT régional, les petites structures à Cybermalveillance.gouv.fr[2]. |
La restauration
Restaurer trop tôt, c’est souvent réinfecter : il faut d’abord savoir comment l’attaquant est entré, et repartir d’une sauvegarde saine, antérieure à l’attaque[1]. Le choix du point de restauration, l’ordre de redémarrage et le basculement éventuel sur des serveurs de reprise se décident avec votre prestataire de sauvegarde : WeDoBack décrit cette étape dans son guide un ransomware vient de se déclencher.
Ce que fait IT CyberWall
Nous intervenons sur l’incident lui-même : isolement du réseau, qualification de l’attaque, préservation des journaux, recherche de la porte d’entrée, changement des mots de passe et des accès, remise en service progressive des postes et serveurs, et coordination avec votre assureur et votre prestataire de sauvegarde. Avec SécuriPro, l’intervention d’un technicien est incluse.
Urgence : +33 972 508 828.
Vous êtes en pleine attaque ?
Appelez-nous au +33 972 508 828 ou décrivez la situation : un technicien vous rappelle pour isoler et qualifier l’incident.
Sources
Sources consultées le 18 octobre 2026. Les tarifs des fournisseurs sont indiqués hors taxes, dans la devise et la région de la grille publiée, et peuvent évoluer : vérifiez toujours la page officielle avant de décider.
- Cybermalveillance.gouv.fr – Fiche réflexe « Les rançongiciels » (version professionnels) — www.cybermalveillance.gouv.fr/medias/2025/06/260204_FicheReflexe_Rancongiciels_Pro_SCREEN.pdf
- CERT-FR (ANSSI) – Les bons réflexes en cas d’intrusion sur un système d’information — cert.cyber.gouv.fr/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/
- Gendarmerie nationale – 17Cyber, le réflexe cyber pour tous (2 avril 2026) — www.gendarmerie.interieur.gouv.fr/gendinfo/actualites/2026/17cyber-le-reflexe-cyber-pour-tous
- Direction générale du Trésor – FAQ sur l’obligation de dépôt de plainte en cas de cyberattaque (article L. 12-10-1 du code des assurances) — www.tresor.economie.gouv.fr/Institutionnel/Niveau2/Pages/39db1de3-1230-46a0-8e1b-d38a739e0885/files/9065d98f-099e-4eb4-9ba5-23b68cd50feb
- CNIL – Notifier une violation de données personnelles — cnil.fr/fr/notifier-une-violation-de-donnees-personnelles
- ANSSI – Attaques par rançongiciels, tous concernés (2020) — messervices.cyber.gouv.fr/guides/attaques-par-rancongiciels-tous-concernes
La sauvegarde et la restauration sont opérées par WeDoBack.